Пару дней назад в браузерах стали открываться сайты игровые, знакомств, рекламные в новых окнах при переходе по ссылкам. Кроме того, не дает скачать утилиту DrWeb качал через планшет. Не давало зарегистрироваться на вашем сайте - тоже с помощью планшета регистрировался. С помощью AVZ получились два лога, но один из них [B]virusinfo_autoquarantine.zip, [/B]поэтому отправляю два. Очень жду помощи!
Уважаемый(ая) [B]daniil1944[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=50c460bfd0354789f0829df26ef101d4&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=50c460bfd0354789f0829df26ef101d4&text={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.search.ask.com/?o=APN11459&gct=hp&d=488-101&v=a12834-383&t=4
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=50c460bfd0354789f0829df26ef101d4&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=50c460bfd0354789f0829df26ef101d4&text=
R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=50c460bfd0354789f0829df26ef101d4&text=
O18 - Filter: application/x-mfe-ipt - {3EF5086B-5478-4598-A054-786C45D75692} - (no file)
[/CODE]
Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
ClearQuarantine;
TerminateProcessByName('c:\program files (x86)\browser tab search by ask\safetynut\safetynutmanager.exe');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-nova.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-novainstaller.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-5.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-4.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-3.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-2.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-11.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-codedownloader.exe','');
QuarantineFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-bho.dll','');
QuarantineFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\safetycrt.dll','');
QuarantineFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\safetycrt.dll','');
QuarantineFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\SafetyNutManager.exe','');
QuarantineFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\configmgrc1.cfg','');
QuarantineFile('c:\program files (x86)\browser tab search by ask\safetynut\safetynutmanager.exe','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
DeleteFile('c:\program files (x86)\browser tab search by ask\safetynut\safetynutmanager.exe','32');
DeleteFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\configmgrc1.cfg','32');
DeleteFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\SafetyNutManager.exe','32');
DeleteFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\safetycrt.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x86');
DeleteFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\safetycrt.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','x64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-bho.dll','32');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-codedownloader.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-1.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-11.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-11.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-2.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-2.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-3.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-3.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-4.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-4.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\e29193b0-b61f-4d86-ada8-6277dd849368-5.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-5.job','64');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-5_user.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-novainstaller.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-6.job','64');
DeleteFile('C:\Program Files (x86)\PlusHD-V1.9\PlusHD-V1.9-nova.exe','32');
DeleteFile('C:\Windows\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-7.job','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-1','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-11','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-2','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-3','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-4','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-5','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-6','64');
DeleteFile('C:\Windows\system32\Tasks\e29193b0-b61f-4d86-ada8-6277dd849368-7','64');
DelBHO('{11111111-1111-1111-1111-110511951170}');
StopService('F06DEFF2-5B9C-490D-910F-35D3A91196222');
StopService('SafetyNutManager');
SetServiceStart('F06DEFF2-5B9C-490D-910F-35D3A91196222', 4);
DeleteService('F06DEFF2-5B9C-490D-910F-35D3A91196222');
DeleteService('SafetyNutManager');
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.
Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
Подготовьте лог AdwCleaner
[url]http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844[/url]
и приложите его в теме.
Проделал указанные процедуры. virusinfo_syscheck.zip опять у меня не создался, а есть только virusinfo_syscure.zip. Его и отправляю.
скачайте актуальную версию AdwCleaner и переделайте лог.
+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
Скачал AdwCleaner по ссылке на вашем сайте, версия 215. Лог переделал. Карантин VirusDetector загрузил по форме. ссылка [url]http://virusinfo.info/virusdetector/report.php?md5=9A1481D875E58A0AAE57311F34C9985B[/url]
MD5 карантина: 9A1481D875E58A0AAE57311F34C9985B
Пишу второй раз, т.к. пытался отправить ответ, но он не появился в теме. Если получите дважды -извините, пожалуйста.
AdwCleaner v. 215 скачал по ссылке на вашем сайте, лог переделал.
Процедуру VirusDetector провел и загрузил.
ссылка [url]http://virusinfo.info/virusdetector/report.php?md5=9A1481D875E58A0AAE57311F34C9985B[/url]
MD5 карантина: 9A1481D875E58A0AAE57311F34C9985B
Уже даже видел результат анализа - три зараженных файла Browser Tab Search by Ask
С помощью AdwCleaner я только создал лог. Может надо было и очистить им?
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
Папка Найдено : C:\Users\Наталья\AppData\Roaming\Mail.Ru
Папка Найдено : C:\Users\Наталья\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mail.Ru
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Сканирование и очистку выполнил.
Если программы от майл.ру не используете, то эту папку тоже удалите.
что с проблемой?
Я вчера еще сам пытался почистить, когда посмотрел результаты проверки VirusDetector. И сегодня, после выполнения Вашей рекомендации, еще раз проверил и ситуация следующая. Сайты бесконтрольно открываться перестали и это здорово! А в Program Files (x86) папка Browser Tab Search by Ask осталась и удалить ее не удается. Как бы убрать ее? А так огромное спасибо за оперативную помощь. Мы сейчас находимся в 3000 км от дома. Сразу после возвращения Ваш замечательный проект поддержу обязательно.
- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
Сделал лог полного сканирования MBAM
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] всё кроме
[CODE]PUP.Optional.OpenCandy, C:\Users\???°N??°?»N?N?\Downloads\DAEMONToolsPro520-0348.exe, , [762b9d01b3c87bbbc1d6dee35fa5bd43],
PUP.Optional.OpenCandy, C:\Users\???°N??°?»N?N?\Downloads\DAEMON_Tools_Lite_Setup [1].exe, , [9f022579156634020295536e05ffc63a], [/CODE]
Выполните скрипт в AVZ
[CODE]begin
ClearQuarantineEx(true);
DeleteFileMask('c:\program files (x86)\browser tab search by ask\', '*', true);
DeleteDirectory('c:\program files (x86)\browser tab search by ask\', '');
ExecuteSysClean;
end.[/CODE]
что с проблемой?
ASK папка удалена, все, кажется, работает нормально.
Спасибо Вам огромное!!!
После возвращения домой ОБЯЗАТЕЛЬНО поддержу проект!
MBAM деинсталируйте
Выполните скрипт в AVZ при наличии доступа в интернет:
[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Выполнил указанный скрипт. Нашел 2 уязвимости Java 32 и 64 Старые удалил, новые установил. Но попробовал работу браузеров и в IE 10 увидел, что автоматом открывается сайт Casino.ru. Я IE практически не пользуюсь, но все же...
В свойствах ярлыка браузера IE в окне Объект стоит: "C:\Program Files\Internet Explorer\iexplore.exe" "https://casino.ru/online/casino". В окне Рабочая папка значится %HOMEDRIVE%%HOMEPATH%.
[url=http://virusinfo.info/showthread.php?t=161289]Исправьте[/url] ярлыки для браузеров.
Пытался исправить ярлык IE, но не получилось - даже с правами администратора с общим доступом пишет "Оказано в доступе". Это касается именно IE.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Получилось! Исправил немного не так, как указано в инструкции - ярлык удалил и создал новый. Он уже получился без Casino.ru.
Так что все мои проблемы, КАЖЕТСЯ, решены с Вашей помощью.
Спасибо большое. Еще некоторое время понаблюдаю.
Еще раз спасибо!
- сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/URL]
Рано я обрадовался - сделал лог и там везде Casino.ru
Исправляйте ярлыки через свойства. Сейчас они должны сразу исправиться.
Спасибо огромное! Все исправилось!
Теперь, видимо, мои проблемы решены полностью.
ЕЩЕ РАЗ СПАСИБО!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\browser tab search by ask\safetynut\safetynutmanager.exe - [B]not-a-virus:WebToolbar.Win64.SearchSuite.oo[/B] ( BitDefender: Adware.Agent.OEN )[*] c:\program files (x86)\browser tab search by ask\safetynut\x64\configmgrc1.cfg - [B]not-a-virus:WebToolbar.Win64.SearchSuite.c[/B][*] c:\program files (x86)\browser tab search by ask\safetynut\x64\safetycrt.dll - [B]not-a-virus:AdWare.Win32.Agent.aknu[/B][/LIST][/LIST]