Браузер открываеться сам, с рекламмой и опасного содержимого

Доброго времени суток! В общем проблема такая:
Браузер открывается сам по себе , в любое время как сам захочет, с переходом на сайты с играми и рекламами о заработке, либо с опасным содержимым . Бывает такое что при поиске в поисковике "Гугль", вместо того чтобы открыть то что я запросил, он сразу начинает открывать сайты с опасным содержимым (трояны и т.д.) с множеством переходов , сначала первую ссылку а затем вторую и т.д. О чем извещает ESET smart sekurity 6 версия, и сразу блокирует доступ. Стоит "Мозила" версия - 22, при попытке закрыть браузер, он начинает зависать и не закрывается, если запущены другие программы то они зависают тоже. Вот и приходиться убивать процесс через диспетчера задач.
В чем причина? что я мог такое поставить и как убить это нечто?...

В общем ребята вот что получилось: При запуске АVZ начал сканирование компьютара, чтобы собрать инфу. В результате, приближаясь к завершению сканировыания, AVZ нашел трояна по пути: C:\User\uSER\aPPdATA\Local\Temp\instal.exe>>>>>tro jan.Win32.Agent2.krh
далее я не знаю удалил он его или нет, но я не пойму, как ESET NOD-32 пропустил его в систему и даже не среогировав??? Далее, перезагружаю комп. запускаю скрипт для сбора инфы для вашего сайта, и как только он закончил собирать инфу, как вдруг открываеться снова браузер сам по себе с сылкой на игру самолеты. Я попытался закрыть эту вкладку в браузере, но она не закрываеться. Браузер заблокировал закрытие>, пришлось убить процесс диспетчером задач. То есть я так понял что AVZ его не убил, а нашел только трояна...
прилогаю логи ниже ...
второй файл protection-2, показывает странное поведения "мал вар" блокирует ип адресс 111.111.111.111

Уважаемый(ая) [B]platon[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\User\AppData\Local\Temp\Rar$DR00.033\LaunchGTAIV.exe','');
QuarantineFile('C:\Users\User\AppData\Local\Temp\Rar$EX00.957\Clickermann v4.5\Clickermann.exe','');
QuarantineFile('C:\Users\User\AppData\Local\Temp\Rar$EX00.964\Keygen.EXE','');
QuarantineFile('C:\Users\User\Downloads\clickermann_last.zip','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://yambler.net/?im
R3 - URLSearchHook: (no name) - - (no file)
[/CODE]

Сделайте логи RSIT ([url]http://virusinfo.info/showthread.php?t=115256[/url])

программа "кликер ман" это программа которая кликает в браузере по параметрам, до нее все было так же...
второй файл определеный как троян, это "кряк" игры GTA . Единственый файл к которому у меня сомнения это
C:\Users\User\AppData\Local\Temp\Rar$EX00.964\Keygen.EXE

Карантина не вижу логов запрошенных тоже.

всё сделал как описано выше, выключил антивирус и файрвол, отсоеденил кабель интернета от компа, выполнил скрипт после комп перезагрузился, после ввел второй скрипт, после отослал вам запрошеный карантин (вверху сайта красным) далее нашел эти 2 строчки и профиксил их в hijackthis, как вдруг запускаеться браузер снова сам по себе с этой ссылкой !!! [url]http://ru.playpw.com/welcome/l1/?p=ad1&uci&referal_uid=1012_450852464[/url] :(
в общем не помогло не чего.
прикрепляю логи RSIT

1) AmmyyAdmin сами устанавливали?

2) [LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

3) Сделайте лог MiniToolBox ([url]http://virusinfo.info/showthread.php?t=122524[/url])

AmmyyAdmin ставил сам не помню откуда, это .exe файл запускаеться без установки , могу удалить. Вы так же можете зайти через нее ко мне в комп и глянуть траблы...
прикрепляю отчеты: AdwCleaner[R1] и MiniToolBox.exe

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Delete"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST][B]Внимание: [COLOR="Red"]Для успешного удаления может потребоваться [U]перезагрузка компьютера[/U]!!![/COLOR][/B]

Запустил повторно AdwCleaner (by Xplode),нажал на Delited после комп перезагрузился лог прилогаю.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

две минуты назад обратно запустился браузер с рекламой мгры и заблокировал закрытие себя. пришлось убивать диспетчером снова :(

[B]AmmyyAdmin[/B] попробуйте удалить.

а с чего взяли что она у меня есть? AmmyyAdmin я вроде как помню удалил давно

В логах видно ее [B]C:\Users\User\Downloads\AA_v3.1.exe[/B]

Её там нету, я все папки просмотрел и по этому пути переходил

Сделайте лог Combofix ([url]http://virusinfo.info/showthread.php?t=58309[/url])

Я уже 10 программ скачал а толку нет , вот лог от Combofix. Мне интересно как эта маленькая програмка отключила мой антивирус, после от имени администратора начала рыть мой комп?:O вот вам и антивирусы...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

только что браузер снова сам по себе открыл вкладку со с ссылкой http://browsergame.travian.ru/theater_of_war/?ad=10859_1081512100 :? в общем не чего не помогло, и я заметил что в основно он начинает открывать браузер при первом запуске либо после перезагрузки после ожидания от 5-10 минут.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

в папке etc файле hosts почему то стоит только 127.0.0.1 localhost и больше не чего нету (пусто) куда то пропало остальное..:O

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

так что мне дальше делать?:?

Скопируйте текст ниже в блокнот и сохраните как файл с названием [b]CFScript.txt[/b] [b][color="#0000CD"]в корень диска С[/color][/b]

[CODE]
KillAll::

File::
c:\users\User\Downloads\AA_v3.1.exe

Driver::
AmmyyAdmin

Registry::

FileLook::

DirLook::

Reboot::
[/CODE]

После сохранения переместите [b]CFScript.txt[/b] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [b]ComboFix.txt[/b], прикрепите его к сообщению.

Проблема наблюдается только в браузере Firefox или в других тоже?

я в родном браузере не работаю вобще, только в мазиле. Появился странный ярлык в папке диска С с переходом на диск "С". всё сделал как указано выше лог ComboFix.txt прилогаю

Что сейчас с проблемой?

И снова запустился браузер и открылась дополнительная вкладка со сылкой на рекламу игры [url]http://ru.playpw.com/welcome/l1/?p=ad1&uci&referal_uid=1012_452347035[/url] . далее сработал ваш антивирус который поставил ранее малваребайт пишет: была предотвращена попытка на узел к вредоносным сайтам ip: 217.199.218.100 порт: 49629 mozila.exe посмотрев отчеты "малваребайт" , нашел там вот что сылка и вот ещё ,перестал работать файлообменик [url]http://rghost.ru/[/url] куда я закачивал файлы

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

вроде нашел заразу! при запуске браузера в левом углу экрана запускаеться дрянь в виде небольшого гаджета без свойств , картинки, меню и т.д. Её можно водить по рабочему столу, но оно не закрываеться а только убиваеться через диспетчера задач вместе с мозилой. скрин прилогаю [ATTACH=CONFIG]430947[/ATTACH] вот она эта тварь! 2ой вопрос, как её убить и как она залезла ко мне?:O

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

она же дает команду браузеру открывать сылки

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[ATTACH=CONFIG]430949[/ATTACH] под цифрой 1. эта дрянь запускаеться, и дает команду мозиле открыть вкладку с рекламой, а может и сама запустить себя и браузер вместе и дать команду на рекламу! если кликнуть по этой дряне (мини гаджет) то браузер зависнет и заблокируеться. сама же дрянь не закрываеться так как у нее нету свойств и меню. Закрываеться только с браузером с помощью дистпечера задач.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

дрянь на рисунке под цифрой 2.

Скопируйте текст ниже в блокнот и сохраните как файл с названием [b]CFScript.txt[/b] [b][color="#0000CD"]в корень диска С[/color][/b]

[CODE]
KillAll::

Firefox::
FF - prefs.js: browser.search.selectedEngine - Arccosine
FF - prefs.js: keyword.URL - hxxp://www.arccosine.com/search.php?q=
FF - ExtSQL: 2013-07-29 16:45; searchy@searchy; c:\users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected]

Reboot::
[/CODE]

После сохранения переместите [b]CFScript.txt[/b] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [b]ComboFix.txt[/b], прикрепите его к сообщению.

новый отчет ComboFix.txt

[COLOR="silver"]- - - Добавлено - - -[/COLOR]


[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Спасибо большое! вроде как "тварь" удалилась, удачи вам и всех благ и процветаний вам и вашему сайту! smile;) можете закрывать тему... убил с помощью этого скрипта в программе "uvs" :

;uVS v3.80.17 [[url]http://dsrt.dyndns.org][/url]
;Target OS: NTv6.1

bl 1D41DA4F3D61170DD43CC6487B32566D 540672
addsgn 1A74EA9A5583C58CF42B254E3143FE8E60827936FDE89C908D42FD618DD6713924472B85E6AA621076430F60139DA57991CF4912BB9DB01FE8FEE1D34C533A20 8 html5
bl B440E5C067DAE3C1FB08ADD6599239F8 29696
addsgn A413624A052A4C7DBCDCC4933AA2105F43B10D83AFF9DD7732CB464572A2482AA6DEB6A6D54FF76975E6BF6E320423F323B9D38321D0B3EE22C0AC4942CF5795 8 HTml5Up
bl 46060993129308034891EF0E33D4DD5C 154112
delall %SystemDrive%\USERS\USER\APPDATA\LOCAL\SCHEDULE\SCHEDULE.EXE
chklst
delvir
restart

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]