Printable View
Здравствуйте, после неудачно скачанного файла конвертера в Хроме почти на любом сайте появляются тизеры, баннеры. Реклама даже в википедии. Самопроизвольно открываются окна и в довесок назойливая реклама на ютубе, которая точно не коммерческая.
Нужна Ваша квалифицированная помощь.
Результаты скана в файле.
Уважаемый(ая) [B]dimalavr2[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Еще один штрих к болезни. При открытии новой кладке в Хроме пишет chrome://newtab
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\Tasks\ComDev.job', '32');
DeleteFile('C:\WINDOWS\Tasks\wupdate.job', '32');
DeleteFile('C:\WINDOWS\Tasks\Auslogics BoostSpeed Start BoostSpeed оn Дима logon.job', '32');
DeleteFile('C:\Documents and Settings\Дима\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
DeleteFile('C:\Documents and Settings\Дима\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk');
DeleteFile('C:\Documents and Settings\Дима\Local Settings\Application Data\ComDev\ComDev.exe', '32');
DeleteFile('C:\Documents and Settings\Дима\Local Settings\Application Data\wupdate\wupdate.exe', '32');
DeleteFileMask('c:\documents and settings\дима\local settings\application data\comdev', '*', true);
DeleteFileMask('c:\documents and settings\дима\local settings\application data\wupdate', '*', true);
DeleteDirectory('c:\documents and settings\дима\local settings\application data\comdev');
DeleteDirectory('c:\documents and settings\дима\local settings\application data\wupdate');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].
Сделал. Вот отчет. Реклама в браузере все равно есть. Исчез центральный баннер в википедии и новые вкладки снова начали называться нормально, но реклама в виде тизеров в википедии и на других сайтах осталась. В ютубе ролики опять закрывает назойливые баннер. Реклама ведет на сайт okumjo2e.ru.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Сделал
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
SearchScopes: HKU\S-1-5-21-1343024091-1637723038-1801674531-1004 -> {76DEFAE6-09B2-40B2-8F8A-5A6A5D5CE4EB} URL = hxxps://search.yahoo.com/search/?toggle=1&cop=mss&ei=UTF-8&fr=vmn&type=auslog_yaapp1_ch&p={searchTerms}
CHR StartupUrls: Default -> "hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=37EBA7965EB8A0A3A0B45160D1B78236&utm_d=20170315"
CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
CHR Extension: (Пульт) - C:\Documents and Settings\Дима\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pmpoaahleccaibbhfjfimigepmfmmbbk [2017-03-03]
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].
Если не поможет - отключите все расширения в Chrome, если пропадёт реклама - подключайте по одному, проверяйте эффект.
Сообщите результат.
Все сделал. Спасибо Вам Огромное! После последнего пункта (расширения) реклама полностью исчезла. После проверки виновным оказалось расширение
Документы Google 3.9
Его удалять?
Лечение на этом закончено или логи в приложении говорят о другом?
По лечению всё.
Расширение явно подменено, хотелось бы его утащить для анализа. Примените в FRST такой fixlist.txt:[CODE]ZIP: C:\Documents and Settings\Дима\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake[/CODE]
На рабочем столе будет создан архив .ZIP с именем, состоящим из даты и времени выполнения фикса, загрузите его в доступное облачное хранилище или на файлообменник (rghost.ru, например) и дайте ссылку в личном сообщении.
Затем удалите это расширение.
Делал при закрытом браузере и не хочет делать архив. Вот что получилось.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Кикие еще можно выполнить инструкции?
Ну, нет, так нет.
Java 8 обновите до [URL="http://www.java.com/ru/download/"]Java 8 Update 121[/URL].
Запустите AdwCleaner и нажмите [B]Файл (File) -> Деинсталлировать (Uninstall)[/B].
Удалите папку C:\FRST со всем содержимым.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].