Атака вируса greenade.men

Уважаемые товарищи!
Прошу оказать содействие в восстановлении работоспособности системы. Работа в браузере стала невозможной в виду постоянного автозапуска вредоносной ПО "greenade.men".
Не так часто, но с завидным постоянством, при работе в chrome всплывают окна с рекламой в виде видео файлов с озвучкой. Пока не закроешь страничку будет орать.
Кроме того, имел неосторожность удалить папку temp на системном диске после чего всплывающие окна типа "не найден htpp://google.ru..." и подобные окна стали постоянной проблемой.

Надеюсь на помощь.

С уважением, Максим.

Уважаемый(ая) [B]4a6kin[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выручайте, злодей вообще в инет не дает выйти.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll', '');
QuarantineFile('C:\Users\max\AppData\Local\SearchGo\searchgo.exe', '');
QuarantineFile('C:\Users\max\AppData\LocalLow\SearchGo\searchgo.dll', '');
QuarantineFile('C:\Users\max\AppData\Roaming\Microsoft\msi.exe', '');
QuarantineFile('C:\Users\max\AppData\Roaming\SETUPS~1\ml.py', '');
QuarantineFile('C:\Users\max\AppData\Roaming\SETUPS~1\python\pythonw.exe', '');
QuarantineFile('C:\Users\max\AppData\Roaming\setupsk\ml.py', '');
QuarantineFile('C:\Users\max\AppData\Roaming\setupsk\python\pythonw.exe', '');
DeleteFile('C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll', '32');
DeleteFile('C:\Users\max\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
DeleteFile('C:\Users\max\AppData\Local\SearchGo\searchgo.exe', '32');
DeleteFile('C:\Users\max\AppData\LocalLow\SearchGo\searchgo.dll', '32');
DeleteFile('C:\Users\max\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk');
DeleteFile('C:\Users\max\AppData\Roaming\Microsoft\msi.exe', '32');
DeleteFile('C:\Users\max\AppData\Roaming\SETUPS~1\ml.py', '32');
DeleteFile('C:\Users\max\AppData\Roaming\SETUPS~1\python\pythonw.exe', '32');
DeleteFile('C:\Users\max\AppData\Roaming\setupsk\ml.py', '32');
DeleteFile('C:\Users\max\AppData\Roaming\setupsk\python\pythonw.exe', '32');
DeleteFile('C:\Users\max\Favorites\Links\Интернет.url');
ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "setupsk" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "setupsk_upd" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "StartMenuCache" /F', 0, 15000, true);
DeleteFileMask('c:\program files (x86)\juqgehuwuk cache', '*', true);
DeleteFileMask('c:\users\max\appdata\local\searchgo', '*', true);
DeleteFileMask('c:\users\max\appdata\locallow\searchgo', '*', true);
DeleteFileMask('c:\users\max\appdata\roaming\setups~1', '*', true);
DeleteFileMask('c:\users\max\appdata\roaming\setupsk', '*', true);
DeleteDirectory('c:\program files (x86)\juqgehuwuk cache');
DeleteDirectory('c:\users\max\appdata\local\searchgo');
DeleteDirectory('c:\users\max\appdata\locallow\searchgo');
DeleteDirectory('c:\users\max\appdata\roaming\setups~1');
DeleteDirectory('c:\users\max\appdata\roaming\setupsk');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Browser Manager');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'forjtietpj');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(4);
ExecuteRepair(23);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{089680CB-B4FB-4165-90C8-65A5916A5A35} [URL] = http://pelyena.ru/search?q={searchTerms} - WSearch
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{A06ED961-D98F-4CF9-A89B-80AB11DB149C} [URL] = http://pelyena.ru/search?q={searchTerms} - WSearch
O21 - ShellExecuteHooks: (no name) - {7FBEA058-DE40-11E6-83E9-64006A5CFC23} - C:\Users\max\AppData\Roaming\Kowelystzother\Shuquty.dll (file missing) (disabled)
[/code]

Сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].

Уважаемый Хелпер!
К сожалению отправить карантин через ссылку не удалось, по ранее описанным в личном сообщении обстоятельствам, поэтому прикрепляю этот файл (карантин) в числе остальных, Вами запрошенных.
Заранее благодарен
С уважением, Максим

Не надо крепить карантин к сообщению, это запрещено правилами, он либо содержит вирусы, либо пуст, как в Вашем случае.

Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]- [HTTP][MASK][h][s] "C:\Users\max\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk" -> ["C:\Windows\explorer.exe" =>> "hxxp://bidonti.ru/?utm_source=startlink03&utm_content=eb665dd90f9cf4c3bc745836cd68616f&utm_term=8D9907B91747DFBFBF48F9A43FF3CAC6&utm_d=20170507"]
- [HTTP][MASK][h][s] "C:\Users\max\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk" -> ["C:\Windows\explorer.exe" =>> "hxxp://bidonti.ru/?utm_source=startlink03&utm_content=eb665dd90f9cf4c3bc745836cd68616f&utm_term=8D9907B91747DFBFBF48F9A43FF3CAC6&utm_d=20170507"]
- "C:\Users\max\Favorites\Links\Интернет.url" -> hxxp://bidonti.ru/?utm_source=favorites03&utm_content=07f10acfdd595fd238ff18cc26437193&utm_term=8D9907B91747DFBFBF48F9A43FF3CAC6&utm_d=20170507[/CODE]
Отчёт о работе прикрепите.

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.

Все сделал согласно Вашей инструкции. Какие мои дальнейшие действия?

Вы сделали не очистку, а ещё одно сканирование в adwcleaner.

Прошу прощения на буковки в конце не обратил внимания (Scan, Clean).

Проблема решена?

к сожалению нет

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

всплывает тоже окно grenade.men

Отключите все расширения в Chrome, если пропадёт реклама - подключайте по одному, проверяйте эффект.
Сообщите результат.

как это сделать? алгоритм

[url]https://support.google.com/chromebook/answer/2589434?hl=ru[/url]

Спасибо. Проблемы больше нет. Расширение Документы гугл удалил.

Запустите AdwCleaner и нажмите [B]Файл (File) -> Деинсталлировать (Uninstall)[/B].

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].