При перезапуске браузера удаляется adblock и устанавливаются сторонние расширения

[COLOR=#333333]Добрый день. При скачивании игры словил вирус, [/COLOR][COLOR=#333333]который добавлял ссылки на рабочий стол, менял стартовые страницы, добавлял различные браузерные игры (типа war thunder и проч мусор)[/COLOR]
[COLOR=#333333]Зачистил вирус, появилась новая проблема - adblock начал удалятся после перезагрузи компьютера. После нескольких попыток восстановить его - начали устанавливаться сторонние расширения, из-за которых выскакивает левая реклама. При перезапуске браузера сторонние расширения устанавливаются заново.[/COLOR]

Уважаемый(ая) [B]vasya torkin[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\611A2DB4-B218-4624-A3F6-B9EB87BADDF5\C8C5364C-8E51-4907-89DB-4548E506FDEC.exe','');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','');
QuarantineFile('C:\Program Files (x86)\Common Files\49A34BCA-03F9-43C9-ADE5-4BF9A0CBA99D\6FAA780C-5904-49C5-8623-4D2E01DE98D8.exe','');
QuarantineFile('C:\Users\User\AppData\Local\Microsoft\DB3BE340C2CEF1D089BA773459DF5503\99CD2016DB351517AB19C13A80DEFB6E.exe','');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','611A2DB4-B218-4624-A3F6-B9EB87BADDF5');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','AppDownloads');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','DEFB6E08A31C91BA715153BD6199CD20SB');
DeleteFile('C:\Users\User\AppData\Local\Microsoft\DB3BE340C2CEF1D089BA773459DF5503\99CD2016DB351517AB19C13A80DEFB6E.exe','32');
DeleteFile('C:\Program Files (x86)\Common Files\49A34BCA-03F9-43C9-ADE5-4BF9A0CBA99D\6FAA780C-5904-49C5-8623-4D2E01DE98D8.exe','32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\611A2DB4-B218-4624-A3F6-B9EB87BADDF5\C8C5364C-8E51-4907-89DB-4548E506FDEC.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\A611A2DB4-B218-4624-A3F6-B9EB87BADDF5','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\DEFB6E08A31C91BA715153BD6199CD20SB','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\DEFB6E08A31C91BA715153BD6199CD20','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\DEFB6E08A31C91BA715153BD6199CD20','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\DEFB6E08A31C91BA715153BD6199CD20SB','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

[B][COLOR="Red"]Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи[/COLOR][/B]

Выполнил скрипты, отослал запрошенный карантин, прикрепляю новые логи

ну как там?

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

Отчеты прикрепил

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
Toolbar: HKU\S-1-5-21-1252054098-1346526562-3682711639-1000 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} - No File
OPR Extension: (News Tab) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\cnaibnehbbinoohhjafknihmlopdhhip [2016-07-07]
OPR Extension: (Smart Browser™) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\ihbiedpeaicgipncdnnkikeehnjiddck [2016-09-03]
OPR Extension: (Smart Browser™) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\ihmgiclibbndffejedjimfjmfoabpcke [2016-08-18]
OPR Extension: (Smart Browser™) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfgdmpfihlmdekaclngibpjhdebndhdj [2016-09-05]
OPR Extension: (Smart Browser™) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\npknnddabjhdijgmmbocdicnknegobkm [2016-08-28]
OPR Extension: (Smart Browser™) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\oghkljobbhapacbahlneolfclkniiami [2016-07-28]
2016-06-30 01:08 - 2016-06-30 01:08 - 00000000 ____D C:\Users\User\AppData\Local\Поиcк в Интeрнете
2016-06-30 01:08 - 2016-09-17 17:54 - 00000000 __SHD C:\Users\Все пользователи\KRB Updater Utility
2016-06-30 01:08 - 2016-09-17 17:54 - 00000000 __SHD C:\ProgramData\KRB Updater Utility
2016-06-30 01:08 - 2016-07-07 09:04 - 00000000 ____D C:\Users\User\AppData\Local\Amigo
2016-07-07 09:04 - 2016-07-09 13:01 - 00000000 ____D C:\Users\User\AppData\Local\Kometa
2016-07-07 09:04 - 2016-07-07 09:04 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk
2016-07-07 09:04 - 2016-07-07 09:04 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk
2016-07-07 09:04 - 2016-07-07 09:04 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk
C:\Users\User\AppData\Local\Temp\downloader.exe
C:\Users\User\AppData\Local\Temp\jXF51hDCtkCy.exe
C:\Users\User\AppData\Local\Temp\PZzPCIrouCoo.exe
C:\Users\User\AppData\Local\Temp\SnWBen5Mq8sR.exe
C:\Users\User\AppData\Local\Temp\ug27ynug.dll
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [150]
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [192]
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [149]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [124]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [150]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51 [192]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A [149]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC [124]
Task: {14D309E9-3437-478E-97E2-1FFE77F50542} - \Microsoft\DEFB6E08A31C91BA715153BD6199CD20 -> No File <==== ATTENTION
Task: {3CA2994B-9DBF-4E70-8D81-C5025A6042E9} - \Microsoft\KRBUUS\KRB Updater Utility Service -> No File <==== ATTENTION
Task: {5CCC44B3-CDC6-4A26-9D7A-477ECC2F8467} - \Microsoft\KRBUUS\KRBLNKRUN -> No File <==== ATTENTION
Task: {94357BB8-CF82-44B2-B409-0E9CFAB01A36} - \Microsoft\DEFB6E08A31C91BA715153BD6199CD20SB -> No File <==== ATTENTION
Task: {BD05B977-FC18-4A5D-92BD-5A5CF2015F60} - \Microsoft\Windows\DEFB6E08A31C91BA715153BD6199CD20 -> No File <==== ATTENTION
Task: {D662E5E3-C578-46CB-9B77-7F740BA9453D} - \Microsoft\Windows\DEFB6E08A31C91BA715153BD6199CD20SB -> No File <==== ATTENTION
Task: {E371A513-48EA-47FA-83CC-A9AE81E3FC44} - \Microsoft\Windows\A611A2DB4-B218-4624-A3F6-B9EB87BADDF5 -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]

Файл прикрепил

Проблема решена?

При перезапуске хрома расширение устанавливается снова. Даже если я его удалил

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Сделано

Удалите в МВАМ все, [B]кроме[/B]
[QUOTE]RiskWare.Tool.CK, D:\TORRENT\OS X Yosemite\OS X Yosemite\VMware Unlocker\VMware Unlocker - Hardware Virtualization Bypasser\vmware-vmx-patch.exe, , [cc82accc9307270f967ec5bda46043bd],
RiskWare.Tool.CK, D:\TORRENT\VMware Workstation 10.0.2 Build 1744117\keygen.exe, , [f05e750388120b2ba559d4febb45ec14],
HackTool.Agent, D:\Архивы программ\ABBYY Lingvo 12 Multilanguage Full DVD\Lingvo-12-activator-patch.exe, , [05498debddbd5cda8e93ea1c8c7443bd],
HackTool.Agent, D:\Архивы программ\Visio.Premium.2010\Visio.Premium.2010\14.0.5128.5000_visio_volume_ru-ru_cd\mini-kms_activator_v1.072_ru.exe, , [72dcd2a6d3c747efcf9ac18ef110629e],
HackTool.Agent, D:\Архивы программ\Visio.Premium.2010\Visio.Premium.2010\14.0.5128.5000_visio_volume_x64_ru-ru_cd\mini-kms_activator_v1.072_ru.exe, , [420c56221e7c83b37aef58f78c7535cb],
RiskWare.CHP, D:\Руслана и Беслана\Руслан\способы заработка(dle3.ru)\[dle3.ru]BabbloPars.rar, , [85c913658c0e44f204c2c8778480f010],
[/QUOTE]

Расширение больше не устанавливается при перезагрузке браузера, но при запуске гугл хрома вылетает: Не удалось загрузить расширение из: C:\Program Files (x86)\Common Files\{3367E919-DCCC-893D-91E2-7185C8041EF4}. Файл манифеста отсутствует или недоступен для чтения

Ярлыки запуска Хрома пересоздайте на Рабочем столе и в Панели быстрого запуска

Проблемы нету, но в Common Files остались непонятные пустые папки типа 24E2EF9D-0FDB-49F0-9488-CA99E43D89D7

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И у меня никак не получается запустить виртуальную машину Virtual Box

[quote="vasya torkin;1405963"]И у меня никак не получается запустить виртуальную машину Virtual Box[/quote]С вирусами вряд ли связано

[quote="vasya torkin;1405963"]Common Files остались непонятные пустые папки типа 24E2EF9D-0FDB-49F0-9488-CA99E43D89D7[/quote]удалите

Проблема решена, небольшие траблы с Virtual box, но тут я думаю как нибудь определю причину

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Спасибо

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]