Завирусились интернет-браузеры всплывающими рекламами [not-a-virus:AdWare.Win32.Tirrip.d, not-a-virus:AdWare.Win32.Agent.aliu ]

Printable View

27.05.2014, 01:48
dubinov

Вложений: 3

Завирусились интернет-браузеры всплывающими рекламами [not-a-virus:AdWare.Win32.Tirrip.d, not-a-virus:AdWare.Win32.Agent.aliu ]

Добрый день! Какое-то время назад я пользовался вашим сервисом для удаления вирусов всплывающих окон и откройте вашу почту в Мозиле. После выполнения инструкций вирусы пропали, но в Мозиле работать стало невозможно, потому-что она стала беспощадно виснуть. Перешел на ГуглХром. И вот теперь опять - всплывающие окна с рекламой везде на странице и при нажатии в любом месте экрана еще открывается новая страница с рекламой. То же самое появилось сразу же и в Мозилле.
27.05.2014, 01:50
Info_bot

Уважаемый(ая) [B]dubinov[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.05.2014, 09:59
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\users\user\appdata\local\pirritsuggestor\pirritservice.exe');
TerminateProcessByName('c:\users\user\appdata\local\pirritsuggestor\pirritdesktop.exe');
TerminateProcessByName('c:\program files\blockandsurf-soft\blocknsurf.exe');
TerminateProcessByName('c:\program files\blockandsurf-soft\blockandsurfg.exe');
TerminateProcessByName('c:\program files\blockandsurf-soft\blockandsurfdc171.exe');
QuarantineFile('C:\Program Files\BlockAndSurf-soft\BlockAndSurfA98.exe','');
QuarantineFile('C:\Program Files\BlockAndSurf-soft\171.dll','');
QuarantineFile('C:\Program Files\BlockAndSurf-soft\BlockAndSurfdc171.dll','');
QuarantineFile('c:\users\user\appdata\local\pirritsuggestor\pirritservice.exe','');
QuarantineFile('c:\users\user\appdata\local\pirritsuggestor\pirritdesktop.exe','');
QuarantineFile('c:\program files\blockandsurf-soft\blocknsurf.exe','');
QuarantineFile('c:\program files\blockandsurf-soft\blockandsurfg.exe','');
QuarantineFile('c:\program files\blockandsurf-soft\blockandsurfdc171.exe','');
DeleteFile('c:\program files\blockandsurf-soft\blockandsurfdc171.exe','32');
DeleteFile('c:\users\user\appdata\local\pirritsuggestor\pirritdesktop.exe','32');
DeleteFile('c:\users\user\appdata\local\pirritsuggestor\pirritservice.exe','32');
DeleteFile('C:\Program Files\BlockAndSurf-soft\BlockAndSurfdc171.dll','32');
DeleteFile('C:\Program Files\BlockAndSurf-soft\BlockNSurf.exe','32');
DeleteFile('C:\Program Files\BlockAndSurf-soft\171.dll','32');
DeleteFile('C:\Program Files\BlockAndSurf-soft\BlockAndSurfA98.exe','32');
DeleteFile('C:\Windows\system32\Tasks\BlockAndSurf Update.job','32');
DeleteFile('C:\Program Files\BlockAndSurf-soft\BlockAndSurfg.exe','32');
DeleteFile('C:\Windows\system32\Tasks\BlockAndSurf_wd.job','32');
DeleteFile('C:\Windows\system32\Tasks\BlockAndSurf Update','32');
DeleteFile('C:\Windows\system32\Tasks\BlockAndSurf_wd','32');
DelBHO('{D5B592B1-D572-EF9F-EF4F-05BF14D59119}');
DelBHO('{d40c654d-7c51-4eb3-95b2-1e23905c2a2d}');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
DeleteFileMask('C:\Program Files\BlockAndSurf-soft','*',true);
DeleteFileMask('c:\users\user\appdata\local\pirritsuggestor','*',true);
DeleteDirectory('C:\Program Files\BlockAndSurf-soft');
DeleteDirectory('c:\users\user\appdata\local\pirritsuggestor');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте AVZ версии 4.43 (ссылка в [URL="http://virusinfo.info/pravila.html"]правилах[/URL]), [B]обновите базы[/B] ("Файл" -> "Обновление баз") и сделайте новые логи.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
27.05.2014, 11:54
dubinov

Сделал. А как файл вставить? не могу найти, торможу)
27.05.2014, 12:17
Vvvyg

Расширенный режим (снизу) и "скрепка" на панели инструментов.
27.05.2014, 13:17
dubinov

Вложений: 4

Логи
27.05.2014, 14:45
Vvvyg

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B], по окончании сканирования уберите галочки на вкладке Папки со всех пунктов, где упоминаются Mail.Ru и Yandex [B]если используете программы от этих порталов[/B].

Затем нажмите [B]Очистить[/B] и по окончании удаления перезагрузите систему по требованию программы.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и проверьте проблему.
27.05.2014, 15:42
dubinov

Сделал. Не помогло. Вернее помогло, но совсем чуть-чуть. Всплывающих стало меньше. Вверху, внизу и по-бокам - осталось. Редирект со страницы на другую - осталось.
27.05.2014, 16:16
regist

1) - Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

2) - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
27.05.2014, 16:51
dubinov

Malwarebytes Anti-Malware не устанавливается. У меня раньше она стояла, но заглючила и, как я понял, полностью не удалилась, а теперь вот, выдает ошибку и не устанавливает.

Делать ли п.2 без п.1?
27.05.2014, 17:51
regist

[quote="dubinov;1119854"]Делать ли п.2 без п.1?[/quote]
да, а также попробуйте установить эту версию [url]http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe[/url]
27.05.2014, 21:28
dubinov

Вложений: 1

сканировал Malwarebytes Anti-Malware
27.05.2014, 21:58
regist

Папку
[CODE]C:\AdwCleaner\[/CODE]

удалите вручную.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только

[CODE]Обнаруженные ключи в реестре: 4
HKCR\AppID\{9A246976-806F-4B2E-B3B9-A9A58F5685AA} (PUP.Optional.Ominent.A) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NewProduct 1.00 (Backdoor.Agent.CoGen) -> Действие не было предпринято.
HKCU\SOFTWARE\weDownload Ltd (PUP.Optional.weDownload.A) -> Действие не было предпринято.
HKLM\SOFTWARE\weDownload Ltd (PUP.Optional.weDownload.A) -> Действие не было предпринято.
Обнаруженные папки: 1
C:\Program Files\Company\NewProduct (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\HTMLMetaTagsCreator_downloader_by_HTMLMetaTagsCreator.exe (PUP.Optional.Somoto.A) -> Действие не было предпринято.
C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage-journal (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\Uninstall.ini (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\F12_small_en-ru.exe (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\HTMLMetaTagsCreator_downloader_by_HTMLMetaTagsCreator.exe (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\Uninstall.exe (Backdoor.Agent.CoGen) -> Действие не было предпринято.[/CODE]

Также рекомендую удалить в MBAM

[CODE]C:\Users\user\Downloads\setup (1).exe (PUP.Optional.Bundlore) -> Действие не было предпринято.
C:\Users\user\Downloads\SoftonicDownloader_for_sketchup-make-2014 (1).exe (PUP.Optional.Softonic.A) -> Действие не было предпринято.
C:\Users\user\Downloads\SoftonicDownloader_for_sketchup-make-2014.exe (PUP.Optional.Softonic.A) -> Действие не было предпринято.
D:\Мои документы\Документы Слава\Разное\разобрать\Babylon10_setup.exe (PUP.Optional.Babylon.A) -> Действие не было предпринято.[/CODE]

сделайте новый лог сканирования MBAM

[quote="regist;1119845"]) - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]где ссылка?

заодно отпишитесь, что с проблемой?
27.05.2014, 22:56
dubinov

Вложений: 1

п.2) не успел еще. сейчас буду делать.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

новый лог Malwarebytes Anti-Malware
28.05.2014, 00:08
regist

Нужен новый лог нового сканирования MBAM, а не после удаления.
+
[quote="regist;1119956"]заодно отпишитесь, что с проблемой?[/quote]
28.05.2014, 00:08
dubinov

п.2) [url]http://virusinfo.info/virusdetector/report.php?md5=69F298408DBBE921C46E5D5AC700DAF9[/url]
29.05.2014, 00:27
dubinov

Вложений: 1

не помогло, всё так же реклама и всплывающие окна. новые логи тут
29.05.2014, 07:56
Vvvyg

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM:[/url][code]C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage (PUP.Optional.Superfish.A) -> Действие не было предпринято.
C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.superfish.com_0.localstorage-journal (PUP.Optional.Superfish.A) -> Действие не было предпринято.[/code]
Скачайте утилиту [URL=http://oldtimer.geekstogo.com/OTL.exe]OTL by OldTimer[/URL]. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

[B]Scan All Users[/B]
[B]Include 64Bit Scans[/B] - в случае 64-разрядной системы;
Output: [B]Minimal Output[/B];
File Scans: [B]Use Company-Name WhiteList[/B] и [B]Skip Microsoft Files[/B];
[B]Lop Check[/B];
[B]Purity Check[/B].

В окне [B]File Age[/B] установите [B]30 days[/B]
Остальные параметры оставьте по умолчанию.
Скопируйте текст
[CODE]%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%CommonProgramFiles%\*.*
%ALLUSERSPROFILE%\ntuser.pol
%SystemRoot%\System32\GroupPolicy\Machine\Registry.pol[/CODE]
в окно [B]Custom Scans/Fixes [/B] и нажмите [B][COLOR="#0000CD"]Run Scan[/COLOR][/B].

После окончания сканирования программа создаст два файла: OTL.TXT и EXTRAS.TXT, упакуйте их в архив ZIP или RAR и прикрепите их к своему следующему сообщению в теме.
12.06.2014, 19:29
dubinov

Вложений: 1

Извиняюсь за задержку с ответом, был занят. Файлы в архиве.
12.06.2014, 19:48
Vvvyg

Отключите до перезагрузки антивирус, запустите OTL (в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора[/B]), скопируйте скрипт ниже в окно [B]Custom Scans/Fixes[/B], закройте все браузеры и нажмите [B][COLOR="#FF0000"][SIZE=4]Run Fix[/SIZE][/COLOR][/B][CODE]:processes

:OTL
IE - HKU\S-1-5-21-3002398943-270651956-2885460078-1000\..\SearchScopes\{F3DF8223-9771-4FF4-82F6-0ECD786AD6DB}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=VD&o=14778&src=crm&q={searchTerms}&locale=&apn_ptnrs=VX&apn_dtid=YYYYYYYYRU&apn_uid=C221568C-14D1-4553-A474-FA56E824C75E&apn_sauid=2D9B98F4-46A5-46AB-B7AF-96A013C9FF9D
IE - HKU\S-1-5-21-3002398943-270651956-2885460078-1000\..\SearchScopes\CB57653B0F0869D10DF755D501C0C88D: "URL" = http://search.conduit.com/Results.aspx?ctid=CT3320294&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=2&UP=SP31CFDCEF-7227-4DD9-BA64-3A6E05402925&q={searchTerms}&SSPV=
FF - prefs.js..extensions.enabledAddons: itinfo%40tele-net.ua:14.2.5
[2014.02.05 19:26:05 | 000,000,000 | ---D | M] (Network Security v14.2.5) -- C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\5oiwwonj.default-1388262659920\extensions\[email protected]
CHR - Extension: BlockAndSurf = C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\fclfdhclgpnocgnailhbcaeplhjhemlj\1.171.0.0_0\
[2014.04.05 23:56:43 | 000,000,464 | RHS- | C] () -- C:\ProgramData\ntuser.pol
[2014.02.05 19:26:07 | 000,000,006 | ---- | C] () -- C:\Users\user\AppData\Roaming\smw_inst
[2014.04.05 23:56:10 | 000,000,000 | ---D | M] -- C:\Users\user\AppData\Roaming\Crx
[2014.02.05 19:54:15 | 000,000,000 | ---D | M] -- C:\Users\user\AppData\Roaming\MaxTorrent
[2014.02.05 19:26:05 | 000,000,000 | ---D | M] -- C:\Users\user\AppData\Roaming\nsmls
[2014.02.05 19:28:34 | 000,000,043 | ---- | M] () -- C:\Users\user\AppData\Local\Yandex\YandexBrowser\Application\browser.url
[2014.02.05 19:27:59 | 000,000,043 | ---- | M] () -- C:\Program Files\Google\Chrome\Application\chrome.url
[2014.02.05 19:28:33 | 000,000,043 | ---- | M] () -- C:\Program Files\Internet Explorer\iexplore.url
[2014.02.05 19:28:10 | 000,000,043 | ---- | M] () -- C:\Program Files\Mozilla Firefox\firefox.url
[2014.05.24 12:08:38 | 000,000,214 | ---- | M] () -- C:\Windows\System32\GroupPolicy\Machine\Registry.pol
@Alternate Data Stream - 151 bytes -> C:\ProgramData\TEMP:AD022376
[2011.03.23 14:03:30 | 000,108,424 | ---- | M] (Ask.com) -- C:\Program Files\Common Files\APNStub.exe
[2011.03.23 13:26:32 | 003,325,832 | ---- | M] (Ask) -- C:\Program Files\Common Files\APNToolbarInstaller.exe

:Files

msiexec.exe /X{1666FA7C-CB5F-11D6-A78C-00B0D079AF64} /quiet /qn /norestart /c
recycler /alldrives
ipconfig /flushdns /c

:Commands
[EMPTYTEMP]
[EMPTYJAVA]
[EMPTYFLASH]
[purity]
[Reboot][/CODE]
Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

Пересоздайте ярлыки запуска браузеров на рабочем столе и панели быстрого запуска.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и проверьте проблему.
12.06.2014, 20:00
dubinov

Уточните, пожалуйста "отключите до перезагрузки антивирус". Какой антивирус? До какой перезагрузки? Извиняюсь, если спрашиваю очевидные для вас вещи).
12.06.2014, 20:21
Vvvyg

Это общие рекомендации, если антивируса нет - можно не отключать ;)
12.06.2014, 23:01
dubinov

Вложений: 1

Во вложении отчет. После проделанных манипуляций навязчивые рекламные окна пропали. Спасибо!!! Надеюсь, что не вернуться в ближайшее время). Единственное, что осталось - при входе на страницу фейсбука прописан сразу логин и пароль, при нажатии кнопки "войти" происходит переход. До завирусения этого не было, вернее браузер при наборе логина выдавал подсказку с логином, но пароль в этой строке не сохранялся. Можно ли еще что-то сделать с этим?
12.06.2014, 23:21
Vvvyg

Запустите OTL.EXE и нажмите [B]Cleanup[/B].

[QUOTE=dubinov;1125560]Единственное, что осталось - при входе на страницу фейсбука прописан сразу логин и пароль, при нажатии кнопки "войти" происходит переход. До завирусения этого не было, вернее браузер при наборе логина выдавал подсказку с логином, но пароль в этой строке не сохранялся. Можно ли еще что-то сделать с этим?[/QUOTE]

Уверен, что можно? посмотрите [URL="https://support.mozilla.org/ru/kb/sohranyonnye-paroli-zapominajte-udalyajte-redaktir"]тут[/URL].
12.06.2014, 23:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\blockandsurf-soft\blockandsurfa98.exe - [B]not-a-virus:HEUR:AdWare.Win32.Agent.heur[/B] ( BitDefender: Application.Generic.644372, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\program files\blockandsurf-soft\blockandsurfdc171.exe - [B]not-a-virus:HEUR:AdWare.Win32.Agent.heur[/B][*] c:\program files\blockandsurf-soft\blockandsurfg.exe - [B]not-a-virus:AdWare.Win32.Agent.aliu[/B] ( BitDefender: Application.Generic.641235, AVAST4: Win32:Malware-gen )[*] c:\users\user\appdata\local\pirritsuggestor\pirritdesktop.exe - [B]not-a-virus:AdWare.Win32.Tirrip.d[/B] ( AVAST4: Win32:PirritSuggestor-B [Adw] )[*] c:\users\user\appdata\local\pirritsuggestor\pirritservice.exe - [B]not-a-virus:AdWare.Win32.Tirrip.d[/B] ( AVAST4: Win32:PirritSuggestor-C [Adw] )[/LIST][/LIST]