Не могу отловить источник всплывающей рекламы в Опере и Мозилле

Здравствуйте! По-видимому вместе с каким-то бесплатным софтом залетела ко мне эта штука: [URL]http://take.ms/a8ASY[/URL] (скрин). Левых расширений нет, в хроме её нет, левых приложений тоже нет. последнее подозрительное(amazon assistant) удалил накануне.
В начале каждой страницы в шапку сайта добавляется вот это [URL]http://take.ms/nOnCz[/URL] (скрин). Попытка нагуглить что-то по домену ни к чему не привела.
Комп прогонял AVZ и AdwCleaner. Не помогло.
Касперский тоже ничего не увидел.
Прикладываю логи. Надеюсь на вашу помощь :worried:

Уважаемый(ая) [B]Виталий Черников[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

HiJackThis (из каталога автологгера) [URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
O1 - Hosts: 127.0.0.1 down.baidu2016.com
O1 - Hosts: 127.0.0.1 123.sogou.com
O1 - Hosts: 127.0.0.1 www.czzsyzgm.com
O1 - Hosts: 127.0.0.1 www.czzsyzxl.com
O1 - Hosts: 127.0.0.1 union.baidu2019.com
O4 - HKCU\..\Run: [AceStream] C:\Users\Vitalych\AppData\Roaming\ACEStream\engine\ace_engine.exe
O18 - Protocol: outline3d - {D0F6E6CD-666D-4578-87A5-26A015436CA2} - (no file)
O22 - ScheduledTask: (Ready) Custom Base Helper - {root} - C:\Users\Vitalych\AppData\Local\FilterStart\FilterStart.exe (file missing)
O22 - ScheduledTask: (Ready) SearchAY - {root} - python\pythonw.exe update.pyc (file missing)
[/CODE]


AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\Vitalych\AppData\Local\FilterStart\FilterStart.exe','');
QuarantineFile('C:\Users\Vitalych\AppData\Roaming\ACEStream\engine\ace_engine.exe','');
QuarantineFile('C:\Windows\UpdateAssistant\UpdateAssistant.exe','');
DeleteFile('C:\Users\Vitalych\AppData\Local\FilterStart\FilterStart.exe','32');
DeleteFile('C:\Users\Vitalych\AppData\Roaming\ACEStream\engine\ace_engine.exe','32');
DeleteFile('C:\Windows\UpdateAssistant\UpdateAssistant.exe','32');
ExecuteFile('schtasks.exe', '/delete /TN "Custom Base Helper" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\UpdateOrchestrator\UpdateAssistant" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchAY" /F', 0, 15000, true);
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AceStream');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.


- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Не помогло: [url]http://take.ms/BbXm2[/url] Файл карантина отправлен. Лог AdwCleaner во вложении.

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

вот лог

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

логи

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [win_en_77] => [X]
HKLM-x32\...\Run: [] => [X]
GroupPolicy: Restriction - Chrome <======= ATTENTION
BHO: Youtube AdBlock -> {95E84BD3-3604-4AAC-B2CA-D9AC3E55B64B} -> C:\Program Files (x86)\Youtube AdBlock\IEEF\OW64qQnnM9.dll => No File
FF Extension: (supermegabest) - C:\Users\Vitalych\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}\[email protected] [2016-03-21]
FF Plugin HKU\S-1-5-21-4165737515-3215246481-3238259648-1001: @acestream.net/acestreamplugin,version=3.1.11 -> C:\Users\Vitalych\AppData\Roaming\ACEStream\player\npace_plugin.dll [No File]
CHR Extension: (Ace Stream Web Extension) - C:\Users\Vitalych\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo [2016-08-05]
CHR HKU\S-1-5-21-4165737515-3215246481-3238259648-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilhapdfjlmhfdgdbefpinebijmhjijpn] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Ace Stream Web Extension) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo [2016-04-02]
File: C:\Program Files (x86)\Copuphfcoly\gscMdl.dll
S2 QouchplifashMonitor; C:\Program Files (x86)\Copuphfcoly\gscMdl.dll [X]
Task: {18760226-B5B6-4711-8F91-9988966C3724} - \Qouchplifash Monitor -> No File <==== ATTENTION
Task: {2C48A623-98E2-4359-8BB2-62E27810F87B} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {3A0C87FD-1D9B-4B66-9D26-A07F5A2D2171} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
File: C:\Program Files (x86)\MyGoya\KMPFaster\ServiceProvider.exe
Task: {50D76639-30E4-4EB7-9A47-FB7901562365} - \UCBrowserUpdater -> No File <==== ATTENTION
Task: {530F55E0-897F-470B-BC4C-27FE735D2F93} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {64A34C47-B345-4454-A793-1204D7D631E5} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {6DA3E0E1-1F8E-472E-B64C-7215899150D1} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {797FC1BA-FC52-4515-9FBB-43A87ACEFDE1} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {92A1BE0A-5137-42A6-8280-F287C76A0A1B} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {9CE72A85-BF45-4BBB-A8FD-A68D45E908CD} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {A5ED8813-8DFA-4577-9262-AC8B789B28C5} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {EBFC9159-F1B6-4695-8894-9BAD9CD2C006} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
File: C:\Program Files (x86)\MyGoya\KMPFaster\KMPFaster.exe
Task: {F1AD0711-CAB5-49B8-8951-0E228867930B} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {F75B72A5-2059-4817-90BF-EE044B431F84} - \Uninstaller_SkipUac_Vitalych -> No File <==== ATTENTION
HKU\S-1-5-21-4165737515-3215246481-3238259648-1001\...\StartupApproved\Run: => "SearchAY"
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

проблема сохраняется в мозилле и опере. у хрома данная проблема не проявляется, хотя какой-то trotux сидит, вижу. Мозилла стала неадекватней. trotux пролез и на неё (либо проявил себя). В edge всё спокойно, ничего лишнего не всплывает. Прикладываю лог.

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
FF SearchPlugin: C:\Users\Vitalych\AppData\Roaming\Mozilla\Firefox\Profiles\rtctuic4.default\searchplugins\uc4w4k2p.xml [2016-09-14]
S2 QouchplifashMonitor; C:\Program Files (x86)\Copuphfcoly\gscMdl.dll [X]
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![/LIST]


Какие из следующих расширений Вы сами ставили?
[CODE]OPR Extension: (MUSICALBREAKS) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\apeahebcglkfocoaleepkhpgjfbchpbn [2015-06-15]
OPR Extension: (2048 Sidebar) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\cdkjiboegfmaoljgenhdapdngbdepigm [2016-04-23]
OPR Extension: (TollSjekk) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\eajllkdgdajffpopdjnfpbcfbmfbeopp [2015-06-15]
OPR Extension: (Классические Заметки) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\glljnehjkdeockbnkfbjclngdhnmnebd [2015-06-15]
OPR Extension: (Google Excels) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\igagnnopkimihdookfffbgealcigncco [2016-09-10]
OPR Extension: (Google Keep Sidebar) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\jahdnmdiogdjiondmkmicfekiokaalkj [2015-12-04]
OPR Extension: (Gmail Notifier) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\locmldbgfijjdphdbnjkggllhlcdngam [2016-01-08]
OPR Extension: (Ace Stream Web Extension) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo [2016-04-02]
OPR Extension: (Bookmarks by the Side) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\nfmcmkgigcijhkhpogobfhkdokdecjmb [2015-12-09]
OPR Extension: (Adblock Plus) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\oidhhegpmlfpoeialbgcdocjalghfpkp [2016-10-27]
OPR Extension: (Simple Vertical Tabs) - C:\Users\Vitalych\AppData\Roaming\Opera Software\Opera Stable\Extensions\pljjpehigfighoneamigngaoipnlgomg [2016-01-08][/CODE]

лог приложил.
По поводу расширений. все ставил сам. Ace Stream Web Extension - шло в составе программы.
На данный момент отключены расширения: MUSICALBREAKS, TollSjekk, Ace Stream Web Extension, Simple Vertical Tabs. Остальные работают.

upd: мозилла шалить перестала

[QUOTE=Виталий Черников;1424634]
На данный момент отключены расширения: MUSICALBREAKS, TollSjekk, Ace Stream Web Extension, Simple Vertical Tabs.[/QUOTE]

Удалите Ace Stream Web Extention и другие расширения которые Вы сами не ставили и сообщите, что с проблемой в opera?

Удалил всё, что было отключено. С оперой проблема всё та же, что и в первом сообщении этой темы. Мозиллу переустановил. пока проблема ушла. завтра буду пробовать переустановить оперу. как я понял из всего это видимо единственный способ избавиться от этой гадости.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

В итоге переустановил всё-таки оперу с синхронизацией данных. Реклама пропала. Где эта штука сидела так понятно и не стало. В любом случае спасибо что откликнулись. :)

[QUOTE=Виталий Черников;1424666]
В итоге переустановил всё-таки оперу с синхронизацией данных. Реклама пропала. Где эта штука сидела так понятно и не стало. В любом случае спасибо что откликнулись. :)[/QUOTE]
Скорее всего из-за синхронизации данных в опере. Видимо вредоносное расширение было синхронизировано.

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Удачи Вам!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]