Неудаляемый Redirect VIRUS во всех браузерах!

Подхватил программу (маскировалась под приложение) Redirect VIRUS, перенаправляющую стартовую страницу на рекламу во всех браузерах: IE 11, Chrome, Firefox. Windows 10 x64
Такое уже случалось и лечилось программами Malwarebytes Free и AdwCleaner - но теперь "это" не находят.
И на этот раз ничего не помогает: ни сканирование всеми известными антивирусами и утилитами (Comodo IS, Zone Alarm, Kaspersky, AVG, Norton Power Eraser, Microsoft Malicious Software Removal Tool), ни сброс настроек браузера, файл hosts дополнительных адресов не имеет, ложные ярлыки отсутствуют, дополнительная ссылка в ярлыках отсутствует, поиск в реестре по имени первой рекламной страницы результатов не дал, расширений в браузерах нет, подозрительных процессов не обнаружено. В браузерах можно всё сбросить и почистить, обновить стартовые страницы - но после перезагрузки - всё повторяется вновь.

Уважаемый(ая) [B]ALECKTOP[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Пофиксите в [url=https://virusinfo.info/showthread.php?t=4491]HiJackThis[/url].
[code]
O22 - Task (Ready): Line Standart Helper - C:\Program Files (x86)\ScreenUp\future_helper.exe (file missing)
O22 - Task (Ready): Render Account Manager - C:\Users\Alex\AppData\Local\FilterStart\FilterStart.exe (file missing)
[/code]
Выполните скрипт [url=https://virusinfo.info/showthread.php?t=7239]AVZ[/url].
[code]
begin
QuarantineFile('C:\WINDOWS\system32\drivers\ServiceMgr.sys','');
SetServiceStart('ServiceMgr', 4);
StopService('ServiceMgr');
DeleteService('ServiceMgr');
DeleteFile('C:\WINDOWS\system32\drivers\ServiceMgr.sys','32');
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Выполните скрипт [url=https://virusinfo.info/showthread.php?t=7239]AVZ[/url].
[code]
begin
CreateQurantineArchive(GetAVZDirectory +'quarantine.zip');
end.
[/code]
Пришлите архив карантина из папки AVZ.

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
* Распакуйте архив с утилитой в отдельную папку.
* Перенесите файл [b]Check_Browsers_LNK.log[/b] из логов на ClearLNK как показано на рисунке
[url=http://dragokas.com/tools/move.gif][img]http://dragokas.com/tools/move.gif[/img][/url]
* Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке LOG.
* Прикрепите этот отчет к своему следующему сообщению.

Сделайте новые логи программой [url=https://virusinfo.info/content.php?r=136-pravila]Autologger[/url] и пришлите их.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i739.photobucket.com/albums/xx33/emeraldnzl/FRST%20Console%20with%2090days.jpg[/img]

Спасибо, за помощь,
Но, при выполнении уже первого пункта - при запуске программы HiJackThis.exe выходит ошибка: "Run-time error '326': Resourсe with identifier 'VERSION' not found"
Скриншот в приложении.

Вы сделали логи по правилам программой Autologger, которую скачали и сохранили на своём компьютере.
Войдите в папку с этой программой, в папку [B]Autologge[/B]r.
Там будет папка [B]HiJackThis[/B], откройте её.
Запустите файл HiJackThis.exe на выполнение.

В этой же папке Autologger находятся и другие папки с остальным софтом - [B]AVZ[/B] и [B]CheckBrowsersLNK[/B], которые нужно применять для выполнения лечебных скриптов.

Направляю файл карантина в приложении.
(Ранее отправил неверное вложение через красную надпись)

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Направляю файл ClearLNK-10.04.2017_08-16.log в приложении после выполнения ClearLNK

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Направляю новый лог от AutoLogger в приложении.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Направляю 2 отчета от сканирования Farbar Recovery Scan Tool в приложени

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3410000113-ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
BootExecute: autocheck autochk * sdnclean64.exe
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3410000113-2392252564-3253713625-1002\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL =
FF Plugin HKU\S-1-5-21-3410000113-2392252564-3253713625-1002: @mail.ru/GameCenter -> [No File]
R3 semav6msr64; C:\WINDOWS\system32\drivers\semav6msr64.sys [21984 2016-03-09] ()
C:\WINDOWS\system32\drivers\semav6msr64.sys
Task: {2209AD5C-6008-4141-8F36-937CBA67BCBE} - \WPD\SqmUpload_S-1-5-21-3410000113-2392252564-3253713625-1002 -> No File <==== ATTENTION
Task: {236D4BA9-95BD-4FE2-89F7-8DCDF03FA699} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {286C8DE4-C70B-4829-88DD-381822797B36} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {2A880498-33E6-4DC3-BAEA-4E4A32D7C6A0} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {4DE5BEA8-B89E-4EF7-85E0-A0780B2644DE} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {6E9B304E-99F0-46FF-90CF-ACF7B4A9B222} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {784BA163-AF74-4E6D-89EC-52DB469A525D} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {7DA3EFC4-EF84-4DA7-B589-005A274C1D4C} - \GenericSettingsHandler\Windows-Credentials\RetrySyncTask_for_S-1-5-21-3410000113-2392252564-3253713625-1002 -> No File <==== ATTENTION
Task: {87246836-4C24-4207-AD32-40AA7650C690} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {A7D00CBE-AF5C-4BB6-AB6F-3528C7249C2B} - \Auslogics\BoostSpeed\Start BoostSpeed оn Alex logon -> No File <==== ATTENTION
Task: {AC5E34EB-FD4B-45A7-914F-841D5C813804} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {B4B0E5B1-5C8B-40F5-9EC9-D540921F345C} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {C5135B6A-E6BD-43F2-8454-D5CA5DD28D5E} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {C54A83F1-AEFC-414E-ABA9-9EA29454DF6D} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {FAAFE639-E08A-423F-81CF-2BB741FC39F0} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Направляю лог-файл Fixlog.txt

В логах проблемы не видно.
Уточните, переход по зловредным ссылкам в браузерах по прежнему происходит?

Да, конечно. К сожалению, всё как и было (см. название темы) izogreb.ru и потом пересылка на ещё две страницы...(

Сделайте новые логи программами [B]FRST и Autologger[/B]

Направляю новые логи программами FRST и Autologger

Обратите внимание! У вас установлено несколько анивирусов, - Kaspersky, Malwarebytes, ZoneAlarm (в контексте модели Internet Security), DrWeb, AVG, COMODO, - [COLOR="#800000"][B]остановитесь на каком-то одном[/B][/COLOR].

Знакома ли вам программа?
[code]
MetaTrader 4 - RoboForex (HKLM-x32\...\MetaTrader 4 - RoboForex) (Version: 4.00 - MetaQuotes Software Corp.)
[/code]
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
Task: {9CD2BF24-4AF6-4E73-911A-FB41CFAE0D18} - \Command Translator Manager -> No File <==== ATTENTION
ShortcutWithArgument: C:\Users\Alex\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Project Reality\Project Reality BF2\Project Reality BF2.lnk -> C:\Program Files (x86)\Project Reality\Project Reality BF2\mods\pr\bin\PRLauncher.exe (Project Reality) -> hxxp://mohtute.ru/?utm_source=imp&utm_d=20170316
AlternateDataStreams: C:\ProgramData\.rdata:X [526]
HKU\S-1-5-21-3410000113-2392252564-3253713625-1002\...\Policies\Explorer: [FolderWSext] 90A292113A9
HKU\S-1-5-21-3410000113-2392252564-3253713625-1002\...\Policies\Explorer: [insWStime] 1428229279
HKU\S-1-5-21-3410000113-2392252564-3253713625-1002\...\Policies\Explorer: [uniWSid] 1428229279561
HKU\S-1-5-21-3410000113-2392252564-3253713625-1002\...\Policies\Explorer: [FolderWSinst] B0A05B24A02
HKU\S-1-5-21-3410000113-2392252564-3253713625-1002\...\Policies\Explorer: [NolowDiskSpaceChecks] 1
ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
SearchScopes: HKU\S-1-5-21-3410000113-2392252564-3253713625-1002 -> yandex.ru-233929 URL =
FF Plugin HKU\S-1-5-21-3410000113-2392252564-3253713625-1002: @mail.ru/GameCenter -> [No File]
CHR Extension: (Tampermonkey) - C:\Users\Alex\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhdgffkkebhmkfjojejmpbldmpobfkfo [2017-03-17]
R2 gramblrclient; C:\Program Files\Gramblr\gramblr.exe [10426448 2017-04-17] () [File not signed]
U5 UnlockerDriver5; C:\Program Files\Unlocker\UnlockerDriver5.sys [12352 2010-07-01] ()
S1 vdm3nzkw; C:\WINDOWS\SysWOW64\Drivers\vdm3nzkw.sys [13312 2017-04-10] () [File not signed]
U3 iswSvc; no ImagePath
S3 semav6msr64; \??\C:\WINDOWS\system32\drivers\semav6msr64.sys [X]
2017-04-21 06:36 - 2017-04-21 06:36 - 00000180 _____ C:\WINDOWS\system32\{A6D608F0-0BDE-491A-97AE-5C4B05D86E01}.bat
C:\Program Files (x86)\ScreenUp
C:\Users\Alex\AppData\Local\FilterStart
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Уважаемые коллеги,
Разработчики утилиты Dr.Web CureIt! выпустили недавно новые сигнатуры обновления.
После сканирования удалось споймать вредоносную программу.
Спасибо за оказанную помощь и поддержку.
Тему можно закрывать.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]87[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]