Вирусы searche-engine.ru и go.mail.ru

После скачивания и распаковки файла с документами, получил вирус. Установился Амиго, Спутник и т.д. Сейчас все программы удалил. Теперь после выполнения поиска в Хром перенаправляет на go.mail.ru. Когда сбрасываю настройки браузера - вреде становится все на свои места. Как только устанавливаю расширения браузера - снова устанавливается поисковик мейл ру. Malwarebytes не находит вредоносное ПО, программа ADWCleaner постоянно находит угрозу startup mail.ru/ctn/10455?gp=802851

Уважаемый(ая) [B]Igor Fil[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[ATTACH=CONFIG]650321[/ATTACH]

Здравствуйте !!!

[quote="Igor Fil;1420584"]программа ADWCleaner постоянно находит угрозу startup mail.ru/ctn/10455?gp=802851[/quote]
Лог ADWCleaner-а покажите.

+
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.

Лог ADWCleaner [ATTACH=CONFIG]650356[/ATTACH]
Лог Farbar Recovery Scan Tool [ATTACH=CONFIG]650359[/ATTACH]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2939344874-1724699151-1623257754-1001\...\Run: [AdobeBridge] => [X]
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\6c4vetqx.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\6c4vetqx.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\6c4vetqx.default -> hxxp://mail.ru/cnt/10445?gp=818405
FF Keyword.URL: Mozilla\Firefox\Profiles\6c4vetqx.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BDFCF898C-B804-4700-BB82-ABB92CD27E8D%7D&gp=811014
FF Extension: (Speed Dial [FVD] - New Tab Page, Sync...) - C:\Users\Igor\AppData\Roaming\Mozilla\Firefox\Profiles\6c4vetqx.default\Extensions\[email protected] [2016-03-10]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Igor\AppData\Roaming\Mozilla\Firefox\Profiles\6c4vetqx.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-12-06]
FF Extension: (Adblock Plus) - C:\Users\Igor\AppData\Roaming\Mozilla\Firefox\Profiles\6c4vetqx.default\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2016-03-10]
FF SearchPlugin: C:\Users\Igor\AppData\Roaming\Mozilla\Firefox\Profiles\6c4vetqx.default\searchplugins\mailru.xml [2016-12-06]
OPR Extension: (No Name) - C:\Users\Igor\AppData\Roaming\Opera Software\Opera Stable\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2016-12-14]
Task: {7EA44114-3BB6-471B-81EE-36B8CDCAAA16} - System32\Tasks\syslog => C:\Users\Igor\AppData\Local\syslog\syslog.exe <==== ATTENTION
EmptyTemp:
Reboot:
[/CODE]

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[ATTACH=CONFIG]650410[/ATTACH]

Что с проблемой ?

Только включил расширения в Хроме и попробовал воспользоваться поисковиком - как сразу перенаправило на go.mail.ru. и открываются новые окна с рекламой. ADWCleaner снова обнаруживает startup mail.ru/ctn/10455?gp=802851

Проблема только в хроме? Сделайте новые логи FRST.

Другими поисковиками не пользуюсь. По-этому проблема только в Хроме

[QUOTE=Igor Fil;1420837]Другими поисковиками не пользуюсь. По-этому проблема только в Хроме[/QUOTE]
Хорошо.

[quote="mrak74;1420833"]Сделайте новые логи FRST.[/quote]
Жду новые логи.

[ATTACH=CONFIG]650425[/ATTACH]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR StartupUrls: Default -> "hxxp://www.google.com","hxxp://mail.ru/cnt/10445?gp=802851"
Reboot:
[/CODE]

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[quote="Igor Fil;1420829"]Только включил расширения в Хроме и попробовал воспользоваться поисковиком - как сразу перенаправило на go.mail.ru.[/quote]
Похоже что включили модифицированное расширение, путём отключения расширений поочередно, одновременно проверяя работу интернета вычисляете виновника, удаляете полностью, если привыкли к нему переустановите с 0-ля.

[ATTACH=CONFIG]650428[/ATTACH]

Модифицированное расширение вычислили ?

Нашел падлу "Расширение для отключения Google Analytics 4.1
Передает в код JavaScript Google Analytics (ga.js) сведения о том, что не следует отправлять данные в Google Analytics." использовал для того, чтоб гугл аналитика не фиксировало входы на свой сайт

Удалите :).

Тем не менее ADWCleaner продолжает находить угрозу startup mail.ru/ctn/10455?gp=802851

Запустите его еще раз, обязательно запуск от имени администратора, найденное удалите, перезагрузите компьютер, проверьтесь еще раз.