Printable View
Сегодня при включении браузера начала появляется реклама сторонних сайтов(см атач) которой раньше ни когда не было в таком кол-ве. Проверил курейтом, проверил авз и посмотрел adwcleanerом, ничего нет, в автозагрузке или процессах крамолы не вижу, прошу помощи профи.
Уважаемый(ая) [B]lamauser[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR=Blue]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
+ Сделайте лог MiniToolBox
готово
[LIST][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]32 разрядная версия windows[/URL][/B], то скачайте [url=http://safezone.cc/random/RSIT.exe][B]Random's System Information Tool (RSIT)[/B][/url] или с [url="http://images.malwareremoval.com/random/RSIT.exe"]зеркала[/url] [*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]64 разрядная версия windows[/URL][/B], то необходимо скачать эту версию [URL="http://safezone.cc/random/RSITx64.exe"][B]Random's System Information Tool(RSIT)x64[/B][/URL] или с [URL="http://images.malwareremoval.com/random/RSITx64.exe"]зеркала[/URL][/LIST]
Запустите, выберите проверку файлов за последние три месяца и нажмите "Продолжить". Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
дан
Ищите в браузере незнакомые вам расширения.
ничего страшного или нового нет.
[LIST][*]Подготовьте лог [B]OTL by OldTimer[/B], как описано на [URL="http://safezone.cc/threads/12019/#post-64662"]этой странице[/URL].[*]Прикрепите полученные логи [B]OTL.txt[/B] и [B]Extra.txt[/B] к своему следующему сообщению.[*]Если логи не прикрепляются [B][COLOR="Blue"]запакуйте их в архив[/COLOR][/B].[/LIST]
прошу
[LIST][*]Запустите повторно [URL="http://oldtimer.geekstogo.com/OTL.exe"]OTL by OldTimer[/URL] или [URL="http://oldtimer.geekstogo.com/OTL.com"]OTL.com[/URL] или [URL="http://oldtimer.geekstogo.com/OTL.scr"]OTL.scr[/URL].
[SIZE="1"]Обратите внимание, что утилиты необходимо запускать от имени [B]Администратора[/B]. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите "[B]Да[/B]".[/SIZE]
[*]В окно [B]Custom Scans/Fixes[/B] скопируйте следующую информацию:
[CODE]:OTL
[2013.11.24 15:12:35 | 000,000,000 | ---D | M] ("HDvid Codec V6.0") -- C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com
[2013.11.24 15:12:33 | 000,002,182 | ---- | C] () -- C:\Windows\Tasks\HDvid Codec V6.0-firefoxinstaller.job
[2013.11.24 15:12:36 | 000,001,336 | ---- | C] () -- C:\Windows\Tasks\HDvid Codec V6.0-updater.job
O2 - BHO: (no name) - {8984B388-A5BB-4DF7-B274-77B879E179DB} - No CLSID value found.
:Services
:Files
C:\Windows\Tasks\HDvid Codec V6.0-firefoxinstaller.job
C:\Windows\Tasks\HDvid Codec V6.0-updater.job
autorun.inf /alldrives
recycler /alldrives
ipconfig /flushdns /c
ipconfig /release /c
ipconfig /renew /c
:Reg
:Commands
[EMPTYTEMP]
[purity]
[Reboot]
[/CODE][*]Проверьте, что весь текст скрипта был скопирован / вставлен [U]верно[/U] и нажмите кнопку "[B]Run Fix[/B]"[*][B][I]Компьютер перезагрузится.[/I][/B][*]После перезагрузки откройте папку [b]"C:\_OTL\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), откройте и скопируйте текст из него в следующее сообщение.[/LIST]
проблема актуальна.
[HTML]All processes killed
========== OTL ==========
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\skin folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\locale\en-US folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\locale folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\extensionData\userCode folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\extensionData\plugins folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\extensionData folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\defaults\preferences folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\defaults folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\chrome\content\core folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\chrome\content\api folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\chrome\content folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com\chrome folder moved successfully.
C:\Users\konstantin\AppData\Roaming\mozilla\Firefox\Profiles\3q4vcd5h.default\extensions\34f57b0c-8cdb-4914-818c-928df47c6c4f@3a243122-a6fc-40c9-a1e6-ba11e930da09.com folder moved successfully.
C:\Windows\Tasks\HDvid Codec V6.0-firefoxinstaller.job moved successfully.
C:\Windows\Tasks\HDvid Codec V6.0-updater.job moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8984B388-A5BB-4DF7-B274-77B879E179DB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8984B388-A5BB-4DF7-B274-77B879E179DB}\ not found.
========== SERVICES/DRIVERS ==========
========== FILES ==========
File\Folder C:\Windows\Tasks\HDvid Codec V6.0-firefoxinstaller.job not found.
File\Folder C:\Windows\Tasks\HDvid Codec V6.0-updater.job not found.
autorun.inf not found in C:\
autorun.inf not found in D:\
autorun.inf not found in E:\
autorun.inf not found in F:\
File move failed. G:\AUTORUN.INF scheduled to be moved on reboot.
autorun.inf not found in H:\
recycler not found in C:\
recycler not found in D:\
recycler not found in E:\
F:\RECYCLER\S-1-5-21-854245398-492894223-1801674531-1003 folder moved successfully.
F:\RECYCLER folder moved successfully.
recycler not found in G:\
recycler not found in H:\
[color=#A23BEC]< ipconfig /flushdns /c >[/color]
Ќ*бва®©Є* Їа®в®Є®«* IP ¤«п Windows
Љни б®Ї®бв*ўЁвҐ«п DNS гбЇҐи*® ®зЁйҐ*.
C:\Users\konstantin\Desktop\OTL\cmd.bat deleted successfully.
C:\Users\konstantin\Desktop\OTL\cmd.txt deleted successfully.
[color=#A23BEC]< ipconfig /release /c >[/color]
Ќ*бва®©Є* Їа®в®Є®«* IP ¤«п Windows
Ethernet adapter Џ®¤Є«озҐ*ЁҐ Ї® «®Є*«м*®© бҐвЁ:
DNS-бгддЁЄб Ї®¤Є«озҐ*Ёп . . . . . :
‹®Є*«м*л© IPv6-*¤аҐб Є***«* . . . : fe80::354a:93f4:6cea:5ce1%11
Ћб*®ў*®© и«о§. . . . . . . . . :
’г**Ґ«м*л© *¤*ЇвҐа isatap.{9C4BBC54-1B58-458D-867F-BA2D16379100}:
‘®бв®п*ЁҐ б।л. . . . . . . . : ‘।* ЇҐаҐ¤*зЁ *Ґ¤®бвгЇ**.
DNS-бгддЁЄб Ї®¤Є«озҐ*Ёп . . . . . :
’г**Ґ«м*л© *¤*ЇвҐа Teredo Tunneling Pseudo-Interface:
DNS-бгддЁЄб Ї®¤Є«озҐ*Ёп . . . . . :
IPv6-*¤аҐб. . . . . . . . . . . . : 2001:0:9d38:6abd:2883:2b28:d149:cc1d
‹®Є*«м*л© IPv6-*¤аҐб Є***«* . . . : fe80::2883:2b28:d149:cc1d%13
Ћб*®ў*®© и«о§. . . . . . . . . : ::
C:\Users\konstantin\Desktop\OTL\cmd.bat deleted successfully.
C:\Users\konstantin\Desktop\OTL\cmd.txt deleted successfully.
[color=#A23BEC]< ipconfig /renew /c >[/color]
Ќ*бва®©Є* Їа®в®Є®«* IP ¤«п Windows
Ethernet adapter Џ®¤Є«озҐ*ЁҐ Ї® «®Є*«м*®© бҐвЁ:
DNS-бгддЁЄб Ї®¤Є«озҐ*Ёп . . . . . :
‹®Є*«м*л© IPv6-*¤аҐб Є***«* . . . : fe80::354a:93f4:6cea:5ce1%11
IPv4-*¤аҐб. . . . . . . . . . . . : 192.168.0.102
Њ*бЄ* Ї®¤бҐвЁ . . . . . . . . . . : 255.255.255.0
Ћб*®ў*®© и«о§. . . . . . . . . : 192.168.0.1
’г**Ґ«м*л© *¤*ЇвҐа isatap.{9C4BBC54-1B58-458D-867F-BA2D16379100}:
‘®бв®п*ЁҐ б।л. . . . . . . . : ‘।* ЇҐаҐ¤*зЁ *Ґ¤®бвгЇ**.
DNS-бгддЁЄб Ї®¤Є«озҐ*Ёп . . . . . :
’г**Ґ«м*л© *¤*ЇвҐа Teredo Tunneling Pseudo-Interface:
DNS-бгддЁЄб Ї®¤Є«озҐ*Ёп . . . . . :
IPv6-*¤аҐб. . . . . . . . . . . . : 2001:0:5ef5:79fd:346c:1d4b:3f57:ff99
‹®Є*«м*л© IPv6-*¤аҐб Є***«* . . . : fe80::346c:1d4b:3f57:ff99%13
Ћб*®ў*®© и«о§. . . . . . . . . : ::
C:\Users\konstantin\Desktop\OTL\cmd.bat deleted successfully.
C:\Users\konstantin\Desktop\OTL\cmd.txt deleted successfully.
========== REGISTRY ==========
========== COMMANDS ==========
[EMPTYTEMP]
User: All Users
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: konstantin
->Temp folder emptied: 603231936 bytes
->Temporary Internet Files folder emptied: 24083970 bytes
->FireFox cache emptied: 11407866 bytes
->Flash cache emptied: 17015 bytes
User: Public
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: Все пользователи
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 200704 bytes
%systemroot%\System32 .tmp files removed: 29205872 bytes
%systemroot%\System32 (64bit) .tmp files removed: 20300952 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 3734479 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 51166 bytes
RecycleBin emptied: 7025 bytes
Total Files Cleaned = 660,00 mb
OTL by OldTimer - Version 3.2.69.0 log created on 01022014_192821
Files\Folders moved on Reboot...
File\Folder G:\AUTORUN.INF not found!
C:\Users\konstantin\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
PendingFileRenameOperations files...
Registry entries deleted on Reboot...
[/HTML]
Сделайте еще раз скриншот установленных расширений в браузере Firefox
дан
Удалите расширение HDvid Codec V6 в браузере. Проверьте проблему.
сделал, вроде ок.
Для зачистки следов от этого расширения.
Закройте все программы
Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
DeleteFile('C:\Windows\tasks\HDvid Codec V6.0-updater.job','32');
DeleteFile('C:\Windows\tasks\HDvid Codec V6.0-firefoxinstaller.job','32');
DeleteFileMask('C:\Program Files (x86)\HDvid Codec V6.0', '*', true, ' ');
DeleteDirectory('C:\Program Files (x86)\HDvid Codec V6.0');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера.
Сделайте новые логи RSIT.
Сделал, но не могу прикрепить лог, исчерпан лимит на обьем вложений, как почистить увы не очевидно.
По этой [url]http://virusinfo.info/showthread.php?t=130567[/url] инструкции можно очистить старые вложения. :)
держите лог :)
Проблема решена?
Да,спасибо большое.
[LIST][*]Загрузите [B]SecurityCheck by glax24[/B] [URL="http://tools.safezone.cc/glax24/SecurityCheck/SecurityCheck.exe"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*][/LIST]