Printable View
очень нужна помощь. использовал различные утилиты. но не помогает. каждый раз при перезапуске гугл хрома включается расширение Fast Search, из-за которого поиск через гугл ищет через майл ру. После его удаления всё вроде нормально , но после перезапуска браузера оно снова на месте. очень нужна помощь. скину логи и всё необходимое. [ATTACH=CONFIG]647866[/ATTACH]
Уважаемый(ая) [B]Live Whisper[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
прикрепил логи
Здравствуйте !!!
[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
+[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
сделал
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
готово. расширение для хрома всё ещё возвращается после удаления
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {bfeea836-1273-11e5-8edc-a9a99950ba79} - G:\.\StartModem.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {ccb998a4-462d-11e5-95ce-f09af6ecd964} - G:\LGAutoRun.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {d0b47630-3f3d-11e4-8cfa-485ab66ca384} - G:\AutoRun.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {e1c73bc9-6666-11e5-8410-c0b33aed5de8} - H:\LGAutoRun.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {eeb06e4d-ee5d-11e3-9238-485ab66ca384} - F:\RunThis.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {f4ee7335-5ba4-11e5-bbd6-ef846676b446} - G:\AutoRun.exe
AppInit_DLLs: C:\Windows\system32\nvinitx.dll => C:\Windows\system32\nvinitx.dll [181488 2016-08-26] (NVIDIA Corporation)
AppInit_DLLs-x32: C:\Windows\SysWOW64\nvinit.dll => C:\Windows\SysWOW64\nvinit.dll [159352 2016-08-26] (NVIDIA Corporation)
Startup: C:\Users\MegaKomp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\USB Disk Security.lnk [2014-06-07]
ShortcutTarget: USB Disk Security.lnk -> C:\Program Files (x86)\USB Disk Security\USBGuard.exe (No File)
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
FF Plugin: @esn/npbattlelog,version=2.5.1 -> C:\Program Files (x86)\Battlelog Web Plugins\2.5.1\npbattlelogx64.dll [No File]
FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll [No File]
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw_1207148.dll [No File]
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
FF Plugin-x32: pmang.jp/pmangdiagnostic-1 -> D:\Games\GameOn\BlackDesert_live\Common files\nppmangdiagnostic.dll [No File]
FF Plugin-x32: pmang.jp/pmangsupport-1 -> D:\Games\GameOn\BlackDesert_live\Common files\nppmangsupport.dll [No File]
FF Plugin HKU\S-1-5-21-3154799819-4227965079-1599027789-1000: @nsroblox.roblox.com/launcher -> C:\Program Files (x86)\Roblox\Versions\version-f7131a583a8d4ea7\\NPRobloxProxy.dll [No File]
FF Plugin HKU\S-1-5-21-3154799819-4227965079-1599027789-1000: @nsroblox.roblox.com/launcher64 -> C:\Program Files (x86)\Roblox\Versions\version-f7131a583a8d4ea7\\NPRobloxProxy64.dll [No File]
FF Plugin-x32: @esn/npbattlelog,version=2.4.0 -> C:\Program Files (x86)\Battlelog Web Plugins\2.4.0\npbattlelog.dll [No File]
FF Plugin-x32: @esn/npbattlelog,version=2.5.1 -> C:\Program Files (x86)\Battlelog Web Plugins\2.5.1\npbattlelog.dll [No File]
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/pdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\Default\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\Guest Profile\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\System Profile\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (VK-Download) - C:\Users\MegaKomp\AppData\Roaming\Opera Software\Opera Stable\Extensions\ildkkhljjpmpfhdfielmpmjhdnfkcnog [2014-08-30]
OPR Extension: (zheka-mastero) - C:\Users\MegaKomp\AppData\Roaming\Opera Software\Opera Stable\Extensions\ipkdhmegpdbbckflpmokchoeajfngbad [2014-06-08]
2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\Users\Все пользователи\ntuser.pol
2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\ProgramData\ntuser.pol2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\Users\Все пользователи\ntuser.pol
2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\ProgramData\ntuser.pol
Reboot:[/CODE]
[*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
сделано. может нужна информация об этом расширении? может поможет что-нибудь? Могу сделать скриншоты и т.д.
[quote="Live Whisper;1415893"]Могу сделать скриншоты и т.д.[/quote]
Скриншот всех расширений в Google Chrome.
вот оно. зло[ATTACH=CONFIG]647998[/ATTACH]
[URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]
сделал но прислать не могу. т.к. лимит сайт
а по вложениям превышен
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
вот
Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
delref %SystemDrive%\PROGRAMDATA\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\54.0.2840.99\CHROME.DLL
delref D:\GAMES\SAINT ROW\DOWNLOAD MORE GAMES.URL
delref %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\BROWSERS\EXE.REHCNUAL.BAT
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDMPOJJILDDEFGNHIICJCMHBKJGBBCLOB%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\INTERNET EXPLORER (2).LNK
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\GUEST PROFILE\EXTENSIONS
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\SYSTEM PROFILE\EXTENSIONS
delref %SystemDrive%\PROGRAM FILES (X86)\OPERA\LAUNCHER.EXE
delref %SystemDrive%\USERS\MEGAKOMP\DESKTOP\TUNNGLE_SETUP_V5.8.4.EXE
delref D:\DOWNLOADS\CHROMEINSTALL-8U45.EXE
regt 29
regt 28
delnfr
restart
czoo[/CODE]
выполнил. расширение всё равно появляется и включается после перезапуска хрома. лаадно. спасибо за помощь. я смирюсь, наверное. если его просто отключить не удаляя то оно и не включается после перезапуска браузера.
тут два варианта, либо на компьютере стоит программа из недавно установленных с которой установилось это расширение и через неё же оно восстанавливается, через логи я это не могу определить, не видно. Второй вариант, если расширение восстанавливается после входа в аккаунт Google, то восстанавливается оно через синхронизацию настроек аккауната, временно можно попробовать отключить синхронизацию, смысла нет если Вы не заходили в аккаунт, это не оно, опять же я этого не вижу в логах.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
P.S. [url]http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827[/url] [QUOTE]6. Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)[/QUOTE]
Вы не прислали папку ZOO, в ней должен быть файл: [CODE]%SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\54.0.2840.99\CHROME.DLL[/CODE], у него отсутствует цифровая подпись Googlle и контрольные суммы не похожи на те которые должны быть, возможно он модифицирован (заражен), проверьте его на [url]https://virustotal.com/[/url]
сайт показал что файл чист. не могу прикрепить так как максимальный размер вложений уже забит. а удалить предыдущие не получается.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Сообщите мне если что-нибудь получится узнать. расширение Fast Search. но так же оно называется Tab Hibernation. могу оставить мэйл или же следить дальше за этой темой
[url]http://images.vfl.ru/ii/1480346406/a0ce5e73/15133204.jpg[/url] так оно выглядит при поиске в магазине расширений.
Установил себе это расширение, после установки предложило войти в аккаунт Google для синхронизации расширений, в акаунт я не заходил, синхронизацию не делал, удалилось без проблем, после перезапуска браузера не появляется.
хммм. я менял пользователя и тогда оно его находило и был вариант не устанавливать. но всё равно. оно вообще было в архиве с кучей майл шттук поэтому возможно всё же его что-то запускает.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[url]http://images.vfl.ru/ii/1480354586/317dd43e/15134953.jpg[/url] убрал все синхронизации. отключил расширение , удалил. зашёл с пустого хрома. оно всегда справа в углу отображено вот так, когда включено
Нашёл папку с расширением этим. удалить не могу, пишет сперва закрыть файл и т.д. хотя хром выключен.
Нашёл с чем связано. с процессом Internet Explore.exe при завершении этого процесса он вновь открывается.
успел удалить папку с эти расширением в промкжутке пока эксплорер не включился- он включился и папка появилась
. вот. зависит от Эксплорера. жду дальнейших указаний, надеюсь эта информация поможет устранить проблему
Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL].
Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]
И новый FRST, буду сравнивать изменения.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[quote="Live Whisper;1416279"]Нашёл папку с расширением этим.[/quote]
Какой к нему путь ?