Браузеры взбесились #3

Printable View

28.01.2016, 13:54
Savransky

Вложений: 2

Браузеры взбесились #3

Добрый день.

В третий раз обращаюсь к вам со схожей темой.
Предыдущее обращение - здесь: [url]http://virusinfo.info/showthread.php?t=195940[/url]

Мне показалось, что всё разрешилось, но не тут-то было:
Во-первых, по адресу C:\Users\...\AppData\Local\Microsoft\Extensions засел файл extsetup.exe, который сбрасывал все плагины и поисковики в FF. Я удалил всё содержимое папки Extensions.
Во-вторых, в Chrome стало невозможно сменить пользователя, то есть оно предлагает зайти под каким-то ранее запомненным логином, а на "Sign in with a different account" не реагирует и "изначального" пользователя не удаляет. И на рабочем столе после каждой загрузки появлялась иконка-ссылка Chrome.
И, наконец, в-третьих, FF вообще прекратил запускаться... то есть, запускается только по ссылке, присланной, скажем, в Скайп или по html-ярлыку созданному вручную, а вот иконкой или командой firefox.exe, а также "готовым" ярлыком, типа, присутствующего в папке AVZ ([DEFAULT] BASEURL=http://z-oleg.com/secur/avz/ [InternetShortcut] URL=http://z-oleg.com/secur/avz/ IconFile=http://z-oleg.com/favicon.ico IconIndex=1) процесс firefox.exe запускается (у меня сейчас в task manager висит пять ФФ), но окно не открывается.

В общем, буду очень признателен за помощь.

P.S. CureIt в безопасном режиме и Avast, запущенный до загрузки винды, ничего не нашли.
28.01.2016, 13:55
Info_bot

Уважаемый(ая) [B]Savransky[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
28.01.2016, 17:00
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
QuarantineFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\F4903645-3373-4C66-A256-EA9814D7AD47.exe', '');
QuarantineFileF('c:\program files (x86)\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
DeleteFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\F4903645-3373-4C66-A256-EA9814D7AD47.exe', '32');
DeleteFile('C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe', '32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "KRBLNKRUN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ADD27CC19-209F-489B-B0ED-49F3493D9654" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "extsetup" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SafeBrowser" /F', 0, 15000, true);
DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
DeleteFileMask('c:\programdata\krb updater utility', '*', true);
DeleteDirectory('c:\program files (x86)\kinoroom browser');
DeleteDirectory('c:\programdata\krb updater utility');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'DD27CC19-209F-489B-B0ED-49F3493D9654');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'SafeBrowser');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CCleaner Monitoring', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mailruhomesearch', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpybotPostWindows10UpgradeReInstall', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SwitchBoard', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Kinoroom Browser', 'command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[URL='http://rghost.ru/private/8qWxtkM2q/5c22d0cc90b92e1a6010b4d5aeabb07a']сделайте лог HiJackThis 2.0.6 Alfa 1.5[/URL]

- сделайте лог [URL="http://dragokas.com/tools/Check_Browsers_LNK_2.0.0.14_alpha.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.
28.01.2016, 17:52
Savransky

Вложений: 4

Скрипт выполнил. Карантин не загружается. Пишет: "Ошибка загрузки. Данный файл уже был загружен". Кстати, я посмотрел "карантинный" архив - он почему-то пустой... С браузерами пока те же проблемы.
28.01.2016, 19:10
regist

[quote="regist;1353708"]- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]
где ссылка?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HiJackThis 2.0.6 Alfa 1.5
[CODE]O2 - BHO: (no name) - AutorunsDisabled - (no file)
O4 - MSConfig..HKLM: 2013/11/29 [AdobeCS5ServiceManager] "C:\Program Files (x86)\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe" -launchedbylogin (no file)
O4 - MSConfig..HKLM: 2013/11/29 [AdobeCS6ServiceManager] "C:\Program Files (x86)\Common Files\Adobe\CS6ServiceManager\CS6ServiceManager.exe" -launchedbylogin (no file)
O4 - MSConfig..HKLM: 2013/11/29 [SwitchBoard] C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe (no file)
O4 - MSConfig..HKLM: 2015/10/15 [SpybotPostWindows10UpgradeReInstall] "C:\Program Files\Common Files\AV\Spybot - Search and Destroy\Test.exe" (no file)
O4 - MSConfig..HKLM: 2016/01/18 [Kinoroom Browser] (no file)
O4 - MSConfig..HKLM: 2016/01/18 [MailRuUpdater] C:\Users\SERGE\AppData\Local\Mail.Ru\MailRuUpdater.exe (no file)
O4 - MSConfig..HKLM: 2016/01/18 [amigo] C:\Users\SERGE\AppData\Local\Amigo\Application\amigo.exe --no-startup-window (no file)
O4 - MSConfig..HKLM: 2016/01/18 [mailruhomesearch] "C:\Users\SERGE\AppData\Local\Mail.Ru\Sputnik\ptls\mailruhomesearch.exe" --pr_deferred (no file)
O9 - Extra button: (no name) - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - (no file)
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - (no file)
O22 - ScheduledTask: (Disabled) GoogleUpdateTaskMachineCore - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /c (no file)
O22 - ScheduledTask: (Disabled) GoogleUpdateTaskMachineUA - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (no file)
[/CODE]

- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\Users\SERGE\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
C:\Users\SERGE\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет.lnk
C:\Users\SERGE\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk
C:\Users\SERGE\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk
[/CODE]

[CODE]C:\Users\SERGE\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
C:\Users\SERGE\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico[/CODE]удалите это вручную.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
28.01.2016, 19:45
Savransky

Вложений: 2

Приношу свои извинения за отсутствие ссылки на проверку карантина... не заметил.
Вот она: [url]http://virusinfo.info/virusdetector/report.php?md5=1DF4E5D3C76FD4C3FE97D013E19AEF45[/url]
Вот соответствующая тема на форуме: [url]http://virusinfo.info/showthread.php?t=196408[/url]
.....
Пофиксил... строки 02 и 09 не фиксятся (пишет "закройте все окна браузеров и эксплорера и продолжите". У меня всё закрыто, жму на "ОК", список пропадает, а при нажатии на кнопку "проверить" эти строки возвращаются)
.....
Ярлыки пофиксил (ClearLNK)
.....
Файлы удалил
.....
Просканировал adwcleaner_ом
28.01.2016, 22:15
regist

[quote="Savransky;1353751"]Пофиксил... строки 02 и 09 не фиксятся (пишет закройте все окна браузеров и эксплорера и продолжите. У меня всё закрыто, жму на "ОК", список пропадает, а при нажатии на кнопку "проверить" эти строки возвращаются)[/quote]
А попробуйте в старой версии HiJackThis, о результате отпишитесь.

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru и Yandex - если программами от mail.ru и Yandex не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.
28.01.2016, 23:42
Savransky

Вложений: 1

"Старый добрый" ХайДжек справился с этими двумя строчками, при помощи АдвКлинер удалил всё, кроме Яндекса, потом сам вручную удалил из папок Яндекса всё, относящееся к Яндекс-бару, а Пунто оставил - я им "сто лет" пользуюсь... но, браузеры ведут себя по-прежнему так, как вели (((

UPD: Сбросил "на ноль" настройки Chrome. С ним теперь, вроде, всё в порядке. Осталась проблема с Firefox. Пытался сносить его, чистил как мог все остатки, ставил заново - всё то же самое.
29.01.2016, 11:13
regist

Сделайте свежий лог AdwCleaner-а.

А если запустить FireFox в безопасном режиме, то тоже не работает?
29.01.2016, 15:10
Savransky

В общем, как-то так:

1. В безопасном режиме работает (раньше, кстати, по-моему, не работал). В нормальном - нет, то есть, по-прежнему, запускает процесс, а окно не запускает.

2. AdwCleaner в последнем сканировании нашёл только 5 папок Yandex и больше ничего, кроме ключа HKCU\Software\Conduit. Я его удалил.

3. На всякий случай отключил автозагрузку Punto, "закамментил" все Яндекс-папки, перезагрузился. В итоге, AdwCleaner не находит вообще ничего, а ФФ, по-прежнему, в Safe mode запускает окно, а в Normal - нет ((
29.01.2016, 18:00
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
29.01.2016, 20:57
Savransky

Вложений: 3

[QUOTE]Farbar Recovery Scan Tool[/QUOTE]... вот... я просил о Фарбаре в своём прошлом посте: [url]http://virusinfo.info/showthread.php?t=195940[/url]
АдвКлинер удалил.

Готово...
29.01.2016, 23:00
regist

[CODE]Task: {53AE4CEE-7569-459E-A6CD-4B97B95A108E} - [B]System32\Tasks\Microsoft\Windows\WURM\ATWURM[/B] => cmd
Task: {CA44206E-4CEA-4430-97E5-7D248AAE1A32} - System32\Tasks\Microsoft\Windows\WURM\ATWURM_OL => cmd
[/CODE]WURM\ATWURM - вам знакомо?

Все эти расширения сами ставили?
[SPOILER]FireFox:
========
FF ProfilePath: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720
FF DefaultSearchEngine: Yandex Search
FF SelectedSearchEngine: Yandex Search
FF Plugin: @adobe.com/FlashPlayer -> C:\Windows\system32\Macromed\Flash\NPSWF64_20_0_0_286.dll [2016-01-25] ()
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin: @Microsoft.com/NpCtrl,version=1.0 -> C:\Program Files\Microsoft Silverlight\5.1.41212.0\npctrl.dll [2015-12-11] ( Microsoft Corporation)
FF Plugin: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect64.dll [2014-04-28] (Adobe Systems)
FF Plugin-x32: @adobe.com/FlashPlayer -> C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_20_0_0_286.dll [2016-01-25] ()
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\SysWOW64\Adobe\Director\np32dsw_1215155.dll [2014-12-02] (Adobe Systems, Inc.)
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @Microsoft.com/NpCtrl,version=1.0 -> C:\Program Files (x86)\Microsoft Silverlight\5.1.41212.0\npctrl.dll [2015-12-11] ( Microsoft Corporation)
FF Plugin-x32: @microsoft.com/WLPG,version=16.4.3528.0331 -> C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll [2014-03-31] (Microsoft Corporation)
FF Plugin-x32: @nvidia.com/3DVision -> C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll [2016-01-23] (NVIDIA Corporation)
FF Plugin-x32: @nvidia.com/3DVisionStreaming -> C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll [2016-01-23] (NVIDIA Corporation)
FF Plugin-x32: @tools.google.com/Google Update;version=3 -> C:\Program Files (x86)\Google\Update\1.3.29.1\npGoogleUpdate3.dll [2015-12-02] (Google Inc.)
FF Plugin-x32: @tools.google.com/Google Update;version=9 -> C:\Program Files (x86)\Google\Update\1.3.29.1\npGoogleUpdate3.dll [2015-12-02] (Google Inc.)
FF Plugin-x32: Adobe Reader -> C:\Program Files (x86)\Adobe\Acrobat Reader DC\Reader\AIR\nppdf32.dll [2015-12-18] (Adobe Systems Inc.)
FF Plugin-x32: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect32.dll [2014-04-28] (Adobe Systems)
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\google-language-fr.xml [2011-07-13]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\googlebe.xml [2011-07-13]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\googlefr.xml [2011-07-13]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\priceru.xml [2011-10-10]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\youtube.xml [2011-07-13]
FF Extension: Adblock Plus Pop-up Addon - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\extensions\[email protected] [2016-01-28]
FF Extension: ZenMate Security, Privacy & Unblock VPN - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
FF Extension: Dictionnaires français - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: SaveFrom.net helper - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
FF Extension: Russian Hunspell spellchecking dictionary - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: Awesome screenshot: Capture and Annotate - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
FF Extension: Français Language Pack - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: Russian (RU) Language Pack - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: Russian spellchecking dictionary - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29] [not signed]
FF Extension: Adblock Plus - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2016-01-28]
FF HKLM-x32\...\Firefox\Extensions: [{49BCD101-2F9F-4DF6-8EBC-E55D9C620A73}] - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\pdrzor2n.default\extensions\[email protected] => not found

Chrome:
=======
CHR HomePage: Default -> mail.ru/cnt/11956636?gp=801006
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}&fr=xtn11
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
CHR Profile: C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default
CHR Extension: (Диск Google) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (YouTube) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-24]
CHR Extension: (Google Search) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-29]
CHR Extension: (ZenMate - IP & Browser Check) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\dchhalahcjpkabdgonjhoogdcipienhf [2015-11-01]
CHR Extension: (ZenMate Security, Privacy & Unblock VPN) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\fdcgdnkidjaadafnichfpabhfomcebme [2015-11-17]
CHR Extension: (Google*Документы офлайн) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2015-11-21]
CHR Extension: (Safe box) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-08-06]
CHR Extension: (Gmail) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-04-14]

Opera:
=======
OPR Extension: (Safe box) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
[2016-01-27][/SPOILER]
особенно интересует знакомы ли вам [CODE]FF Extension: [B]Russian spellchecking dictionary[/B] - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29] [not signed]
OPR Extension: ([B]Safe box[/B]) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
[/CODE]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
bl (x32 Version: 1.0.0 - Your Company Name) Hidden
ph (x32 Version: 1.0.0 - Your Company Name) Hidden
Task: {1D02981B-1E00-4678-85A4-547180D4BD7F} - System32\Tasks\Microsoft\Windows\ADD27CC19-209F-489B-B0ED-49F3493D9654 => C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\F4903645-3373-4C66-A256-EA9814D7AD47.exe
Task: {24E0E456-7D8B-435D-AC11-6707A2B4243A} - System32\Tasks\Microsoft\Windows\extsetup => C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe
Task: {2DD57B7B-761D-4BEB-A1F6-99EB86B90D2F} - System32\Tasks\Microsoft\Windows\SafeBrowser => C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe
Task: {7DB9CE03-5BAC-4167-9CBD-17EACF07A47C} - System32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service => C:\ProgramData\KRB Updater Utility\krbupdater.exe
Task: {D7E45C6E-7682-46F2-B75F-82B2AD3F5DA7} - System32\Tasks\Microsoft\KRBUUS\KRBLNKRUN => C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe
Task: {DB848C49-7CB5-4759-8907-6ED4AC530E2D} - System32\Tasks\Microsoft\extsetup => C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe
FF HKLM-x32\...\Firefox\Extensions: [{49BCD101-2F9F-4DF6-8EBC-E55D9C620A73}] - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\pdrzor2n.default\extensions\[email protected] => not found
OPR Extension: (Smart Browser™) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\icejakkhehfppngiieninffokmlkhpib [2016-01-21]
OPR Extension: (Smart Browser™) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnodmjdgoadhalodifblaaikgcfgchfb [2016-01-27]
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[CODE][B]bl[/B] (x32 Version: 1.0.0 - Your Company Name) Hidden
[B]ph [/B](x32 Version: 1.0.0 - Your Company Name) Hidden[/CODE]
Деинсталируйте эти программы.
30.01.2016, 00:23
Savransky

Вложений: 1

1[QUOTE]WURM\ATWURM - вам знакомо?[/QUOTE]не знаю, что это такое

2
расширения на ФФ ставил, на Хром - нет, Оперы у меня нет вообще (была когда-то...)
Текущие расширения ФФ: [url]http://savepic.ru/8463546.png[/url]
Текущие плагины ФФ: [url]http://savepic.ru/8467642.png[/url]

3
словари ставил, но, по-моему, уже после того, как присылал логи... во всяком случае, ставил их стандартным способом:
[url]http://savepic.ru/8458426.png[/url]

4
Farbar Recovery Scan Tool...
готово

5
[QUOTE]bl (x32 Version: 1.0.0 - Your Company Name) Hidden
ph (x32 Version: 1.0.0 - Your Company Name) Hidden[/QUOTE]готово
30.01.2016, 09:37
regist

Что с проблемой?

Если осталась, то попробуйте удалить словари и ещё раз проверь проблему.

[quote="Savransky;1354174"]не знаю, что это такое[/quote]
Сможете самостоятельно через планировщик заданий удалить или скриптом удалить?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

расширение [B]Safe box[/B], кстати, у вас не только в Опере стоит, но и в Хроме. Я так понимаю вам оно вам не знакомо?
30.01.2016, 13:34
Savransky

1. Проблема осталась

2. Словари удалил.

3. "WURM-tasks" удалил.

4. У меня ВООБЩЕ нет Оперы, а в Хроме стоит Safe box, но отключён. В ФФ его нет.
30.01.2016, 13:50
regist

1) [quote="Savransky;1354268"]а в Хроме стоит Safe box, но отключён.[/quote]
Повторю вопрос вы его сами ставили? Или понятия не имеете откуда это расширение взялось?

2) Удалите папку C:\FRST со всем содержимым.

3) Сделайте свежие логи FRST.
30.01.2016, 14:34
Savransky

Вложений: 3

[QUOTE]Повторю вопрос вы его сами ставили?[/QUOTE]Не помню... вряд ли. Удалить?
30.01.2016, 15:42
regist

[CODE]FF Extension: [B]Awesome screenshot: Capture and Annotate[/B] - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
[/CODE]
А это сами ставили? Попробуйте удалить и проверьте проблему.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скриптом удалим оба расширения.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
FF Extension: Awesome screenshot: Capture and Annotate - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
CHR Extension: (Safe box) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
OPR Extension: (Safe box) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
2016-01-18 22:01 - 2016-01-18 22:17 - 00000000 ____D C:\Users\SERGE\AppData\LocalLow\Unity
AlternateDataStreams: C:\Program Files\Common Files\Microsoft Shared:Y3Kkvw6TiDkptIH1s3np
AlternateDataStreams: C:\ProgramData\Microsoft:pNCwCxtyZN6I0ofeGD1w
AlternateDataStreams: C:\ProgramData\Microsoft:sy4wK3cSfvv8B2ogWTmzPhN0

EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

После этого проверьте проблему.
30.01.2016, 16:33
Savransky

Вложений: 1

Awesome screenshot сам ставил... и очень давно пользуюсь... но, когда проблема возникла, сносил все расширения в ФФ - не помогло, так что, сомневаюсь, но попробую...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

1. Не помогло

2. Оперы у меня ДАВНО нет... папку ...\Roaming\Opera Software\... снёс вообще вручную

3. В логе написано, что safe box moved successfully, но в Хроме он "висит": [url]http://savepic.ru/8461336.png[/url]... удалил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Небольшое уточнение: когда Вы спрашивали, запускается ли ФФ в безопасном режиме, я Вас, вероятно, неправильно понял. С шифтом он не запускается тоже... то есть, не открывается окно, а процесс запускается. А я имел в виду Windows safe mode ( F8 ). Там он запускается нормально.
30.01.2016, 16:43
regist

[quote="Savransky;1354313"]я Вас, вероятно, неправильно понял. С шифтом он не запускается тоже[/quote]
Да, я имел ввиду именно с Shift-ом либо другим способом но безопасный режим Лисы.
[quote="Savransky;1354313"]А я имел в виду Windows safe mode ( F8 ). Там он запускается нормально.[/quote]
Тогда попробуйте:

Выполните загрузку в безопасном режиме. Если проблема не наблюдается, причина кроется в сторонней службе или программе. В этом случае выполните следующие действия.
[B]Пуск[/B] - [B]Поиск / Выполнить[/B] - [B]msconfig[/B] - [B]ОК[/B] и перейдите на вкладку [B]Службы[/B]. Установите флажок [B]Не отображать службы Microsoft[/B].
Отключите все отображенные службы (имеются в виду только не принадлежащие Microsoft) и перезагрузитесь. Если проблема не появляется, причина в одной из этих служб.

Далее действуйте методом "половинного деления". Включите половину служб и снова перезагрузитесь. Если проблема не появляется, причина в оставшихся отключенных службах. Если проблема воспроизводится, причина во включенных службах - отключите половину из них и снова перезагрузитесь. Действуя таким образом, вы сможете выявить службу, являющуюся причиной проблемы, и определить программу, которой она принадлежит.
Аналогичным образом можно поступить на вкладке [B]Автозагрузка[/B].
Здесь тоже не следует отключать пункты, производителем которых является Microsoft. Отключение программ других производителей может привести к неправильной работе устройств в том случае, если вы отключите их драйверы. Поэтому программы производителей вашего аппаратного обеспечения (например, Intel) лучше не отключать, либо отключать в самую последнюю очередь.

Далее можно порекомендовать лишь обновление программы до последней версии или ее удаление.

Подробнее об этой диагностике читайте [URL='http://support.microsoft.com/kb/929135']здесь[/URL].
30.01.2016, 17:25
Savransky

Сброс ФФ "на ноль" тоже не помог...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я хорошо знаю, что такое msconfig...

Тока вот фигня какая: я удалил ВСЕ немайкрософтовские службы, убрал из стартапа вообще ВСЁ, сбросил ФФ - никакой реакции...
30.01.2016, 20:50
regist

Давайте ещё так проверимся

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]