Рекламе в браузере [UDS:DangerousObject.Multi.Generic, not-a-virus:AdWare.Win32.Searchgo.a ]

Printable View

03.04.2017, 19:46
Влад Кулеш

Рекламе в браузере [UDS:DangerousObject.Multi.Generic, not-a-virus:AdWare.Win32.Searchgo.a ]

Вот логи: [url]https://yadi.sk/d/1Xvh_oAC3GcKBK[/url]
Вложения не работают.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И подскажите как обезопаситься на будущее?
03.04.2017, 19:48
Info_bot

Уважаемый(ая) [B]Влад Кулеш[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
04.04.2017, 11:50
Сомнение

[B]Здравствуйте![/B]

Удалите, если не пользуетесь:

[CODE]Unity Web Player [2017/03/25 23:17:53]-->C:\Users\Vlad\AppData\Local\Unity\WebPlayer\Uninstall.exe /CurrentUser
[/CODE]

Вам необходимо:

[B]1.[/B] [URL="http://virusinfo.info/showthread.php?t=7239"]Выполнить[/URL] следующий скрипт в AVZ:
[CODE]
begin
TerminateProcessByName('c:\users\vlad\appdata\local\temp\5d01.tmp.exe');
QuarantineFile('C:\Users\Vlad\AppData\Local\nvfontcache\nvfontcache.exe', '');
QuarantineFile('C:\Users\Vlad\AppData\Local\wupdate\wupdate.exe', '');
QuarantineFile('C:\Users\Vlad\appdata\local\searchgo\searchgo.exe', '');
QuarantineFile('C:\Users\Vlad\AppData\LocalLow\SearchGo\searchgo.dll', '');
QuarantineFile('c:\users\vlad\appdata\local\temp\5d01.tmp.exe', '');
DeleteFile('c:\users\vlad\appdata\local\temp\5d01.tmp.exe', '32');
DeleteFile('C:\Users\Vlad\appdata\locallow\searchgo\searchgo.dll', '32');
DeleteFile('C:\Users\Vlad\AppData\Local\wupdate\wupdate.exe', '32');
DeleteFile('C:\Users\Vlad\AppData\Local\SearchGo\searchgo.exe', '32');
DeleteFile('C:\Users\Vlad\AppData\Local\nvfontcache\nvfontcache.exe', '32');
DeleteFileMask('C:\Users\Vlad\AppData\Local\SearchGo', '*', true);
DeleteFileMask('C:\Users\Vlad\AppData\LocalLow\SearchGo', '*', true);
DeleteDirectory('C:\Users\Vlad\AppData\Local\SearchGo');
DeleteDirectory('C:\Users\Vlad\AppData\LocalLow\SearchGo');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'owssroqunu');
ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "wupdate" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "nvfontcache" /F', 0, 15000, true);
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
[/CODE]
Компьютер будет перезагружен.
Файл quarantine.zip из папки AVZ загрузите по ссылке [B][COLOR="#FF0000"]"Прислать запрошенный карантин"[/COLOR][/B] вверху данной темы.

[B]2.[/B] Перетащите лог Check_Browsers_LNK.log из папки с AutoLogger'ом на [URL="http://virusinfo.info/soft/tool.php?tool=ClearLNK"]утилиту ClearLNK[/URL], как показано [URL="http://dragokas.com/tools/move.gif"]на картинке[/URL].
Лог результата работы программы прикрепите в ответном письме.

[B]3.[/B] Сделайте и пришлите в ответном сообщении [URL="http://virusinfo.info/showthread.php?t=146192"]лог AdwCleaner.[/URL]
04.04.2017, 18:55
Влад Кулеш

Вот лог: [url]https://yadi.sk/d/1nPAsipw39tL8A[/url]
Как обезопаситься на будущее от рекламы?
И как удалить папку: [url]http://i.imgur.com/6KU9ImS.png[/url]
05.04.2017, 13:35
Сомнение

1. [URL="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите[/URL] все найденное AdwCleaner'ом.
Потребуется перезагрузка компьютера. Лог сформированный после удаления предоставьте в ответном сообщении.

2. Не устанавливать сомнительные расширения в браузер.
Не устанавливать потенциально нежелательное ПО.
Перед установкой ПО, проверять чтобы вместе с ним не устанавливалось доп. ПО (как правило оно рекламное).

3. Попробуйте использовать [URL="https://ru.wikipedia.org/wiki/Unlocker"]Unlocker [/URL]для удаления папки.
06.04.2017, 19:41
Влад Кулеш

[url]https://yadi.sk/i/o39GNaft3GiyLd[/url] - лог
07.04.2017, 11:12
Сомнение

Лог некорректно открывается.
Почистите Ваши вложения и приложите его к сообщению.
07.04.2017, 22:18
Влад Кулеш

123

[spoiler][QUOTE]# AdwCleaner v6.045 - Отчёт создан 06/04/2017 в 19:36:28

# Обновлено 28/03/2017 by Malwarebytes

# База данных : 2017-04-04.2 [Сервер]

# Операционная система : Windows 10 Pro (X64)

# Имя пользователя : Vlad - DESKTOP-GSQR8L6

# Запущено из : C:\Users\Vlad\Desktop\AutoLogger\adwcleaner_6.045.exe

# Режим: Очистка

# Помощь : [url]https://www.malwarebytes.com/support[/url]

***** [ Службы ] *****

***** [ Папки ] *****

[-] Папка удалена: C:\Users\Vlad\AppData\Local\Amigo

[-] Папка удалена: C:\Users\Vlad\AppData\Local\Вoйти в Интeрнет

[-] Папка удалена: C:\Users\Vlad\AppData\Local\Поиcк в Интeрнете

[-] Папка удалена: C:\Users\Vlad\AppData\Roaming\zona

[#] Папка удалена при перезагрузке: C:\Users\Vlad\AppData\Roaming\Zona

[-] Папка удалена: C:\ProgramData\Mail.Ru

[#] Папка удалена при перезагрузке: C:\ProgramData\Application Data\Mail.Ru

***** [ Файлы ] *****

[-] Файл удалён: C:\Users\Vlad\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk

[-] Файл удалён: C:\Users\Vlad\Favorites\Mail.Ru Агент - используй для общения!.url

***** [ DLL ] *****

***** [ WMI ] *****

***** [ Ярлыки ] *****

***** [ Запланированные задания ] *****

***** [ Реестр ] *****

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Classes\Zona

[#] Ключ удалён при перезагрузке: HKCU\Software\Classes\Zona

[-] Ключ удалён: HKLM\SOFTWARE\Classes\IESearchPlugin.MailRuBHO

[-] Ключ удалён: HKLM\SOFTWARE\Classes\IESearchPlugin.MailRuBHO.1

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Classes\Zona

[#] Ключ удалён при перезагрузке: [x64] HKLM\SOFTWARE\Classes\IESearchPlugin.MailRuBHO

[#] Ключ удалён при перезагрузке: [x64] HKLM\SOFTWARE\Classes\IESearchPlugin.MailRuBHO.1

[-] Ключ удалён: HKLM\SOFTWARE\Classes\CLSID\{8E8F97CD-60B5-456F-A201-73065652D099}

[-] Ключ удалён: HKLM\SOFTWARE\Classes\CLSID\{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}

[-] Ключ удалён: HKLM\SOFTWARE\Classes\CLSID\{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}

[-] Ключ удалён: HKLM\SOFTWARE\Classes\TypeLib\{C69276F0-9BC1-404F-8566-FCB14D0ED4B8}

[-] Ключ удалён: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8E8F97CD-60B5-456F-A201-73065652D099}

[-] Ключ удалён: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8E8F97CD-60B5-456F-A201-73065652D099}

[-] Ключ удалён: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}

[-] Ключ удалён: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}

[-] Ключ удалён: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{8E8F97CD-60B5-456F-A201-73065652D099}

[-] Ключ удалён: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}

[-] Ключ удалён: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\zona

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Mail.Ru

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Ultimate-Discounter

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\TablacusApp

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Gosearch

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Gosearchq

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Xpom

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\AppDataLow\Software\Mail.Ru

[#] Ключ удалён при перезагрузке: HKCU\Software\zona

[#] Ключ удалён при перезагрузке: HKCU\Software\Mail.Ru

[#] Ключ удалён при перезагрузке: HKCU\Software\Ultimate-Discounter

[#] Ключ удалён при перезагрузке: HKCU\Software\TablacusApp

[#] Ключ удалён при перезагрузке: HKCU\Software\Microsoft\Gosearch

[#] Ключ удалён при перезагрузке: HKCU\Software\Microsoft\Gosearchq

[#] Ключ удалён при перезагрузке: HKCU\Software\Xpom

[#] Ключ удалён при перезагрузке: HKCU\Software\AppDataLow\Software\Mail.Ru

[-] Ключ удалён: HKLM\SOFTWARE\Mail.Ru

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\zona

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Mail.Ru

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Ultimate-Discounter

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\TablacusApp

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Microsoft\Gosearch

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Microsoft\Gosearchq

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Xpom

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\AppDataLow\Software\Mail.Ru

[-] Значение восстановлено: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Internet Explorer\Main [Start Page]

[-] Значение восстановлено: HKCU\Software\Microsoft\Internet Explorer\Main [Start Page]

[-] Значение восстановлено: [x64] HKCU\Software\Microsoft\Internet Explorer\Main [Start Page]

[-] Ключ удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Internet Explorer\SearchScopes\{FFEBBF0A-C22C-4172-89FF-45215A135AC7}

[-] Значение восстановлено: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Internet Explorer\SearchScopes [DefaultScope] {0633EE93-D776-472f-A0FF-E1416B8B2E3A}

[#] Ключ удалён при перезагрузке: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{FFEBBF0A-C22C-4172-89FF-45215A135AC7}

[-] Значение восстановлено: HKCU\Software\Microsoft\Internet Explorer\SearchScopes [DefaultScope] {0633EE93-D776-472f-A0FF-E1416B8B2E3A}

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{FFEBBF0A-C22C-4172-89FF-45215A135AC7}

[-] Значение восстановлено: [x64] HKCU\Software\Microsoft\Internet Explorer\SearchScopes [DefaultScope] {0633EE93-D776-472f-A0FF-E1416B8B2E3A}

[-] Параметр удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run [DUP]

[-] Параметр удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Windows\CurrentVersion\Run [mailruhomesearch]

[-] Параметр удалён: HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run [mailruhomesearch]

[#] Параметр удалён при перезагрузке: HKCU\Software\Microsoft\Windows\CurrentVersion\Run [mailruhomesearch]

[#] Параметр удалён при перезагрузке: [x64] HKCU\Software\Microsoft\Windows\CurrentVersion\Run [mailruhomesearch]

[-] Ключ удалён: HKCU\Software\Google\Chrome\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Google\Chrome\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj

[-] Ключ удалён: HKCU\Software\Google\Chrome\Extensions\ojlcebdkbpjdpiligkdbbkdkfjmchbfd

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Google\Chrome\Extensions\ojlcebdkbpjdpiligkdbbkdkfjmchbfd

[-] Ключ удалён: HKCU\Software\Google\Chrome\Extensions\ccfifbojenkenpkmnbnndeadpfdiffof

[#] Ключ удалён при перезагрузке: [x64] HKCU\Software\Google\Chrome\Extensions\ccfifbojenkenpkmnbnndeadpfdiffof

***** [ Браузеры ] *****

[-] [C:\Users\Vlad\AppData\Local\Google\Chrome\User Data\Default] [extension] Удалено: ccfifbojenkenpkmnbnndeadpfdiffof

[-] [C:\Users\Vlad\AppData\Local\Google\Chrome\User Data\Default] [extension] Удалено: oelpkepjlgmehajehfeicfbjdiobdkfj

[-] [C:\Users\Vlad\AppData\Local\Google\Chrome\User Data\Default] [extension] Удалено: ojlcebdkbpjdpiligkdbbkdkfjmchbfd

[-] [C:\Users\Vlad\AppData\Local\Google\Chrome\User Data\Default] [homepage] Удалено: hxxp://mail.ru/cnt/10445?gp=831102

*************************

:: Ключи "Tracing" удалены

:: Настройки Winsock очищены

*************************

C:\AdwCleaner\AdwCleaner[C0].txt - [9364 Байт] - [06/04/2017 19:36:28]

C:\AdwCleaner\AdwCleaner[S0].txt - [8724 Байт] - [04/04/2017 18:48:32]

C:\AdwCleaner\AdwCleaner[S1].txt - [8800 Байт] - [06/04/2017 19:34:13]

########## EOF - C:\AdwCleaner\AdwCleaner[C0].txt - [9592 Байт] ##########[/QUOTE][/spoiler]....

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

вот что с вложениями происходит - [url]https://www.youtube.com/watch?v=D7ZkFy9IBG0[/url]
09.04.2017, 14:18
Влад Кулеш

Реклама не пропала.
11.04.2017, 10:58
Сомнение

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[img]http://i739.photobucket.com/albums/xx33/emeraldnzl/FRST%20Console%20with%2090days.jpg[/img]

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
11.04.2017, 18:21
Влад Кулеш

[url]https://yadi.sk/d/1nPAsipw39tL8A[/url]
13.04.2017, 20:05
Влад Кулеш

Ну что?
14.04.2017, 17:58
Влад Кулеш

up.
15.04.2017, 21:45
Влад Кулеш

Осталось при включение компьютера
17.04.2017, 11:51
Сомнение

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2031817319-2659572755-1286125541-1001\...\Run: [owssroqunu] => explorer "hxxp://granena.ru/?utm_source=uoua03n&utm_content=e739009bccd5f1e6d71a91bff5994529&utm_term=1067F340920E4C9269E8AF040BDFD580&utm_d=20161225" <===== ATTENTION
2017-04-09 15:08 - 2017-04-09 15:08 - 0852992 _____ () C:\Users\Vlad\AppData\Local\Temp\showCheckpoint.exe
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Попробуйте отключить расширение Tampermonkey и проверить проблему.
17.04.2017, 12:01
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\vlad\appdata\locallow\searchgo\searchgo.dll - [B]not-a-virus:AdWare.Win32.Agent.kcwn[/B] ( BitDefender: Trojan.GenericKD.3158757, AVAST4: Win32:Malware-gen )[*] c:\users\vlad\appdata\local\nvfontcache\nvfontcache.exe - [B]UDS:DangerousObject.Multi.Generic[/B][*] c:\users\vlad\appdata\local\searchgo\searchgo.exe - [B]not-a-virus:AdWare.Win32.Searchgo.a[/B] ( BitDefender: Trojan.GenericKD.3141570, AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]