Printable View
Сначала обрубился инет. Попробовал пингануть сайт.
При попытке пинга поймал вот такую историю
[DamageHackingGroup|site]
[Author: r4ShRay]
Вот так это выглядело:
[img]https://i.imgur.com/KYsfXpC.jpg[/img]
Прошло минут 10 и пинг пошел как и должен был
[img]https://i.imgur.com/svDFp1L.jpg[/img]
Хочется верить, что это вирус, а не взлом компа напрямую через дыры винды или еще чего
Можете глянуть что там такое может быть?
Уважаемый(ая) [B]Valirius[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Плохого не видно.
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive1: (no name) - {BBACC218-34EA-4666-9D7A-C78F2274A524} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive2: (no name) - {5AB7172C-9C11-405C-8DD5-AF20F3606282} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive3: (no name) - {A78ED123-AB77-406B-9962-2A5D9D2F7F30} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive4: (no name) - {F241C880-6982-4CE5-8CF7-7085BA96DA5A} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive5: (no name) - {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive6: (no name) - {9AA2F32D-362A-42D9-9328-24A483E2CCC3} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers\ OneDrive7: (no name) - {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} - (no file)
O22 - Task: OneDrive Standalone Update Task-S-1-5-21-1343085555-2087998066-3641034475-500 - C:\Users\vgoro\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe (file missing)
O22 - Task: OneDrive Standalone Update Task-S-1-5-21-2596967276-2406880906-839896642-500 - C:\Users\vgoro\AppData\Local\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe (file missing)[/code]
Попробую. Еще обнаружил редиректы в хроме. При поиске обычно.
Для этого надо отдельную заявку создать или можно тут как-то поискать причинуу
В этой проверим.
Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].
Прицепил файлик с логом
Уберите галочки со всех пунктов, касающихся Ace Stream Media (или предварительно удалите эту программу и сделайте повторное сканирование).
Затем нажмите [B]Карантин[/B] ([B]Quarantine[/B]) под списком найденного. Программа может предложить перезагрузить систему, сделайте тогда это.
После перезагрузки в меню [B]Файлы журналов[/B] программы будет лог очистки, файл AdwCleaner[C01].txt, прикрепите к своему следующему сообщению.
Очистите кеш и cookie [URL="https://support.google.com/accounts/answer/32050?co=GENIE.Platform%3DDesktop&hl=ru"]в Хроме[/URL] и сообщите, что с проблемами.
Да вроде исчезла проблема) Причем еще после того как HijackThis запускал. Понаблюдаю дальше, что будет происходить
Редиректы продолжают сыпаться. Причем они не сразу, как браузер открываешь появляются и не на всех сайтах. Как-то выборочно, будто с таймерами типа 1-2 раза в сутки. Не всегда получается отследить даже их.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Вот новая проверка AdwCleaner. Но в прошлый раз вроде find-it удаляли...
Чет вернулся чтоли или не до конца почистили
Деинсталлируйте пока Ace Stream Media.
Если Вы уже закрыли приложение, запустите повторное сканирование в [B]Malwarebytes AdwCleaner[/B], установите в пункте меню "Настройки" (Settings) дополнительно к отмеченным по умолчанию галочку "[B]Сбросить политики Chrome (Reset Chrome Policies[/B]". В разделе "Предустановленные программы" ничего не отмечайте.
Затем нажмите [B]Карантин[/B] ([B]Quarantine[/B]) под списком найденного. Программа может предложить перезагрузить систему, сделайте тогда это.
После перезагрузки в меню [B]Файлы журналов[/B] программы будет лог очистки, файл [B]AdwCleaner[CXX].txt[/B], прикрепите к своему следующему сообщению.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.
Нажмите кнопку [B]Сканировать[/B].
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
Ага, сделал
Я просил лог очистки Adwcleaner, а Вы так ничего и не отправили в карантин после 17.03. Он с буквой C, а не S, будет AdwCleaner[C02].txt - если всё правильно сделаете. Пишу ведь:[QUOTE]Затем нажмите Карантин (Quarantine) [COLOR="#FF0000"]под списком найденного[/COLOR].[/QUOTE]
Сделайте это, потом лог FRST переделайте.
Делал карантин, просто не знал что C более правильный файли чем S и добавил нижний, типа как более новый))
Добавил старый С и новый С + два отчета FRST.
Выделите и скопируйте в буфер обмена следующий код:[CODE]Start::
CreateRestorePoint:
HKU\S-1-5-21-1343085555-2087998066-3641034475-1001\...\MountPoints2: {1886cfb6-f26f-11ea-b481-001986003007} - "I:\setup.exe"
Task: {3E25BB75-4B0E-4F1F-B282-F7F36DDF5C60} - System32\Tasks\CCleaner Update => C:\Program Files\CCleaner\CCUpdate.exe
Edge Extension: (Нет имени) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [не найдено]
Edge Extension: (Нет имени) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [не найдено]
Edge Extension: (Нет имени) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [не найдено]
Edge Extension: (Нет имени) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [не найдено]
CHR StartupUrls: Default -> "hxxp://www.google.com","hxxp://mail.ru/cnt/7993/","hxxp://www.istartsurf.com/?type=hp&ts=1408522843&from=mp3&uid=ST1000NC001-1DY162_Z1D2SSMMXXXXZ1D2SSMM","www.google.com","hxxp://www.istartsurf.com/?type=hp&ts=1408616467&from=mp3&uid=ST1000NC001-1DY162_Z1D2SSMMXXXXZ1D2SSMM","hxxp://mail.ru/cnt/10445?gp=811036","hxxps://www.google.com/"
CHR DefaultSearchURL: Profile 4 -> hxxp://search-cdn.net/fip/?q={searchTerms}
CHR DefaultSearchKeyword: Profile 4 -> cdn
ContextMenuHandlers1: [BB FlashBack 2] -> {A8065B9E-193F-4797-B62D-8F6321E7FCCB} => -> Нет файла
ContextMenuHandlers1: [QuickShare] -> {A8065B9E-193F-4797-B62D-8F6321E7FCCB} => -> Нет файла
ContextMenuHandlers5: [igfxDTCM] -> {9B5F5829-A529-4B12-814A-E81BCB8D93FC} => -> Нет файла
AlternateDataStreams: C:\Users\vgoro\AppData\Roaming:bc6be3eabffaddc099151eee7bdd94ee [394]
AlternateDataStreams: C:\Users\vgoro\AppData\Local\Temp:$DATA [16]
Reboot:
End::[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Исправить[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Очистите кеш и cookie [URL="https://support.google.com/accounts/answer/32050?co=GENIE.Platform%3DDesktop&hl=ru"]в Хроме[/URL].
Сообщите, что с проблемой, она только в Хроме, или и в других браузерах?
Ага. Получилось вроде. Будем наблюдать за результатами.
Я другими браузерами не пользуюсь, кроме Brave, но там вроде такое не наблюдалось