Printable View
Не могу найти и удалить вот это: "JS/MailRu A" . На него реагирует Нод32,а затем начинается установка расширений типа "Закладки" и "Поиск". Скрин прикрепил. Вручную найти не могу к сожалению. Антивирус эту заразу блокирует, но потом начинается все сначала... [ATTACH=CONFIG]676139[/ATTACH]
В ручную по этому пути нет ничего, посоветуйте как быть, не люблю когда что то без спроса ставится.
Уважаемый(ая) [B]Ваня Тихомиров[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Выполнил... прикрепил.
Ранее создавал тему: [URL="https://virusinfo.info/showthread.php?t=221603&highlight="]https://virusinfo.info/showthread.php?t=221603&highlight= [/URL]
Так вот, реклама в браузере вновь появилась.
Антивирус выключал во время сканирования утилитами.
В каких браузерах реклама? У Вас их есть:
Edge
Google Chrome
Mozilla Firefox
Yandex
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
CloseProcesses:
Toolbar: HKU\S-1-5-21-2132749735-2064043043-3702742174-1001 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No File
CHR HKLM-x32\...\Chrome\Extension: [bpgangmffjcofiknibcmfjionicohfgj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [odkmedfomghphdnmmemhkpoanggcfbbe] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfigaoamnncijbgomifamkmkidnnlikl] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (Tampermonkey) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\dhdgffkkebhmkfjojejmpbldmpobfkfo [2018-03-17]
S3 efavdrv; \??\C:\WINDOWS\system32\drivers\efavdrv.sys [X]
2017-09-29 18:42 - 2017-09-29 18:42 - 000059904 _____ (Microsoft Corporation) C:\Users\User\eOOoL.exe
2017-09-29 18:42 - 2017-09-29 18:42 - 000059904 _____ (Microsoft Corporation) C:\Program Files (x86)\Common Files\UrFKEmINIo.exe
2019-01-24 20:42 - 2019-01-24 20:42 - 000017408 ____N (Red Hat®, Inc.) C:\Users\User\AppData\Local\Temp\jansi-32-2207044337592276872.dll
C:\Windows\SysWOW64\dwm.exe
ShellIconOverlayIdentifiers: [ MailRuCloudIconOverlay0] -> {64A9418A-B6B1-4112-B75C-E61633C9A31F} => -> No File
ShellIconOverlayIdentifiers: [ MailRuCloudIconOverlay1] -> {6A2E142B-EA63-433A-AC05-5223CBD26E65} => -> No File
ShellIconOverlayIdentifiers: [ MailRuCloudIconOverlay2] -> {6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} => -> No File
ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} => -> No File
ShellIconOverlayIdentifiers-x32: [ MailRuCloudIconOverlay0] -> {64A9418A-B6B1-4112-B75C-E61633C9A31F} => -> No File
ShellIconOverlayIdentifiers-x32: [ MailRuCloudIconOverlay1] -> {6A2E142B-EA63-433A-AC05-5223CBD26E65} => -> No File
ShellIconOverlayIdentifiers-x32: [ MailRuCloudIconOverlay2] -> {6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} => -> No File
ContextMenuHandlers1: [MRAICQCMenu] -> {7C9E7B90-88EC-4852-AC7A-C938268A5D04} => -> No File
ContextMenuHandlers3: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> No File
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} => -> No File
ContextMenuHandlers1_S-1-5-21-2132749735-2064043043-3702742174-1001: [!VideoMASTER] -> {8A7D38FA-6E11-48FF-8315-8B9EA08F5314} => -> No File
ContextMenuHandlers3_S-1-5-21-2132749735-2064043043-3702742174-1001: [MailRuCloudContextMenu] -> {6775BBF1-8D9D-4D14-A999-4E78DF8DCEC6} => -> No File
Task: {3465A065-BF20-499C-AA97-2372064D3D73} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {5419DDA2-5E99-4283-9964-4C5F10E7645D} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {699D1B93-A64E-4A5B-BAF5-2CB6A9C6BD7D} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {69AAC272-7723-4F24-85AC-499DD81E0ECD} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {82310BC7-CFFC-40AD-8C5A-95C98E66E238} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {84F59BD1-94BE-401D-AFC9-28052EDB3BC2} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {B3108117-A467-441E-8668-E99F8928B85D} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {CF440187-042C-4B85-ADC9-C73836044828} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {E24E9FAA-2FC8-4E43-B78B-01713D65400A} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {E91F28EE-3E30-4CE4-A1BD-E85BD7CD3F8E} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {F37D9607-7737-48B6-8D8A-06D82C41BF26} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {FB98157E-DEA5-48CB-88C5-3F0E088A978F} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [154]
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [148]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [144]
HKLM\...\StartupApproved\StartupFolder: => "Kaspersky Software Updater Beta.lnk"
HKLM\...\StartupApproved\Run: => "SecurityHealth"
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => "Appset Update"
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => "QIP Internet Guardian"
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => ""
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => "KometaAutoLaunch_6632489EDE512831E64C7AB45B89EBC1"
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => "GameXP AccessPoint"
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => "GoogleChromeAutoLaunch_9BAB471B03D368FCB9DADC4CBCF42FCC"
HKU\S-1-5-21-2132749735-2064043043-3702742174-1001\...\StartupApproved\Run: => "Sputnik Update"
FirewallRules: [{623087DE-0FA4-4E99-85EE-16EC5DC78ECE}] => (Allow) C:\WINDOWS\SysWOW64\msiexec.exe (Microsoft Corporation)
FirewallRules: [{5AE67CC9-5571-44FA-90E4-819D1E421F5F}] => (Block) C:\games\atomega v49346\atomega.exe No File
FirewallRules: [{CB974688-3909-418E-B964-3217AE72D93B}] => (Block) C:\games\atomega v49346\atomega.exe No File
FirewallRules: [UDP Query User{BD8770BF-5587-44D1-AEF5-DB8897A53CC5}C:\games\atomega v49346\atomega.exe] => (Allow) C:\games\atomega v49346\atomega.exe No File
FirewallRules: [TCP Query User{B2AD0E2F-85C2-4056-A35C-03C489B27953}C:\games\atomega v49346\atomega.exe] => (Allow) C:\games\atomega v49346\atomega.exe No File
FirewallRules: [UDP Query User{6FD06222-1055-496C-94EC-5046B4DB647D}C:\games\terraria\terrariaserver.exe] => (Block) C:\games\terraria\terrariaserver.exe No File
FirewallRules: [TCP Query User{99431E33-21B9-4295-AAC3-2F722322E248}C:\games\terraria\terrariaserver.exe] => (Block) C:\games\terraria\terrariaserver.exe No File
FirewallRules: [TCP Query User{63FEBA17-B7DD-4CC9-B0C2-024539BDAD54}C:\program files (x86)\games\ultimate chicken horse\win64\ultimatechickenhorse.exe] => (Allow) C:\program files (x86)\games\ultimate chicken horse\win64\ultimatechickenhorse.exe No File
FirewallRules: [UDP Query User{4DCC9C5C-E0E2-4053-BB29-DB132111E598}C:\program files (x86)\games\ultimate chicken horse\win64\ultimatechickenhorse.exe] => (Allow) C:\program files (x86)\games\ultimate chicken horse\win64\ultimatechickenhorse.exe No File
FirewallRules: [TCP Query User{EB45CDCF-367D-4CE1-99A6-A0B9890F8923}C:\program files (x86)\games\ultimate chicken horse\win32\ultimatechickenhorse.exe] => (Block) C:\program files (x86)\games\ultimate chicken horse\win32\ultimatechickenhorse.exe No File
FirewallRules: [UDP Query User{CF7991F2-D9C6-40C5-A51C-A215D25157F8}C:\program files (x86)\games\ultimate chicken horse\win32\ultimatechickenhorse.exe] => (Block) C:\program files (x86)\games\ultimate chicken horse\win32\ultimatechickenhorse.exe No File
FirewallRules: [TCP Query User{69AB90D4-C539-48FB-9B02-1BEA64E5AED9}C:\games\toybox\toyboxturbos.exe] => (Block) C:\games\toybox\toyboxturbos.exe No File
FirewallRules: [UDP Query User{F168AC17-2502-4873-9E46-A9B85A2F3759}C:\games\toybox\toyboxturbos.exe] => (Block) C:\games\toybox\toyboxturbos.exe No File
FirewallRules: [TCP Query User{EC8DB9DE-E05D-4D62-BB84-3DD650418B44}C:\games\cardlife creative survival v0.1.60\cardlifegameserver.exe] => (Allow) C:\games\cardlife creative survival v0.1.60\cardlifegameserver.exe No File
FirewallRules: [UDP Query User{72929E89-D072-4AE7-9ECB-63E3764D1121}C:\games\cardlife creative survival v0.1.60\cardlifegameserver.exe] => (Allow) C:\games\cardlife creative survival v0.1.60\cardlifegameserver.exe No File
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Отключите расширения от Mail.Ru и все прочие, которыми не пользуетесь.
Очистите кеш и cookie:
[URL="https://support.google.com/accounts/answer/32050?co=GENIE.Platform%3DDesktop&hl=ru"]в Хроме[/URL].
в Яндекс.Браузере [URL="https://yandex.ru/support/yabrowser/privacy/cookie.xml"]куки[/URL] и [URL="https://yandex.ru/support/yabrowser/privacy/cache.xml#clearing-cache"]кэш[/URL].
[URL="https://support.mozilla.org/ru/kb/kak-ochistit-kesh-firefox"]Как очистить кэш Firefox[/URL]
Сообщите, что с проблемой.
"В каких браузерах реклама?" - только в Хроме, на главной странице Mail.ru. (внизу страницы подгружается)
В браузерах очистил кэш и куки, fix сделал как сказано, с применением указанного кода. Рекламы пока нет, но наверное может снова появится, я уже боюсь тему рано закрывать... Все расширения давно удалены, удалил агент mail.ru и ICQ не трогал только Облоко mail.ru
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Автоматической загрузки расширений "Закладки" и "Поиск" после сброса Хрома на default больше пока не наблюдаю
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Хром снова стал подгружать рекламу...
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
На какое то время помогает сброс настроек хрома, а потом снова. Я удалил хром полностью вручную, каждую папку , потом поставил заново и все равно есть эта зараза
Сделайте лог [url=https://virusinfo.info/showthread.php?t=218706&p=1480220&viewfull=1#post1480220]сканирования Мalwarebytes.[/url]
Надеюсь все верно прикрепил, больше ничего не делал, антивир. выключен.
У меня появилась мысль, а как мне проверить планировщик заданий на предмет выполнения вредных скриптов, т.к сегодня все чистил, браузер итд итп... Рекламы не было, а сейчас ровно в 00ч.00минут браузер хром мигнул и на главной странице маил.ру снова подгрузилась реклама в футтер:O Так вышло что я это увидел...
[url=https://virusinfo.info/showthread.php?t=218706&p=1480302&viewfull=1#post1480302]Удалите в Мalwarebytes[/url] всё найденное.
Если реклама только на странице Mail.Ru, может, просто, не использовать её в качестве стартовой?
Добрый день, удалить то я удаляю, но эти файлы снова появляются там... ни одного расширения нету..
Сейчас во многих браузерах сервисы от Mail.Ru ставятся по умолчанию, возможно от них полностью избавиться не получится.
Новые логи FRST сделайте.
Понятно, вы меня немного сейчас огорчаете.:)
Новые логи добавлены.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Я согласен что может не получится, но обычно есть такая "кнопка" на нее жмешь и эта рекламная лента "скрывается", а тут нету...[ATTACH=CONFIG]676217[/ATTACH]
Если реклама только на странице Mail.ru - ничего не сделать, только подобрать блокировщик.
adguard блокирует, но не всегда... ладно спасибо за помощь тогда, что то придумаем
Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.