при запуске firefox происходит перенаправление н арекламные сайты [not-a-virus:Downloader.Win32.Agent.eatt ]

Printable View

16.08.2015, 19:29
azat190588

Вложений: 2

при запуске firefox происходит перенаправление н арекламные сайты [not-a-virus:Downloader.Win32.Agent.eatt ]

Добрый день.

Подскажите пожалуйста в чем может быть дело? Запустил сомнительный exe-файл с отключенным антивирусом. В результате при использовании браузера firefox, при его запуске происходит перенаправление на рекламные сайты. Пролечил комп drwebcureit!. Были обнаружены несколько троянов, удалены. Результатов это не дало. При запуске программы через ярлык, если потом посмотреть в свойствах ярлыка путь до него меняется со стандартного до C:\ProgramData\Browsers\browser5.bat. Пробовал пересоздавать ярлык, после нескольких использований путь до программы в свойствах ярлыка также видоизменяется на упомянутый выше. Пробовал удалять данный пакетный файл browser5.bat. Он создается вновь. В системных логах не обнаружил никаких записей относительно этой активности. Прикрепляю логи AVZ и hijackthis.

Заранее спасибо!
16.08.2015, 19:30
Info_bot

Уважаемый(ая) [B]azat190588[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.08.2015, 22:20
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Азат\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe','');
QuarantineFile('C:\Users\Азат\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\ProgramData\Browsers\browser6.bat','');
DeleteFile('C:\ProgramData\Browsers\browser6.bat','32');
DeleteFile('C:\Users\Азат\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\Азат\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
17.08.2015, 08:47
azat190588

Вложений: 3

Спасибо за ответ. Файл с карантином к сожалению не прикрепляется. Система выдает ошибку о том что невозможно прикрепить файл, так как он ранее был уже загружен. Остальное прикрепил.
17.08.2015, 10:32
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
[list][*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
17.08.2015, 21:52
azat190588

Вложений: 3

Вот. Пожалуйста.
18.08.2015, 11:45
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-45038647-2501920076-3896657485-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://isearch.omiga-plus.com/web/?type=ds&ts=1420135613&from=cor&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://isearch.omiga-plus.com/web/?type=ds&ts=1420135613&from=cor&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&q={searchTerms}
HKU\S-1-5-21-45038647-2501920076-3896657485-1000\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://searchis-poisk.ru
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://search.delta-homes.com/web/?type=ds&ts=1428468760&from=wpm040831&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&q={searchTerms}
SearchScopes: HKU\S-1-5-21-45038647-2501920076-3896657485-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = hxxp://www.delta-homes.com/web/?utm_source=b&utm_medium=wpm040831&utm_campaign=install_ie&utm_content=ds&from=wpm040831&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&ts=1428468808&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-45038647-2501920076-3896657485-1000 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = hxxp://www.delta-homes.com/web/?utm_source=b&utm_medium=wpm040831&utm_campaign=install_ie&utm_content=ds&from=wpm040831&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&ts=1428468808&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-45038647-2501920076-3896657485-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.delta-homes.com/web/?utm_source=b&utm_medium=wpm040831&utm_campaign=install_ie&utm_content=ds&from=wpm040831&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&ts=1428468808&type=default&q={searchTerms}
SearchScopes: HKU\S-1-5-21-45038647-2501920076-3896657485-1000 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = hxxp://www.delta-homes.com/web/?utm_source=b&utm_medium=wpm040831&utm_campaign=install_ie&utm_content=ds&from=wpm040831&uid=ST1000DL002-9TT153_W1V0EZJNXXXXW1V0EZJN&ts=1428468808&type=default&q={searchTerms}
BHO: No Name -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> No File
2015-08-16 09:46 - 2015-05-07 20:02 - 00000000 ____D C:\Users\Азат\AppData\Roaming\Browsers
Task: {38D53677-0CE3-4AAD-A3C5-FBE6D6BC9277} - \Microsoft\Windows\File Classification Infrastructure\Property Definition Sync -> No File <==== ATTENTION
Task: {D8B617E4-91BF-473E-8683-FC03609F482C} - System32\Tasks\Soft installer => C:\Users\Азат\AppData\Local\Host installer\570963469_monster.exe [2015-08-15] (another morning running)
C:\Users\Азат\AppData\Local\Host installer
AlternateDataStreams: C:\Program Files\Aegisub:Win32App
AlternateDataStreams: C:\Program Files\Bonjour:Win32App
AlternateDataStreams: C:\Program Files\iTunes:Win32App
AlternateDataStreams: C:\Program Files (x86)\Adobe:Win32App
AlternateDataStreams: C:\Program Files (x86)\Apple Software Update:Win32App
AlternateDataStreams: C:\Program Files (x86)\Bonjour:Win32App
AlternateDataStreams: C:\Program Files (x86)\ImgBurn:Win32App
AlternateDataStreams: C:\Program Files (x86)\K-Lite Codec Pack:Win32App
AlternateDataStreams: C:\Program Files (x86)\Microsoft Office:Win32App
AlternateDataStreams: C:\Program Files (x86)\Microsoft Visual Studio 8:Win32App
AlternateDataStreams: C:\Program Files (x86)\Mozilla Firefox:Win32App
AlternateDataStreams: C:\Program Files (x86)\MSBuild:Win32App
AlternateDataStreams: C:\Program Files (x86)\PC Connectivity Solution:Win32App
AlternateDataStreams: C:\Program Files (x86)\STDU Viewer:Win32App
AlternateDataStreams: C:\Program Files (x86)\TeamViewer:Win32App
AlternateDataStreams: C:\Program Files (x86)\Tsukihime:Win32App
AlternateDataStreams: C:\Program Files (x86)\TuneUp Utilities 2014:Win32App
AlternateDataStreams: C:\Program Files (x86)\USB2.0 PC Camera:Win32App
AlternateDataStreams: C:\Program Files (x86)\Virtual CD v10:Win32App
AlternateDataStreams: C:\Program Files\Common Files\Autodesk Shared:Win32App
AlternateDataStreams: C:\Program Files\Common Files\microsoft shared:Win32App
AlternateDataStreams: C:\ProgramData\Autodesk:Win32App
AlternateDataStreams: C:\ProgramData\{FE8D473A-6F06-4F99-B5F4-BED72B2A038C}:Win32App
AlternateDataStreams: C:\Users\Азат\AppData\Local\Temp:Win32App
AlternateDataStreams: C:\Users\Все пользователи\Autodesk:Win32App
AlternateDataStreams: C:\Users\Все пользователи\{FE8D473A-6F06-4F99-B5F4-BED72B2A038C}:Win32App
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
19.08.2015, 08:20
azat190588

Вложений: 4

Спасибо за помощь.

Прикрепляю запрошенный лог. Также я обнаружил на системном томе странную папку, возможно она создалась при обновлении до Windows 10. Прикрепляю скриншоты, может быть посмотрите что с ней сделать? Возможно нужно удалить. Папка скрытая. Особенно настораживает на мой взгляд вложенная папка "Panther".

Заранее спасибо.
19.08.2015, 11:09
thyrex

Что с проблемой?
19.08.2015, 22:34
azat190588

осталась. при запуске firefox всплывает куча рекламы, в Edge появляется иногда, но тоже вылезает....
20.08.2015, 13:59
thyrex

Отключите все установленные в Firefox расширения и проверьте проблему
21.08.2015, 08:30
azat190588

Вложений: 2

удалил и снова поставил firefox, отключил все расширения. при старте Windows отрабатывают какие-то скрипты (видно окно консоли секунду), путь до ярлыка firefox постоянно заменяется на C:\ProgramData\Browsers\browser5.bat (пробовал удалять и создавать ярлык вновь, не помогло), пробовал удалять этот пакетный файл browser 5.bat, он вновь появляется, когда запускаешь firefox. Прикрепляю содержимое папки C:\ProgramData\Browsers, а также содержание 3 текстовых файлов, которые там находятся.
21.08.2015, 11:12
mrak74

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFileF('C:\ProgramData\Browsers\','*', true,'',0 ,0);
DeleteFileMask('C:\ProgramData\Browsers', '*', true);
DeleteDirectory('C:\ProgramData\Browsers');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
21.08.2015, 20:30
azat190588

Вложений: 1

Все сделал.
21.08.2015, 22:33
thyrex

Что сейчас с проблемой?
21.08.2015, 23:57
azat190588

Осталась, по-прежнему при старте firefox происходит переадресация на рекламный контент. По-прежнему создаются "левые" файлы в папке C:\Program Data\Browsers, о которых упоминал выше. При старте системы на секунду мелькает окно консоли и закрывается само.
22.08.2015, 17:17
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
23.08.2015, 12:15
azat190588

Вложений: 1

Вот.
24.08.2015, 09:20
mrak74

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files (x86)\hp defender\hhandler.exe');
StopService('HHandler Service');
QuarantineFile('C:\Users\Азат\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe','');
QuarantineFile('c:\program files (x86)\hp defender\hhandler.exe','');
QuarantineFile('C:\Users\Азат\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk','');
QuarantineFile('C:\Users\Азат\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Oracle VM VirtualBox.lnk','');
QuarantineFile('C:\Users\Азат\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gаmе - Tоtal Dоmination.lnk','');
QuarantineFile('C:\ProgramData\Browsers\browser6.bat','');
DeleteFile('C:\Users\Азат\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk');
DeleteFile('C:\Users\Азат\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Oracle VM VirtualBox.lnk');
DeleteFile('C:\Users\Азат\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gаmе - Tоtal Dоmination.lnk');
DeleteFile('C:\ProgramData\Browsers\browser6.bat','32');
DeleteFile('c:\program files (x86)\hp defender\hhandler.exe','32');
DeleteFile('C:\Users\Азат\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe','32');
DeleteService('HHandler Service');
DeleteFileMask('C:\ProgramData\Browsers','*',true);
DeleteDirectory('C:\ProgramData\Browsers');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

Удалите всё в Malwarebytes Anti-Malware, сделайте новый лог Malwarebytes Anti-Malware.
24.08.2015, 23:11
azat190588

Вложений: 3

Вот.
25.08.2015, 08:34
mrak74

[URL="http://virusinfo.info/showthread.php?t=128635#post948932"][I]очистите кэш и cookies-файлы браузеров[/I][/URL]

Удалите MBAM.

Что с проблемой ?
25.08.2015, 20:12
azat190588

Кажется проблема решена. По-крайней мере реклама больше не лезет, путь в свойствах ярлыка Firefox не меняется самопроизвольно. Всем спасибо за помощь:)) :)
25.08.2015, 20:22
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\азат\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe - [B]not-a-virus:Downloader.Win32.Agent.eatt[/B] ( DrWEB: Adware.Downware.5217 )[/LIST][/LIST]