Рекламное ПО/расширения в браузере, не могу удалить.

Printable View

04.09.2016, 16:36
Crabik

Вложений: 2

Рекламное ПО/расширения в браузере, не могу удалить.

Вообщем скачал и запустил вирус замаскированный под прогу, вирус начал скачивать и устанавливать кучу разного ПО, целый день чистил пк разными утилитами и антивирами (наудалял около 500 файлов) в итоге осталось только 2 рекламных разширения в хроме Pageliner и Salesbar ну и возможно ещё какая вирусня.
04.09.2016, 16:38
Info_bot

Уважаемый(ая) [B]Crabik[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
04.09.2016, 17:41
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('c:\program files (x86)\tofatythamaent\phwhelper.dll', '');
QuarantineFile('C:\Users\Гена\AppData\Local\MzIzNTM0Mzc=\s_inst.exe', '');
QuarantineFile('C:\Users\Гена\AppData\Roaming\UrlControl_\url_opener.exe', '');
QuarantineFile('C:\Windows\5c2e8908505a86d50d1ba6f5d29f2d1d.ps1', '');
QuarantineFile('C:\Users\Гена\AppData\Local\MailruSetup\MailruSetup.exe', '');
QuarantineFile('C:\Users\Гена\AppData\Roaming\Adobe\Manager.exe', '');
QuarantineFile('C:\Users\Гена\AppData\Local\FilterStart\FilterStart.exe', '');
QuarantineFile('C:\Program Files (x86)\Tofatythamaent\kahck.exe', '');
DeleteFile('C:\Windows\Tasks\MzIzNTM0Mzc=.job', '64');
DeleteFile('C:\Windows\Tasks\UrlControl.job', '64');
DeleteFile('c:\program files (x86)\tofatythamaent\phwhelper.dll', '32');
DeleteFile('C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe', '32');
DeleteFile('C:\Users\Гена\AppData\Local\MzIzNTM0Mzc=\s_inst.exe', '32');
DeleteFile('C:\Users\Гена\AppData\Roaming\UrlControl_\url_opener.exe', '32');
DeleteFile('C:\Windows\5c2e8908505a86d50d1ba6f5d29f2d1d.ps1', '32');
DeleteFile('C:\Users\Гена\AppData\Local\MailruSetup\MailruSetup.exe', '32');
DeleteFile('C:\Users\Гена\AppData\Roaming\Adobe\Manager.exe', '32');
DeleteFile('C:\Users\Гена\AppData\Local\FilterStart\FilterStart.exe', '32');
DeleteFile('C:\Program Files (x86)\Tofatythamaent\kahck.exe', '32');
DeleteService('LiveUpdateSvc');
DeleteFileMask('c:\program files (x86)\tofatythamaent', '*', true);
DeleteFileMask('c:\program files (x86)\iobit', '*', true);
DeleteFileMask('c:\users\гена\appdata\local\mzizntm0mzc=', '*', true);
DeleteFileMask('c:\users\гена\appdata\roaming\urlcontrol_', '*', true);
DeleteFileMask('c:\users\гена\appdata\local\mailrusetup', '*', true);
DeleteFileMask('c:\users\гена\appdata\local\filterstart', '*', true);
DeleteDirectory('c:\program files (x86)\tofatythamaent');
DeleteDirectory('c:\program files (x86)\iobit');
DeleteDirectory('c:\users\гена\appdata\local\mzizntm0mzc=');
DeleteDirectory('c:\users\гена\appdata\roaming\urlcontrol_');
DeleteDirectory('c:\users\гена\appdata\local\mailrusetup');
DeleteDirectory('c:\users\гена\appdata\local\filterstart');
ExecuteFile('schtasks.exe', '/delete /TN "5c2e8908505a86d50d1ba6f5d29f2d1d" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Multimedia\MailruSetup" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Multimedia\Manager" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Request Private Helper" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Sojusymecage Client" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\SojusymecageClient\Parameters', 'ServiceDll');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK.zip"]Check Browsers' LNK by Dragokas & regist[/URL].
05.09.2016, 10:57
Crabik

Вложений: 3

Заметил ещё что создалось второе локальное соединение и несколько администраторов пк.
05.09.2016, 20:43
Vvvyg

Перетащите лог Check_Browsers_LNK.log на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
05.09.2016, 22:58
Crabik

Вложений: 3

Сделал.
05.09.2016, 23:27
Vvvyg

Я просил файл файл AdwCleaner[C1].txt прикрепить.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [win_en_77] => [X]
HKLM-x32\...\Run: [sun21] => [X]
CHR HKU\S-1-5-21-3198304747-2580023666-1399620024-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-3198304747-2580023666-1399620024-1000 -> {65C8B263-94C5-4cbb-9DA7-89514B5A9D32} URL = hxxp://ru.search.yahoo.com/search?p={searchTerms}&fr=chr-devicevm&type=IEBDSV
FF DefaultSearchEngine: Поиск@Mail.Ru
FF SelectedSearchEngine: Поиск@Mail.Ru
FF Keyword.URL: hxxp://go.mail.ru/distib/ep/?product_id=%7BA3522EA9-237E-4EEE-9AD8-2F26099326A4%7D&gp=820338
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Гена\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-08-29]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Гена\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-08-26]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Гена\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-08-26]
CHR Extension: (Salesbar) - C:\Users\Гена\AppData\Local\Google\Chrome\User Data\Default\Extensions\hbmofjjidekmconddponmfdimclhnanj [2016-09-01]
CHR Extension: (PageLiner) - C:\Users\Гена\AppData\Local\Google\Chrome\User Data\Default\Extensions\nepakmljodobhlbbkpobblnifmhclemh [2016-09-06]
CHR Extension: (Chrome Media Router) - C:\Users\Гена\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2016-09-04]
CHR HKLM\...\Chrome\Extension: [fhoibnponjcgjgcnfacekaijdbbplhib] - hxxps://chrome.google.com/webstore/detail/fhoibnponjcgjgcnfacekaijdbbplhib
CHR HKLM-x32\...\Chrome\Extension: [fhoibnponjcgjgcnfacekaijdbbplhib] - hxxps://chrome.google.com/webstore/detail/fhoibnponjcgjgcnfacekaijdbbplhib
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lgdnilodcpljomelbbnpgdogdbmclbni] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (Fast search v3.5) - C:\Users\Гена\AppData\Roaming\Opera Software\Opera Stable\Extensions\ooppbnomdcjmoepangldchpmjhkeendl [2016-08-26]
S2 SojusymecageClient; C:\Windows\system32\svchost.exe [27136 2009-07-14] (Microsoft Corporation)
S2 SojusymecageClient; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
R2 wsaudio; C:\Windows\SysWOW64\wsaudio.dll [367104 2016-04-09] () [File not signed]
R2 gzflt; C:\Windows\System32\DRIVERS\gzflt.sys [155912 2014-10-22] (BitDefender LLC)
S1 phohnr; no ImagePath
S3 PRProt; \??\C:\Users\Гена\Desktop\active64.sys [X]
S1 ServiceMgr; ServiceMgr.sys [X]
2016-08-29 20:51 - 2016-08-29 20:51 - 00560768 ____N () C:\Program Files (x86)\KuaiZip\X64\KZipShell.dll
2016-08-30 21:28 - 2014-10-22 15:29 - 00155912 _____ (BitDefender LLC) C:\Windows\system32\Drivers\gzflt.sys
2016-08-30 21:25 - 2016-08-30 21:26 - 00000000 ____D C:\Users\Гена\AppData\Roaming\ProductData
2016-08-30 21:25 - 2016-08-30 21:25 - 00000000 ____D C:\Windows\Tasks\ImCleanDisabled
2016-08-30 21:25 - 2016-08-30 21:25 - 00000000 ____D C:\ProgramData\{D76294E6-03B8-4971-AF2E-3F846161A690}
2016-08-30 21:25 - 2016-08-30 21:25 - 00000000 ____D C:\ProgramData\{ACBCD40A-42A8-4FF9-BD42-ABCD14998CBA}
2016-08-30 21:24 - 2016-08-30 21:25 - 00000000 ____D C:\Users\Гена\AppData\Roaming\IObit
2016-08-30 18:50 - 2016-08-30 18:50 - 00000000 ____D C:\ProgramData\My Web Shield
2016-08-29 20:52 - 2016-08-29 20:52 - 00000000 ____D C:\Users\Гена\AppData\Local\MzIzNTM1MzA=
2016-08-29 20:51 - 2016-09-01 08:05 - 00000000 ____D C:\Program Files (x86)\KuaiZip
2016-08-29 20:51 - 2016-08-31 16:01 - 00000000 ____D C:\Users\Гена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\UC浏览器
2016-08-29 20:50 - 2016-08-29 20:50 - 00000000 ____D C:\Users\Гена\AppData\Local\UCBrowser
2016-08-29 20:49 - 2016-08-30 05:54 - 00000000 ____D C:\ProgramData\hdtask
2016-08-29 20:48 - 2016-09-06 02:25 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\净广大师
2016-08-29 20:42 - 2016-09-04 12:07 - 00000000 ____D C:\ProgramData\Tampstring
2016-08-29 20:42 - 2016-08-29 20:42 - 07118336 _____ C:\Users\Гена\AppData\Roaming\agent.dat
2016-08-29 20:42 - 2016-08-29 20:42 - 01900145 _____ C:\Users\Гена\AppData\Roaming\Zoomwarm.tst
2016-08-29 20:42 - 2016-08-29 20:42 - 01900145 _____ C:\Users\Гена\AppData\Roaming\Toughjob.tst
2016-08-29 20:42 - 2016-08-29 20:42 - 01900145 _____ C:\Users\Гена\AppData\Roaming\Qvosaotrax.tst
2016-08-29 20:42 - 2016-08-29 20:42 - 00126464 _____ C:\Users\Гена\AppData\Roaming\noah.dat
2016-08-29 20:42 - 2016-08-29 20:42 - 00126464 _____ C:\Users\Гена\AppData\Roaming\lobby.dat
2016-08-29 20:42 - 2016-08-29 20:42 - 00072848 _____ C:\Users\Гена\AppData\Roaming\Zottough.tst
2016-08-29 20:42 - 2016-08-29 20:42 - 00072848 _____ C:\Users\Гена\AppData\Roaming\VivaStrong.tst
2016-08-29 20:42 - 2016-08-29 20:42 - 00072848 _____ C:\Users\Гена\AppData\Roaming\Gravefan.tst
2016-08-29 20:42 - 2016-08-29 20:42 - 00070704 _____ C:\Users\Гена\AppData\Roaming\Config.xml
2016-08-29 20:42 - 2016-08-29 20:42 - 00054272 _____ C:\Users\Гена\AppData\Roaming\ApplicationHosting.dat
2016-08-29 20:42 - 2016-08-29 20:42 - 00005568 _____ C:\Users\Гена\AppData\Roaming\md.xml
2016-08-29 20:42 - 2016-08-29 20:42 - 00000000 ____D C:\Users\Все пользователи\Tampstrings
2016-08-29 20:41 - 2016-08-29 20:41 - 00000000 ___HD C:\Program Files (x86)\w8q926F
2016-08-29 20:41 - 2016-08-29 20:41 - 00000000 ___HD C:\Program Files (x86)\sh63D2E
2016-08-29 20:39 - 2016-09-05 14:33 - 00000000 ____D C:\Program Files (x86)\Tofatythamaent
2016-08-29 20:39 - 2016-09-04 19:35 - 00000000 ____D C:\Users\Гена\AppData\Local\Wovsygogcult
2016-08-26 23:07 - 2016-08-31 15:57 - 00000000 ____D C:\ProgramData\ProductData
2016-08-26 23:06 - 2016-08-30 21:25 - 00000000 ____D C:\Users\Гена\AppData\LocalLow\IObit
2016-08-26 23:06 - 2016-08-30 21:25 - 00000000 ____D C:\Users\Все пользователи\IObit
2016-08-26 23:06 - 2016-08-26 23:06 - 00000000 ____D C:\Windows\IObit
2016-07-01 19:06 - 2016-07-01 19:06 - 00000000 ____D C:\ProgramData\boost_interprocess
2016-06-19 20:31 - 2016-06-19 20:31 - 00000000 ____D C:\Users\Гена\AppData\Local\Vebanaul
2016-08-29 23:08 - 2016-08-29 23:08 - 0010240 _____ (name) C:\Users\Гена\AppData\Local\Manifest Render Mgr.exe
2016-08-29 23:07 - 2016-08-29 23:07 - 0013902 _____ () C:\Users\Гена\AppData\Local\modern-install.ico
Task: {3E42BB95-514D-40D3-81AA-B6C439F24615} - System32\Tasks\MzIzNTM1MzA= => C:\Users\Гена\AppData\Local\MzIzNTM1MzA=\s_inst.exe [2016-08-29] ()
Task: {71FFE436-9036-4999-B5BE-A84AA7A3E466} - System32\Tasks\Smart System Filter => C:\Users\Гена\AppData\Local\Render Render Mgr\ctfmom.exe
Task: {8617221D-E273-4750-AF71-AE757253EF5F} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {87FD556E-B7DB-4C75-A4ED-0E7D196A1DFE} - \{6AE67EE2-2958-4870-AD52-98A86E4693D5} -> No File <==== ATTENTION
Task: {9EED919A-72B9-40BE-A74F-6B4EBC597293} - \{DE278D92-8F63-4A57-BD04-50AA7982AB4D} -> No File <==== ATTENTION
Task: {DC54F4F8-7BFC-4FCB-8D72-4E618635ADCE} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {E6D6CAF8-C6A1-44E1-A728-CF6BD8A6651C} - \{9343D993-9248-4800-B50B-23A4E9982A96} -> No File <==== ATTENTION
Task: {E766B842-5CF7-442B-B867-9F00D692D644} - System32\Tasks\Manifest Render Mgr => C:\Users\Гена\AppData\Local\Manifest Render Mgr.exe [2016-08-29] (name)
Task: C:\Windows\Tasks\MzIzNTM1MzA=.job => C:\Users\Гена\AppData\Local\MzIzNTM1MzA=\s_inst.exe
AlternateDataStreams: C:\ProgramData\TEMP:BBBB6C30 [246]
FirewallRules: [{F6E8C932-A6B0-40E9-BAA2-469E93558133}] => (Allow) C:\Program Files (x86)\IObit\Advanced SystemCare Ultimate\AutoUpdate.exe
FirewallRules: [{93C1CFCB-F0B1-4768-A4F7-024644467069}] => (Allow) C:\Program Files (x86)\IObit\Advanced SystemCare Ultimate\AutoUpdate.exe
FirewallRules: [{1FF3C582-C88A-426E-8A0C-B2583D9B2869}] => (Allow) C:\Program Files (x86)\GreatMaker\MaohaWiFi\MaohaWifiSvr.exe
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AdAnti" /f
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.
06.09.2016, 01:21
Crabik

Вложений: 2

Рекламы нет но расширения остались только без иконок, лога AdwCleaner c1 вообще нету, при открытии браузера самопроизвольно открывается какой то сайт но каспер его блочит. Юзнул ещё раз AdwCleaner нашло 2 угрозы, не удалял. Вот логи.
06.09.2016, 06:59
Vvvyg

Что за расширения, сами удалить сможете?

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
06.09.2016, 13:57
Crabik

Вложений: 1

PageLiner и Salesbar установились после юза вирусной проги, кнопки удалить нет пишет установлено в соответствии с корпоративным правилом.
06.09.2016, 22:28
Vvvyg

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
regt 27
delref %Sys32%\IHCTRL32.DLL
delref %SystemDrive%\USERS\ГЕНА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PKEDCJKDEFGPDELPBCMBMEOMCJBEEMFM\5216.530.0.15_2\CHROME MEDIA ROUTER
delref %SystemDrive%\USERS\ГЕНА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\HBMOFJJIDEKMCONDDPONMFDIMCLHNANJ\1.0.22_0\SALESBAR
delref %SystemDrive%\USERS\ГЕНА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\NEPAKMLJODOBHLBBKPOBBLNIFMHCLEMH\1.1.2_0\PAGELINER
del %SystemDrive%\USERS\ГЕНА\DESKTOP\AUSLOGICS BOOSTSPEED 9.0.0.0 DC 27.08.2016 REPACK (& PORTABLE) BY KPOJIUK\AUSLOGICS.BOOSTSPEED.V9.0.0.0.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\KUAIZIP\X64\KZIPSHELL.DLL
delref JZIP SHELL EXTENSION\[CLSID]
delref KUAIZIP SHELL EXTENSION\[CLSID]
deltmp
restart[/code]Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Сообщите, что с проблемой.
07.09.2016, 01:04
Crabik

Компьютер завис при перезагрузке после выполнения скрипта, не нашёл никаких логов и папки ZOO, может не создалось из за зависания? расширения в браузере удалились.
07.09.2016, 07:19
Vvvyg

Zoo и не должна была создаться.

Включите [URL="http://support.kaspersky.ru/12407"]детектирование потенциально нежелательных программ в Kaspersky Internet Security 2016[/URL].

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
07.09.2016, 07:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]