Р*РµРєР»Р°РјРЅС‹Рµ СЃР°Р№С‚С‹ РІ Р±СЂР°СѓР·РµСЂРµ [not-a-virus:HEUR:AdWare.Win32.Generic]

Printable View

10.10.2018, 15:41
loyaute_au

Вложений: 1

Р*РµРєР»Р°РјРЅС‹Рµ СЃР°Р№С‚С‹ РІ Р±СЂР°СѓР·РµСЂРµ [not-a-virus:HEUR:AdWare.Win32.Generic]

Здравствуйте. Сегодня с глупой надеждой скачала файл с предполагаемой программой с сайта [I]не надо рекламировать плохие сайты[/I]. После запуска установки открылась папка где-то на диске С (не запомнила и не нашла еще сейчас), в ней начали появляться непонятные иконки новых файлов. Компьютер выключила. После перезагрузки в Google Chrome каждые минуту-две автоматически открывается вкладка на сайты 1xdlu.host, noty.info, screenwatch.yournewtab.com и другие, некоторые из них блокирует uBlock (go.onclasrv.com). В диспетчере задач висят программы 2z4h, yOHXYPmA_V, может быть, что-то еще подозрительное, но не могу вычленить. Если закрыть эти две через диспетчер, вкладки перестают открываться. Avast не реагирует.
10.10.2018, 15:42
Info_bot

Уважаемый(ая) [B]loyaute_au[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.10.2018, 21:41
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\vtgterredie\cszgcaytlk.exe');
TerminateProcessByName('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe');
TerminateProcessByName('C:\Users\Ksju\AppData\Local\Temp\F6J9VQPED1\8MY9.exe');
TerminateProcessByName('C:\Windows\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.277.811.0.exe');
StopService('nfstat');
QuarantineFile('C:\Program Files (x86)\deoRkBcMU\iUkxJV.dll', '');
QuarantineFile('C:\Program Files (x86)\MOLP\6260339.exe', '');
QuarantineFile('C:\Program Files (x86)\Multitimer\Multitimer.exe', '');
QuarantineFile('C:\Program Files (x86)\NOOfCcUskYMcdeyIflR\fvYHRME.dll', '');
QuarantineFile('C:\Program Files (x86)\pObWEjsjndqU2\yiVURkjxwJMVs.dll', '');
QuarantineFile('c:\program files (x86)\vtgterredie\cszgcaytlk.exe', '');
QuarantineFile('C:\Program Files (x86)\vTGTErrEdIE\HiaJ7v.dll', '');
QuarantineFile('C:\Program Files (x86)\vTGTErrEdIE\kqh6KABq.dll', '');
QuarantineFile('C:\Program Files (x86)\YaNQOzjyhjQoC\zwixAfy.dll', '');
QuarantineFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\p7uUQP_cKa.exe', '');
QuarantineFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe', '');
QuarantineFile('C:\ProgramData\CvclQZOtucyvVSVB\JdHsSsk.wsf', '');
QuarantineFile('C:\Users\Ksju\AppData\Local\Temp\F6J9VQPED1\8MY9.exe', '');
QuarantineFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python3.dll', '');
QuarantineFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python37.dll', '');
QuarantineFile('C:\Windows\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.277.811.0.exe', '');
QuarantineFile('C:\WINDOWS\System32\drivers\nfstat.sys', '');
DeleteFile('C:\Program Files (x86)\deoRkBcMU\iUkxJV.dll', '');
DeleteFile('C:\Program Files (x86)\MOLP\6260339.exe', '64');
DeleteFile('C:\Program Files (x86)\Multitimer\Multitimer.exe', '32');
DeleteFile('C:\Program Files (x86)\NOOfCcUskYMcdeyIflR\fvYHRME.dll', '');
DeleteFile('C:\Program Files (x86)\pObWEjsjndqU2\yiVURkjxwJMVs.dll', '');
DeleteFile('c:\program files (x86)\vtgterredie\cszgcaytlk.exe', '');
DeleteFile('C:\Program Files (x86)\vTGTErrEdIE\HiaJ7v.dll', '');
DeleteFile('C:\Program Files (x86)\vTGTErrEdIE\kqh6KABq.dll', '');
DeleteFile('C:\Program Files (x86)\YaNQOzjyhjQoC\zwixAfy.dll', '');
DeleteFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\p7uUQP_cKa.exe', '64');
DeleteFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe', '');
DeleteFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe', '32');
DeleteFile('C:\ProgramData\CvclQZOtucyvVSVB\JdHsSsk.wsf', '');
DeleteFile('C:\Users\Ksju\AppData\Local\Temp\F6J9VQPED1\8MY9.exe', '');
DeleteFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python3.dll', '');
DeleteFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python37.dll', '');
DeleteFile('C:\Windows\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.277.811.0.exe', '');
DeleteFile('C:\WINDOWS\System32\drivers\nfstat.sys', '');
ExecuteFile('schtasks.exe', '/delete /TN "GItHvXoKUgtwAW" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "LgUiZWCNTEYJs2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "qZkEPNCGHOoYARSao2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "RzmVfSQvlkpVqKr2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "zkqtSUqvflBJtZIfTnB2" /F', 0, 15000, true);
DeleteService('nfstat');
DeleteFileMask('c:\program files (x86)\deorkbcmu', '*', true);
DeleteFileMask('c:\program files (x86)\multitimer', '*', true);
DeleteFileMask('c:\program files (x86)\noofccuskymcdeyiflr', '*', true);
DeleteFileMask('c:\program files (x86)\pobwejsjndqu2', '*', true);
DeleteFileMask('c:\program files (x86)\vtgterredie', '*', true);
DeleteFileMask('c:\program files (x86)\yanqozjyhjqoc', '*', true);
DeleteFileMask('c:\program files\windowspowershell\cqha6lbnj39xvzpatg2fvphn90yf63dwrhf3qn', '*', true);
DeleteFileMask('c:\programdata\cvclqzotucyvvsvb', '*', true);
DeleteFileMask('c:\users\ksju\appdata\local\temp\f6j9vqped1', '*', true);
DeleteDirectory('c:\program files (x86)\deorkbcmu');
DeleteDirectory('c:\program files (x86)\multitimer');
DeleteDirectory('c:\program files (x86)\noofccuskymcdeyiflr');
DeleteDirectory('c:\program files (x86)\pobwejsjndqu2');
DeleteDirectory('c:\program files (x86)\vtgterredie');
DeleteDirectory('c:\program files (x86)\yanqozjyhjqoc');
DeleteDirectory('c:\program files\windowspowershell\cqha6lbnj39xvzpatg2fvphn90yf63dwrhf3qn');
DeleteDirectory('c:\programdata\cvclqzotucyvvsvb');
DeleteDirectory('c:\users\ksju\appdata\local\temp\f6j9vqped1');
DelBHO('{4380B7D5-B068-48A8-9012-70B2490292FB}');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'yOHXYPmA_V.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Multitimer');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'OMEWPRODUCT_');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'rwzue5lldol');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].
11.10.2018, 08:01
loyaute_au

Вложений: 1

Прикрепляю новый лог.
После выполнения скрипта в AVZ выпадает окно с сообщением о поврежденной корзине.
11.10.2018, 19:49
Vvvyg

Долечим - починим.

Выполните скрипт в AVZ:[CODE]begin
ClearQuarantine;
TerminateProcessByName('C:\Program Files (x86)\MR\1674716.exe');
QuarantineFile('C:\Program Files (x86)\MR\1674716.exe', '');
QuarantineFile('C:\Program Files (x86)\vTGTErrEdIE\tyD47Yk6.dll', '');
DeleteFile('C:\Program Files (x86)\MR\1674716.exe', '64');
DeleteFileMask('C:\Program Files (x86)\MR', '*', true);
DeleteFileMask('c:\program files (x86)\vtgterredie', '*', true);
DeleteDirectory('C:\Program Files (x86)\MR');
DeleteDirectory('c:\program files (x86)\vtgterredie');
DelBHO('{4380B7D5-B068-48A8-9012-70B2490292FB}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'qixmweankpy', '64');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
12.10.2018, 07:37
loyaute_au

Вложений: 1

Результаты сканирования.
12.10.2018, 08:40
Vvvyg

Удалите программу YoutubeAdBlock, это adware.

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].

Скачайте [URL="http://www.tweaking.com/files/setups/tweaking.com_windows_repair_aio.zip"]Windows Repair (All In One)[/URL], распакуйте, запустите, "Jump To Repairs", "Open Repairs", отметьте только пункт [B]33.01 "Repair Recycle Bin C:"[/B] и нажмите "[B]Start Repairs[/B]".

После перезагрузки сообщите, что с проблемами.
12.10.2018, 16:36
loyaute_au

Вложений: 1

YoutubeAdBlock в панели управления не нашла, из подозрительного там NetMeterX.
Сообщение о поврежденной корзине больше не выпадает.
Если открывать YouTube, то все еще выпадает предложение включить уведомления и всплывающее окно. Новые вкладки беспорядочно больше не открываются.
12.10.2018, 20:37
Vvvyg

[url="https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
13.10.2018, 14:47
loyaute_au

Вложений: 2

Прикрепляю отчеты.
13.10.2018, 20:55
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
(Python Software Foundation) C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python.exe
(Python Software Foundation) C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd\python\python.exe
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
BHO: YoutubeAdBlock -> {4380B7D5-B068-48A8-9012-70B2490292FB} -> C:\Program Files (x86)\vTGTErrEdIE\tyD47Yk6.dll => No File
CHR HomePage: Default -> hxxp://mail.ru/cnt/10445?gp=blackbear5
CHR HKU\S-1-5-21-544854241-4235299067-3513153598-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-544854241-4235299067-3513153598-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Блокировщик Рекламы Для Ютуба™) - C:\Users\Ksju\AppData\Roaming\Opera Software\Opera Stable\Extensions\dlcmabphabemcibpinmdkmojaofogdee [2018-10-10]
2018-10-12 19:23 - 2018-10-13 17:49 - 000000000 ____D C:\AdwCleaner
2018-10-10 12:23 - 2018-10-10 12:23 - 000000000 ____D C:\Users\Ksju\AppData\LocalLow\XHuouyYfKSUmU
2018-10-10 12:03 - 2018-10-10 19:13 - 000000000 ____D C:\Program Files (x86)\DdJDUMRiVWUn
2018-10-10 12:01 - 2018-10-10 19:10 - 000000000 ____D C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd
2018-10-10 12:01 - 2018-10-10 12:01 - 000003966 _____ C:\WINDOWS\System32\Tasks\YoutubeDownloader_upd
2018-10-10 12:01 - 2018-10-10 12:01 - 000003496 _____ C:\WINDOWS\System32\Tasks\YoutubeDownloader
2018-10-10 11:50 - 2018-10-11 11:15 - 000000000 ____D C:\Program Files (x86)\MOLP
Task: {F9D2FB2B-BA02-4D42-89A9-ED5690101A71} - System32\Tasks\YoutubeDownloader => C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\pythonw.exe [2018-05-02] (Python Software Foundation) <==== ATTENTION
C:\Users\Ksju\AppData\Roaming\YoutubeDownloader
Task: {740E7702-776B-467F-9175-06C174DA08E7} - System32\Tasks\YoutubeDownloader_upd => C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd\python\pythonw.exe [2018-05-02] (Python Software Foundation) <==== ATTENTION
C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd
FirewallRules: [TCP Query User{7B2E0FC8-BBAF-4495-8964-D25EB70CE137}C:\users\ksju\appdata\roaming\haiyuinst\plugins\download\minithunderplatform.exe] => (Allow) C:\users\ksju\appdata\roaming\haiyuinst\plugins\download\minithunderplatform.exe
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U],
Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемой.
14.10.2018, 15:35
loyaute_au

Вложений: 1

Возможно, поторопилась - нашла до последнего ответа то расширение "для youtube" и удалила в двух браузерах.
После опции Fix в FRST и очистки истории/кэша браузеров больше не выпадало предложений включить уведомления и дополнительных окон.
14.10.2018, 16:18
Vvvyg

Т. е. проблема решена?
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
16.10.2018, 18:56
loyaute_au

Да, проблема решена, спасибо!
16.10.2018, 19:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\molp\6260339.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\program files (x86)\mr\1674716.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\program files (x86)\vtgterredie\kqh6kabq.dll - [B]not-a-virus:AdWare.Win32.Neoreklami.ohj[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\program files\windowspowershell\cqha6lbnj39xvzpatg2fvphn90yf63dwrhf3qn\yohxypma_v.exe - [B]HEUR:Trojan-Clicker.MSIL.Agent.gen[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\ksju\appdata\local\temp\f6j9vqped1\8my9.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Variant.Barys.52678, AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]