Самооткрывающаяся страница с казино в браузере и прочие банеры

Предыстория. Искала драйвер для телефона. В обещанном месте у Майкрософта не нашлось его. Взяла откуда попало. Да, подозревала, да боялась, но не сложилось его проверить. Не успела мышкой по скаченному файлу провести, как сам развернулся. Поставилось море всякой дряни: kometa, etranslator, amigo и т.д. Антивурус авира у меня стоит. Она ругалась на многие файлы *.tmp и uninstall.exe и что-то предлагала удалить, что я и делала.
Часть я сама руками убила, включая скаченный драйвер. Часть Kaspersky rescue disk помог, часть Cureit от drweb (сотни файлов плохих в общей сложности). Ещё adwcleaner малость поправил мне следы порчи реестра.
Много что поправилось, а гаденькие страницы в браузере так и остались. Они не очень активные, только в ответ на новые мои вкладки появляются, и то не сразу. Но всё ж мешают.
В журнале событий при загрузке windows теперь ошибки появились. Печалька. Я её всего пару месяцев назад переставляла…

Проблемы технические.
1) При выполнении стандартных скриптов avz просят выгрузить антивирус. А как???? Если просто галочку убрать на real time protection, то это я делала. А всю-то её у меня не получается выгрузить. Из списка автозагрузки пробовала галочки убрать, но это плохо помогает. Какие-то процессы авиры остаются.
2) А у меня не собирается стандарный скрипт 3, который должен дать файл virusinfo_syscure.zip. Он рабоатает-работает, а потом раз! и на 9-11 минуте умирает. Оба окошка avz сворачиваются.

Уважаемый(ая) [B]Marina Komarova[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[quote="Marina Komarova;1293329"]Если просто галочку убрать на real time protection, то это я делала.[/quote]
в старых версиях Авиры только это, а в новых правой кнопкой мыши в трее на значке Авиры и временно приостановить защиту (или что-то подобное, пишу по памяти).


- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Включён AVZPM - отключите и переделайте логи.

+ - сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

+ [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Авира моя только только вышеупомянутым способом прикрывается( через real time protection). никакого "приостановить" -- нет.
Стандартный скрипт 3 avz на том же месте, что и всегда свернулся.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А лог скрипта 8 надо было в виде ссылки указать? так: MD5 карантина: F437E8EE53398F602492BCE6FCC17705
или так?
http://virusinfo.info/virusdetector/report.php?md5=F437E8EE53398F602492BCE6FCC17705

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
StopService('veroguge');
StopService('insvc_1.10.0.14');
QuarantineFile('C:\DOCUME~1\MARINA~1.MAR\LOCALS~1\Temp\avgnt.exe\Avira.OE.ExtApi.dll', '');
QuarantineFile('C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\2D8E504C-1435589830-11D9-B69D-BD32B73B581C\snsb2AB.tmp', '');
QuarantineFile('C:\Program Files\Google\chrome.bat', '');
QuarantineFile('C:\Documents and Settings\Marina Komarova.MARINA\local settings\application data\ExtensionInstaller_14\extinst.exe', '');
QuarantineFile('C:\Documents and Settings\Marina Komarova.MARINA\local settings\application data\ExtensionInstaller_14\config.json', '');
QuarantineFile('C:\IEXPLORE.bat', '');
QuarantineFile('C:\Documents and Settings\Marina Komarova.MARINA\Application Data\2D8E504C-1435575239-11D9-B69D-BD32B73B581C\knsm1A6.tmp', '');
QuarantineFile('C:\Program Files\Infonaut_1.10.0.14\Service\insvc.exe', '');
QuarantineFile('C:\Documents and Settings\Marina Komarova\Главное меню\Программы\ICQ\Портал Mail.Ru.lnk', '');
DeleteFile('C:\DOCUME~1\MARINA~1.MAR\LOCALS~1\Temp\avgnt.exe\Avira.OE.ExtApi.dll', '32');
DeleteFile('C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\2D8E504C-1435589830-11D9-B69D-BD32B73B581C\snsb2AB.tmp', '32');
DeleteFile('C:\Program Files\Google\chrome.bat', '32');
DeleteFile('C:\Program Files\Infonaut_1.10.0.14\Service\insvc.exe', '32');
DeleteFile('C:\Documents and Settings\Marina Komarova.MARINA\Application Data\2D8E504C-1435575239-11D9-B69D-BD32B73B581C\knsm1A6.tmp', '32');
DeleteFile('C:\IEXPLORE.bat', '32');
DeleteFile('C:\Documents and Settings\Marina Komarova.MARINA\local settings\application data\ExtensionInstaller_14\config.json', '32');
DeleteFile('C:\WINDOWS\Tasks\ExtensionInstallerX_14.job', '32');
DeleteFile('C:\Documents and Settings\Marina Komarova.MARINA\local settings\application data\ExtensionInstaller_14\extinst.exe', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DeleteService('gopibeko');
DeleteService('veroguge');
DeleteService('insvc_1.10.0.14');
DeleteFileMask('C:\Documents and Settings\Marina Komarova.MARINA\Application Data\2D8E504C-1435575239-11D9-B69D-BD32B73B581C\', '*', true);
DeleteDirectory('C:\Documents and Settings\Marina Komarova.MARINA\Application Data\2D8E504C-1435575239-11D9-B69D-BD32B73B581C\');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('insvc_1.10.0.14');
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]

- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Файл [B][color=RED]quarantine.zip[/color][/B] из папки AVZ загрузите по ссылке [B][color=RED]Прислать запрошенный карантин[/color][/B] вверху темы.


2) - Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

3)
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].


- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скрипты выполнила. см. логи. А я пока потестирую, жива ли моя проблема.

Свежий лог Check Browsers' LNK by Dragokas & regist сделайте.

Такой?
зы казино и порнуха пока не выползала. но могло и времени мало пройти. На некоторых страницах при наведении мышки на картинку, она как бы поворачивается на 180 градусов и там завлекалка в продажи или секси-фото ( я не кликала). МОжет это не мой глюк, а сайта, правда....

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

За прошедшее время и работу в сети ненужные страницы сами не открывались. Очень надеюсь, что и впрямь победа. Спасибо.

- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:

[CODE]
_______________________ Имя браузера неверное _________________________

>>> "C:\Documents and Settings\Marina Komarova\Главное меню\Программы\ICQ\Портал Mail.Ru.lnk" -> ( цель неизвестна )

_________________________ Цель не существует __________________________

>>> "C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk" -> ["C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Amigo\Application\vk.exe" =>> hxxp://r.mail.ru/n137257923]
>>> "C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk" -> ["C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Amigo\Application\ok.exe" =>> hxxp://r.mail.ru/n137257727]
>>> "C:\Documents and Settings\All Users\Главное меню\Программы\Яндекс\Яндекс.Бар\Онлайн помощь по Яндекс.Бару для Internet Explorer.lnk" -> ["C:\Documents and Settings\All Users.WINDOWS\Application Data\Yandex\YandexBarIE\help.url"]
>>> [modified][RO][MASK] "C:\Documents and Settings\Marina Komarova.MARINA\Главное меню\Программы\Intеrnеt Ехplоrеr.lnk" -> ["C:\IEXPLORE.bat"]
>>> [modified][RO][MASK] "C:\Documents and Settings\Marina Komarova.MARINA\Рабочий стол\оpеrа.lnk" -> ["C:\launcher.bat"]
>>> [modified][RO][MASK] "C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Microsoft\Internet Explorer\Quick Launch\Запустить обозреватель Intеrnеt Ехplоrеr.lnk" -> ["C:\IEXPLORE.bat"]
>>> [modified][RO][MASK] "C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Microsoft\Internet Explorer\Quick Launch\Gооglе Сhrоmе.lnk" -> ["C:\Program Files\Google\chrome.bat"]
>>> [modified][RO][MASK] "C:\Documents and Settings\All Users.WINDOWS\Рабочий стол\Gооglе Сhrоmе.lnk" -> ["C:\Program Files\Google\chrome.bat"]
>>> [modified][RO][MASK] "C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\Google Chrome\Gооglе Сhrоmе.lnk" -> ["C:\Program Files\Google\chrome.bat"]
- "C:\Documents and Settings\Marina Komarova.MARINA\Главное меню\Программы\Приложения Амиго\Амиго.Музыка.lnk" -> ["C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Amigo\Application\amigo.exe" =>> --profile-directory=Default --app-id=mbipmajmbfjakbcfnjdldckninlnmhoe]
- "C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk" -> ["C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Amigo\Application\amigo.exe"]
- "C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Microsoft\Internet Explorer\Quick Launch\Амиго.Музыка.lnk" -> ["C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Amigo\Application\amigo.exe" =>> --profile-directory=Default --app-id=mbipmajmbfjakbcfnjdldckninlnmhoe]
- "C:\Documents and Settings\Marina Komarova\Главное меню\Программы\Torch.lnk" -> ["C:\Documents and Settings\Marina Komarova\Local Settings\Application Data\Torch\Application\torch.exe"]
- "C:\Documents and Settings\Marina Komarova\Рабочий стол\Torch.lnk" -> ["C:\Documents and Settings\Marina Komarova\Local Settings\Application Data\Torch\Application\torch.exe"]
- "C:\Documents and Settings\Marina Komarova\Application Data\Microsoft\Internet Explorer\Quick Launch\Torch.lnk" -> ["C:\Documents and Settings\Marina Komarova\Local Settings\Application Data\Torch\Application\torch.exe"]
- "C:\Documents and Settings\Marina Komarova\Application Data\Microsoft\Windows\Start Menu\Programs\Torch\Torch.lnk" -> ["C:\Documents and Settings\Marina Komarova\Local Settings\Application Data\Torch\Application\torch.exe"][/CODE]

Только в понедельник получится :-(

лог clearLNK прилагаю.
ЧТо-то у меня ощущение, что не всё у нас так хорошо, как хотелось бы.
1) в левых нижних углах страниц периодически маленькие окошки завлекалки во что-то сыграть появляются.
2) при наведении мышки на крупные картинки они разворачиваются и реклама чего-то возникает. В частности и на этом форуме. Тестирую на примере страницы с инструкциями. Почему-то не со всеми рисунками такое происходит. Посмотрела на другом компьютере ( вдруг это фича форума такая, а мой вирь), там ничего такого нет.
3) и один раз новая страницы какая-то открылась сегодня. Не казино, как изначально бывало. Страница хотела, чтоб я чего-то доставила, закрываться крестиком не хотела. ОТрубила весь Хром из диспетчера задач. За несколько часов хождения по инету позавчера ничего такого не было.

Сделайте свежий лог AdwCleaner-а.

опять ожил netfilter.sys, только он же ж нулевого размера ( как мне FAR показывает)

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B])[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]

Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url]. Установите (во время установки откажитесь от использования [B]бесплатного тестового периода[/B]), обновите базы ([U][COLOR="blue"]во время обновления откажитесь от загрузки и установки новой версии[/COLOR][/U]), выберите "[B]Perform Full Scan[/B]" ("[B]Полное сканирование[/B]"), нажмите "[B]Scan[/B]" ("[B]Сканирование[/B]"), после сканирования - [B]Ok - Show Results[/B] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]MBAM-log-2014-10-14 (12-18-10).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B][/URL].

лог mbam сделала. Он, конечно, поругался на некоторые вполне мне нужные файлы.

Browser Manager - деинсталируйте.

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Поместите в карантин MBAM[/url] всё кроме
[CODE]C:\WINDOWS\system32\hidserv.dll (Trojan.Agent.DRP) -> Действие не было предпринято.
C:\WINDOWS\Driver Cache\i386\sp3.cab (Trojan.Agent.DRP) -> Действие не было предпринято.
D:\distrib\pswd_recover\ElcomSoft DreamPack 2010\ElcomSoft DreamPack 2010\Advanced Archive Password Recovery 4.50\Advanced Archive Password Recovery 4.50.exe (PUP.AdvancedPRecovery) -> Действие не было предпринято.
D:\distrib\pswd_recover\ElcomSoft DreamPack 2010\ElcomSoft DreamPack 2010\Advanced Instant Messengers Password Recovery 3.91\Patch.exe (PUP.Hacktool.Patcher) -> Действие не было предпринято.
D:\distrib\Util\RegOrganizer.4.10\Crack\regorg33_keygenerator.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
D:\distrib\video\jaksta\MESMERiZE\patch.exe (PUP.Hacktool.Patcher) -> Действие не было предпринято.
D:\distrib\WINRAR_330\KGWINRAR2.6-3 (Trojan.Agent.CK) -> Действие не было предпринято.
D:\distrib\Mathtype 5.2\Design[1].Science.MathType.v5.2a.Incl.Keygen-LOCKLESS.ZIP (Riskware.Keygen) -> Действие не было предпринято.
D:\distrib\Mathtype 5.2\Design[1].Science.MathType.v5.2c.WinALL.Incl.Keymaker-CORE.ZIP (RiskWare.Tool.CK) -> Действие не было предпринято.
D:\docum\STA_USER\serotonine\articles_щбщепсихол\Adobe Acrobat X Professional 10.0.0.396 ML RUS\keyegen\keygen.exe (RiskWare.Tool.CK) -> Действие не было предпринято.
[/CODE]


Проверьте эти файлы на [url=http://www.virustotal.com/index.html]virustotal[/url]
[CODE]C:\WINDOWS\system32\hidserv.dll
C:\WINDOWS\Driver Cache\i386\sp3.cab
[/CODE]
кнопка [b]Выбрать файл[/b] (Choose File) - ищете нужный файл у вас в системе - [b]Открыть[/b] (Browse) - [b]Проверить[/b] (Scan it!). Нажать на кнопку [b]Повторить анализ[/b] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

[url]https://www.virustotal.com/ru/file/cf1216ad3eb1a54c6c176361f1af8feac0ea08b766854bab12303f641a44772e/analysis/1436818745/[/url]

[url]https://www.virustotal.com/ru/file/c746d195e36cbc150f0160fa36aa59f02ae606e635615b9891307a86c1472871/analysis/1436819212/[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Утро. После перезагрузки ОС -- все проблемы живы. И казино "вулкан" в том числе (давно его не было, видимо хаотично сайты для открытия выбираются)

Подробней проблемы, которые сейчас опишите.

+ - сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

Проблемы с браузером все те же. И всё такие же нестабильные.
1) В отдельных сайтах появляются большие анимированные баннеры вверху. Например на новостном сайте newsru.com. ( специально на другом компе глянула -- нет таких). Не сильно мешает. Просто отмечаю.
2) назойливое всплывающее снизу вверх окно в левой нижней части страницы. Практически любой -- хоть поисковика, хоть почты, хоть этого сайта. Повисит секунд несколько и уходит. Потом опять появляется. На моем экране это окно размером примерно 9 на 2,5 см.
3) «Разворот» картинок при наведении на них мышки с рекламой. Скриншот попробую приложить ( если это разрешено).
4) Что реально мешает и несколько настораживает -- это периодически открывающиеся страницы. Регулярности -- нет. Типовая схема такая: заходишь на сайт, пока читаешь, тишина-покой. Потом кликаешь левой кнопкой мыши по чистому месту (совсем не по ссылке!) и ты оказываешься на посторонней странице. Твоя, нужная страница остается целой, просто новая открывается, её быстренько крестиком душишь. Когда это просто реклама инет-магазина или казино - - полбеды, но когда порнушный сайт хочет открыться, и получаешь сообщение от провайдела что туда низя -- менее приятно. Иногда какие-то страницы открывались с просьбой кинуть денег на такой-то номер тел. В этих случаях браузер подвисает. Лишние кнопки тыкать на левых страницах не хочется, боишься ещё что-то словить. В душе опасения, что этот вирус кого-нибудь атакует и что я тем самым нанесу кому-то вред и себе неприятности.
(Интересно, что это происходит один раз на странице, потом можно тыкать мышкой куда хочешь, и новая страница не открывается).

Думы ещё. Запустила любопытства ради сегодня сканировать (не лечить) cureit -- опять ругается на полсотни файлов из D:\system volume information\_restore… или аналогичного с D. В ответ на работу cureit и авира пищать начинает ( на 5 файлов из этих же папок). Время создания у некоторых из них как раз 29 июня, когда я неудачный драйвер скачала. Честно скажу, не знаю, почему они не убились при первом проходе cureit -- я ручками по каждому лично кликала -- лечить -- ещё до того, как на этот форум написать. Может они не активные всё же…. Место-то не какая-нибудь system32….

Продолжение наблюдений. Вечер 14 июля. Решила, что терять особо нечего. Cureit с результатми сканирования и найденными угрозами всё равно ждал моей реакции. Кликнула обезвредить. Обезвредились благополучно. Перегружаться не просил, я и не перегружала ОС. Смотрю на браузер. Станицы этого форума (на нескольких вкладках открытые) у меня как тестовые. Обновляю их. Разворот картинок и всплыающие баннеры ( или как их назвать) -- исчезают. Редирект с открытием новой страницы по клику на произвольном месте не наблюдала ( но это нестабильный глюк, может просто времени не хватило).
Утро 15 июля. После перегрузки все проблемы живы. Картинки 3 и 4 с непрошенной страницей, которая затыкает Хром.
Cureit в том же минимальном объёме сканирования ничего не находит. Закрываю его. СМотрю в браузер, обновляю вкладки. Проблемы живы, кроме маленького всплывающего баннера ( может он тоже нестабильный).

[URL="http://www.opera-usb.com/ru/"]скачайте отсюда Оперу[/URL] и проверьте проблему в ней.


Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Какая-то совсем мистическая история получается. Пару часов назад, прочитав совет попробовать opera-usb, стала искать флешку для чистоты эксперимента. две флешки криво читались и комп временно подвис. Перегрузилась. И пока не наблюдают проблему. Ни в Хроме, ни в новой опере. Ещё раз перегрузилась. Пока проблемы нет. По времени вирь работает что ли???? Или с волнообразной активностью как некоторые человеческие вирусы? Наверное логи фарбара при активном процессе имеет смысл делать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

логи farbar... сделала хоть проблема и не ожила на сей момент ( мож сам сдох вирь?)

[CODE]FireFox:
========
FF ProfilePath: C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Mozilla\Firefox\Profiles\es6dJkFJ.default
FF Plugin: @nitropdf.com/NitroPDF -> C:\Program Files\Nitro\Reader 3\npnitromozilla.dll [2013-07-26] (Nitro PDF)
FF Plugin: @tools.google.com/Google Update;version=3 -> C:\Program Files\Google\Update\1.3.27.5\npGoogleUpdate3.dll [2015-05-29] (Google Inc.)
FF Plugin: @tools.google.com/Google Update;version=9 -> C:\Program Files\Google\Update\1.3.27.5\npGoogleUpdate3.dll [2015-05-29] (Google Inc.)
FF Plugin: Adobe Reader -> C:\Program Files\Adobe\Reader 11.0\Reader\AIR\nppdf32.dll [2014-05-08] (Adobe Systems Inc.)
FF Extension: Avira Browser Safety - C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Mozilla\Firefox\Profiles\es6dJkFJ.default\Extensions\[email protected] [2015-05-22]
FF Extension: TSearch - C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Mozilla\Firefox\Profiles\es6dJkFJ.default\Extensions\{6E727987-C8EA-44DA-8749-310C0FBE3C3E} [2015-06-29]
FF Extension: Яндекс.Бар - C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Mozilla\Firefox\Profiles\es6dJkFJ.default\Extensions\[email protected] [2015-07-15]

Chrome:
=======
CHR Profile: C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default
CHR Extension: (Google Docs) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-05-27]
CHR Extension: (Chrome Hotword Shared Module) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-05-27]
CHR Extension: (Google Drive) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-05-27]
CHR Extension: (Gmail) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-05-27]
CHR Extension: (Google Search) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-05-27]
CHR Extension: (YouTube) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-05-27]
CHR Extension: (Avira Browser Safety) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\flliilndjeohchalpbbcdekjklbdgfkk [2015-05-27]
CHR Extension: (Google Sheets) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-05-27]
CHR Extension: (Google Slides) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-05-27]
CHR Extension: (Google Wallet) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-05-27]
CHR Extension: (Visual Bookmarks) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pchfckkccldkbclgdepkaonamkignanh [2015-06-25]
CHR Extension: (Универсальный перевод для Chrome) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\gdalhedleemkkdjddjgfjmcnbpejpapp [2015-06-29]
CHR Extension: (No Name) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\faajihnmbfdjebpkhngdjlflookcjbpd [2015-06-29]
CHR Extension: (PromCodes) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pcedcainfpmibhlcppehljkpejdcpjjn [2015-06-29]
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - https://clients2.google.com/service/update2/crx

Opera:
=======
OPR Extension: (Универсальный перевод для Chrome) - C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Opera Software\Opera Stable\Extensions\gdalhedleemkkdjddjgfjmcnbpejpapp [2015-06-29]
OPR Extension: (PromCodes) - C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Opera Software\Opera Stable\Extensions\pcedcainfpmibhlcppehljkpejdcpjjn [2015-06-29][/CODE]
из этих расширений сами, что устанавливали?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="Marina Komarova;1294841"]прочитав совет попробовать opera-usb, стала искать флешку для чистоты эксперимента. две флешки[/quote]
это обычная портативная Опера. Для её использования совсем не обязательна флешка.

Malwarebytes Anti-Malware - деинсталируйте.

Амиго - также рекомендую деинсталировать.

Яндекс.Бар 5.0 для Internet Explorer - если не используете, тоже.

Создайте текстовый файл [B]fixlist.txt[/B] в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
[code]start
CreateRestorePoint:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
URLSearchHook: [S-1-5-21-823518204-113007714-842925246-1003] ATTENTION ==> Default URLSearchHook is missing.
URLSearchHook: HKU\S-1-5-21-823518204-113007714-842925246-1003 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - No File
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "" <======= ATTENTION
SearchScopes: HKU\S-1-5-21-823518204-113007714-842925246-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://spacesearch.ru/?ri=1&rsid=a7fe8cd0bcc61117778ee66dbd7e1f09&q={searchTerms}
SearchScopes: HKU\S-1-5-21-823518204-113007714-842925246-1003 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://spacesearch.ru/?ri=1&rsid=a7fe8cd0bcc61117778ee66dbd7e1f09&q=
CHR Extension: (PromCodes) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pcedcainfpmibhlcppehljkpejdcpjjn [2015-06-29]
OPR Extension: (PromCodes) - C:\Documents and Settings\Marina Komarova.MARINA\Application Data\Opera Software\Opera Stable\Extensions\pcedcainfpmibhlcppehljkpejdcpjjn [2015-06-29]
EmptyTemp:
Reboot:
end[/code]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

И наблюдайте за проблемой.
Если снова проявится, то попробуйте отключить/удалить [QUOTE]Универсальный перевод для Chrome[/QUOTE] и отпишитесь о результатах.

Прежде чем буду выполнять какие-либо действия -- продолжаю делиться наблюдениями. Проблема не стабильная! 15 июня вечером часа два-три сидела в Интернете, активно провоцировала вирус, но он молчал.
16 июня -- за комп попала ближе к ночи. Внчале проблем не было совсем. Потом в какой-то момент стали новые страницы по единичному клику открываться. Попозже и прочие глюки вернулись -- разворот картинок и всплывающий баннер. Не поняла, связано ли это наступлением новых суток или просто так легло. Зато могу теперь сказать однозначно: в портативной опере этих проблем нет. Прямо одинаковые сайты открывала, в одинаковые места мышкой кликала и разный результат наблюдала ( в Хроме кривости, в opera-usb --нет).

Вопрос про расширения для браузеров. Специально расширения не устанавливаю. Периодически в суете, когда что-то ставлю, забываю галочки некоторые убрать ( а что-то сомнительное по чьим-то просьбам скачиваю и ставлю нередко). Яндекс-бар, поставившийся намедни -- из этого числа.
Единственное, что я себе целенаправленно сделала, так это визуальные закладки в Хром ( и то, они были «свыше» предложены; решила взять, так работе больше похоже на старую Оперу, которую я очень любила)
CHR Extension: (Visual Bookmarks) - C:\Documents and Settings\Marina Komarova.MARINA\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pchfckkccldkbclgdepkaonamkignanh [2015-06-25]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Пофиксила. См. лог. Проблема, увы, жива. Универсальный перевод для Хрома ещё не удаляла. Как доберусь -- отпишу.

[quote="Marina Komarova;1295353"]так это визуальные закладки в Хром ( и то, они были «свыше» предложены; решила взять, так работе больше похоже на старую Оперу, которую я очень любила)[/quote]
а что тогда мешает пользоваться ей? Я до сих пор пользуюсь её и из неё пишу вам. Кстати, эта Опера USB также на старом движке Оперы.
[quote="Marina Komarova;1295353"]Универсальный перевод для Хрома ещё не удаляла. Как доберусь -- отпишу.[/quote]
ок, жду.

[QUOTE=regist;1295402]а что тогда мешает пользоваться ей? Я до сих пор пользуюсь её и из неё пишу вам. Кстати, эта Опера USB также на старом движке Оперы.

[/QUOTE]

Мешало только то, что я про неё не знала. Или, скажем так, не сильно искала. Прошлая старая версия Оперы у меня отказывала постепенно, а потом и винда опаганилась до невозможного ( от вируса и от старости -- 5 лет она жила без переустановки). Переставляла кривовато в каком-то безумном сумбуре и спешке, хотела форматнуть диск С, но не сложилось. И остатки старого софта теперь зазря место занимают. И подозреваю, могут теперь мешать извести заразу. Теперь-то видимо пересяду на мобильную оперу, а Хром оставлю для отдельных случаев.
Универсальный перевод убила ( в списке программ нет, просто удалила по пути в логе выше). Это расширение появилось в момент появления моего вируса. Очень наделялась, что поможет. Но увы. Редирект остался.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А после перезагрузки --тишь да гладь. Вирус сдох или просто к вечеру стих -- не знаю. Убивала ( а точнее переписала в другую папку) несколько файлов java-script, отвечающих за якобы универсальный перевод; насколько для их активности перезагрузка важна -- не знаю. Думала достаточно обновить страницы будет, чтоб понять, изменилось что-то или нет.
А на компьютере, между прочим, остались ещё файлы возникшие или модифицировавшиеся в тот же злосчастный час, что и появились глюки. Среди них пару файлов скайпа (один exe) и чего-то с флеш (oxc). Скайп иногда подвисает при выключении PC, а на хром иногда ругается на флеш-плеер. БОльшой соблазн переставить, чтоб не думалось, хоть и virustotal говорит, что они хорошие.

[quote="Marina Komarova;1295602"]Универсальный перевод убила ( в списке программ нет, просто удалила по пути в логе выше).[/quote]
надо было удалять через управление расширениями.

Хром возможно действительно лучше переставить.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

1) файлы из сомнительной папки с "универсальным переводом" я себе в другое место переписала, если что -- и оживить можно. сЕЙЧАС по-людски из управления расширениями удалила.
2) Хром пока не переставила.
3) Скрипт про уязвимости таковые нашёл.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот и следующий день настал -- всё чисто, проблемы не возвращаются. Похоже, это чудо случилось -- победили заразу. Ура! Спасибо огромное! То, что обновить часть софта надо, -- поняла.

На этом всё.
Удачи :).

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]