Навязчивая переадресация [Trojan-Downloader.Win32.Agent.hgsy, Trojan.Win32.Diple.gocq ]

Доброго времени суток.
Проблема стара как мир: подхватил вчера пачку вирусняков. Заметил это по пассивной установке каких-то левых прог. Окей, Курейтом почистил один раз - нашло 6 троянов и залечило их в карантин. Потом, поняв, что что-то пошло не так, запустил Курейт ещё раз и нашёлся ещё один троянчик. Однако после этого обнаружилась проблема: навязчивая переадресация поисковых запросов (любых) с использованием такой ссылки: "http://searchtds.ru/?ref=aoy67&q=%D1%8B%D0%B2%D0%B0%D0%B2%D1%8B%D0%B0%D1%8B%D0%B2&subId="
Переправляет она на рамблер. Плюс периодически сами по себе открываются какие-то левые сайты. Курейт помогать мне в этом не хочет. Сканирование АВЗ показало что проблем у меня нет. Замена файла Хостс тоже не дала результатов.
Хочу получить совет как избавиться от этой бяки.

Уважаемый(ая) [B]Gregory Mars[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Прикрепил логи сканов.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Плюс по ютубу: справа в списке видео висит видяшка в стиле "как маша заработала лям за месяц", а во время поиска между полученными результатами пустые куски

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFileF('c:\users\техно-видео\appdata\roaming\adobe\nativeplugin\ooba\ppapi\c8bd0189-953e-4d88-a384-42f2434705fa', '*', true, '', 0 , 0);
QuarantineFile('C:\Users\Техно-Видео\AppData\Local\FileSystemDriver\FileSystemDriver.exe', '');
QuarantineFile('C:\Users\Техно-Видео\AppData\Local\fupdate\fupdate.exe', '');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
QuarantineFile('C:\Users\Техно-Видео\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\C8BD0189-953E-4D88-A384-42F2434705FA\3890671E-B58E-4E91-BF62-767F7E390541.exe', '');
QuarantineFile('C:\Users\Техно-Видео\AppData\Local\SearchGo\searchgo.exe', '');
DeleteFile('C:\WINDOWS\Tasks\ASC8_SkipUac_Техно-Видео.job', '64');
DeleteFile('C:\Users\Техно-Видео\AppData\Local\FileSystemDriver\FileSystemDriver.exe', '32');
DeleteFile('C:\Users\Техно-Видео\AppData\Local\fupdate\fupdate.exe', '32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
DeleteFile('C:\Users\Техно-Видео\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\C8BD0189-953E-4D88-A384-42F2434705FA\3890671E-B58E-4E91-BF62-767F7E390541.exe', '32');
DeleteFile('C:\Users\Техно-Видео\AppData\Local\SearchGo\searchgo.exe', '32');
DeleteFileMask('c:\program files (x86)\iobit', '*', true);
DeleteFileMask('c:\users\техно-видео\appdata\local\filesystemdriver', '*', true);
DeleteFileMask('c:\users\техно-видео\appdata\local\fupdate', '*', true);
DeleteFileMask('c:\programdata\krb updater utility', '*', true);
DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
DeleteFileMask('c:\users\техно-видео\appdata\local\searchgo', '*', true);
DeleteDirectory('c:\program files (x86)\iobit');
DeleteDirectory('c:\users\техно-видео\appdata\local\filesystemdriver');
DeleteDirectory('c:\users\техно-видео\appdata\local\fupdate');
DeleteDirectory('c:\programdata\krb updater utility');
DeleteDirectory('c:\program files (x86)\kinoroom browser');
DeleteDirectory('c:\users\техно-видео\appdata\local\searchgo');
ExecuteFile('schtasks.exe', '/delete /TN "ASC8_PerformanceMonitor" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ASC8_SkipUac_Техно-Видео" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Driver Booster SkipUAC (Техно-Видео)" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "FileSystemDriver" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRB Updater Utility Service" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\AC8BD0189-953E-4D88-A384-42F2434705FA" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'feteqlpnts');
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

Спасибо за оперативное вмешательство!
Выполнил скрипт в АВЗ, после перезагрузки выполнил второй, архив Карантин отправил.
Скачал ФРСТ, поставил галочку и провёл сканирование. Логи прикрепляю.
Однако проблема не решена. Поисковые запросы всё так же отправляются в рамблер, а на ютубе висит видео-реклама и белые промежутки.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
Tcpip\..\Interfaces\{145951BB-A8F2-4B96-9538-401E36556E6D}: [DhcpNameServer] 127.0.0.1
Tcpip\..\Interfaces\{5588A7F8-FE40-4BD8-9F1B-4B00DEAFCBA4}: [DhcpNameServer] 7.254.254.254
HKU\S-1-5-21-906453456-454850133-3944004758-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811009
SearchScopes: HKU\S-1-5-21-906453456-454850133-3944004758-1001 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-906453456-454850133-3944004758-1001 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-906453456-454850133-3944004758-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B7F45D0AB-C7B5-4402-BF0A-C1D7C9751E55%7D&gp=811010
BHO-x32: Поиск@Mail.Ru -> {8E8F97CD-60B5-456F-A201-73065652D099} -> C:\Users\Техно-Видео\AppData\Local\Mail.Ru\Sputnik\IESearchPlugin.dll [2016-06-07] (Mail.Ru)
Toolbar: HKLM-x32 - No Name - {2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC} - No File
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/7993/","hxxp://www.megapage.com/?aid=1&sid=1","hxxp://search.us.com/?guid={91F475EE-60BE-4715-9F73-7C2800B3E864}&serpv=5",3,"hxxp://www.yandex.ru/?win=99&clid=1980420","hxxp://www.oursurfing.com/?type=hp&ts=1431805175&z=4c0df2ad0bbe21023e7910egdzfc2g0bfe0w1g6b4g&from=cmi&uid=TOSHIBAXMQ01ABD075_Z2BES9AHSXXZ2BES9AHS","hxxp://www.oursurfing.com/?type=hppp&ts=1431805201&z=21ad815b229279c55e1417dg7zbc8gbb2e9wco6eam&from=cmi&uid=TOSHIBAXMQ01ABD075_Z2BES9AHSXXZ2BES9AHS"
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ehfjihahbphdpljpiadbkmgmhnfehhgi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
2016-06-07 19:50 - 2016-06-07 19:52 - 00000000 ____D C:\Users\Техно-Видео\AppData\Local\Amigo
2016-06-07 19:43 - 2016-06-07 19:43 - 00000000 ____D C:\Users\Техно-Видео\AppData\Local\Вoйти в Интeрнет
2016-06-07 19:42 - 2016-06-07 22:14 - 00000000 ____D C:\Users\Техно-Видео\AppData\LocalLow\SearchGo
2016-06-07 19:41 - 2016-06-07 19:41 - 00002219 _____ C:\Users\Техно-Видео\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Kinoroom Browser.lnk
2016-06-07 19:41 - 2016-06-07 19:41 - 00000000 ____D C:\Users\Техно-Видео\AppData\Roaming\Awesomium
2016-06-07 19:40 - 2016-06-07 19:40 - 00000000 ____D C:\Users\Техно-Видео\AppData\Local\Поиcк в Интeрнете
2016-06-07 19:38 - 2016-06-07 19:43 - 00000000 ____D C:\Users\Техно-Видео\AppData\Roaming\Checkers
2016-06-07 19:38 - 2016-06-07 19:43 - 00000000 ____D C:\Program Files\UBar
2016-06-07 19:37 - 2016-06-07 19:51 - 00000000 ____D C:\Users\Техно-Видео\AppData\Roaming\MailProducts
2014-01-01 13:34 - 2014-01-31 23:11 - 0000717 _____ () C:\Users\Техно-Видео\AppData\Roaming\del.bat
Task: {F7678025-32A4-41BE-9B79-F58A6EBA9287} - \ASC8_SkipUac_Техно-Видео -> No File <==== ATTENTION
C:\Users\Техно-Видео\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

Создал файл, скопировал текст туда. Выполнил фикс в ФРСТ.
Компьютер перезагрузился, лог прикрепляю.
Проблема не исчезла, всё так же переадресует поисковые запросы и на сайтах проявляется обходящая АдБлок реклама...

Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Если Java вообще нужна для каких- либо приложений, игр (и Вы точно знаете, для каких именно) - установите [URL="http://www.java.com/ru/download/"]Java 8 Update 91[/URL].
Учтите, что 64-bit версия Java нужна только для очень ограниченного круга приложений.

Проверьте поисковую систему по умолчанию в Хроме.

Удалил Джаву (обе), браузер по умолчанию - Гугл, проверил - проблема осталась.
Поставил новую Джаву.

Если все расширения отключить?

Если отключить плагины (у меня их 4), это конечно помогает... но они мне нужны. Иных вариантов нету?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Решил проблему: как оказалось проблема засела в АдБлоке. Отключив его - проблема с переадресацией исчезла, включив - появлялась снова. Переустановил Адблок - проблема вроде бы исчезла. Так же пропала навязчивая реклама. Благодарю за помощь!

Значит, подменили плагин.

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\техно-видео\appdata\local\filesystemdriver\filesystemdriver.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Graftor.277803, AVAST4: Win32:Malware-gen )[*] c:\users\техно-видео\appdata\local\fupdate\fupdate.exe - [B]Trojan-Downloader.Win32.Agent.hgsy[/B][*] c:\users\техно-видео\appdata\local\searchgo\searchgo.exe - [B]not-a-virus:AdWare.Win32.Searchgo.a[/B] ( BitDefender: Trojan.GenericKD.3141570, AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]