Вирусная реклама в браузере, самоотрывающиеся вкладки, постоянный переход заданного поисковика на go.mail.ru

Доброго времени суток!

После скачивания и установки с торрентрекра файла появились следующие проблемы:

1) В браузере постоянно самопроизвольно открываются рекламные вкладки (преимущественно казино);
2) Появилась контекстная реклама, там где ее точно не должно быть (например в Википедии);
3) Появились всплывающие окна с рекламой при открытии заданной страницы;
4) При введении запроса в любой поисковой системе самопроизвольно переводи запрос на go.mail.ru.

[COLOR=#333333]Антивирусы, curelt и malaware ничего не замечают и не видят!

За ранее благодарю![/COLOR]

Уважаемый(ая) [B]Gl_Al[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

Сами ставили ThinkSky?

HiJackThis [URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=18701D0D6829820E2F174099382DFF91&utm_d=20160919
[/CODE]


AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\user\AppData\Local\ScriptWriter\ScriptWriter.exe','');
QuarantineFile('C:\Program Files (x86)\ThinkSky\iTools 3\iToolsDaemon.exe','');
DeleteFile('C:\Users\user\AppData\Local\ScriptWriter\ScriptWriter.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Здравствуйте!
Самостоятельно ставил iTools, который как раз находится в папке ThinkSky
C:\Program Files (x86)\ThinkSky\iTools 3

Но эту программу ставил давно, после установки проблем выявлено не было.
С торрента скачивал мультимедийную энциклопедию, которую потом удалил, вот после нее начались проблемы. Это так, для полноты истории.

Действия, которые вы мне предписали выполню в ближайшее время!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

После проведенных действий:
1) quarantine.zip из папки AVZ выслал по ссылке вверху темы;
2) Прикрепляю лог Check Browsers' LNK by Dragokas & regist;
3) Прикрепляю лог AdwCleaner.

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Удалил все. Лог прикрепил.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Выполнил, отчеты прилагаю!

Сами настраивали ограничения в локальной групповой политике?
[CODE]
GroupPolicy\User: Restriction <======= ATTENTION
[/CODE]

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKU\S-1-5-21-4234176453-2886829883-2338473282-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [holihdldfgekmjfdhdinpfjbfnhcphia] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfigaoamnncijbgomifamkmkidnnlikl] - hxxp://clients2.google.com/service/update2/crx
2016-09-19 23:31 - 2016-09-22 00:01 - 00000000 ____D C:\Users\user\AppData\Local\FilterStart
2016-09-19 23:31 - 2016-09-19 23:31 - 00000274 _____ C:\Users\user\AppData\Local\expand.ini
2016-09-19 23:28 - 2016-09-20 23:14 - 00000000 ____D C:\Users\user\AppData\Local\PowerMonitor
2016-09-19 23:31 - 2016-09-19 23:31 - 00000000 ____D C:\Users\user\AppData\Local\Вoйти в Интeрнет
2016-09-19 23:27 - 2016-09-19 23:27 - 00000000 ____D C:\Users\user\AppData\Local\Поиcк в Интeрнете
Task: {10C85F46-E365-4484-8F04-260CD5C2F5DC} - \PowerMonitor -> No File <==== ATTENTION
Task: {47FA5B67-5A3E-4AD2-89D7-9DD05DF75680} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {68744F4B-396C-4522-A35E-F9C124AADAEC} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {70CEDFEE-5832-4839-BD87-C2FD05C4CC51} - \Microsoft OneDrive Auto Update Task-S-1-5-21-4234176453-2886829883-2338473282-500 -> No File <==== ATTENTION
Task: {756C3AA1-3BA5-419D-929C-F4194FB80216} - \WPD\SqmUpload_S-1-5-21-4234176453-2886829883-2338473282-1001 -> No File <==== ATTENTION
Task: {D70E5486-9174-439B-864F-B78A26B2059C} - \Microsoft\Windows\Setup\gwx\runappraiser -> No File <==== ATTENTION
Task: {E484865D-E432-4545-A1D2-829A5B2FAE1C} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {F388F8B9-91F9-4856-8894-80F104FC9B34} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

[QUOTE=SQ;1407301]Сами настраивали ограничения в локальной групповой политике?
[CODE]
GroupPolicy\User: Restriction <======= ATTENTION
[/CODE]
[/QUOTE]
Затрудняюсь ответить, скорее всего нет.

Fixlog.txt прикладываю

[QUOTE=Gl_Al;1407357]Затрудняюсь ответить, скорее всего нет.

[/QUOTE]


[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
GroupPolicy\User: Restriction <======= ATTENTION
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Готово

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]

Выполнено!

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL];
[CODE]Adware.SearchGo, C:\AdwCleaner\quarantine\files\mftkbihzhfwpcykmlydnjklxycvonaig\searchgo.dll, , [80db158344561026db22c29028d8ef11],
PUP.Optional.NetFilter, C:\Users\user\AppData\Local\Microsoft\Windows\INetCache\IE\34NOW1ZK\ServiceMgr[1].json, , [77e4d1c70496bb7ba241e5d460a4d030],
Adware.SearchGo, C:\Users\user\AppData\Local\Microsoft\Windows\INetCache\IE\34NOW1ZK\searchgo[1].dll, , [4d0e6038c2d880b63ac3f959e41cb947], [/CODE]

Готово, изменений в проблеме пока нет

[quote="Gl_Al;1407051"]1) В браузере постоянно самопроизвольно открываются рекламные вкладки (преимущественно казино);
2) Появилась контекстная реклама, там где ее точно не должно быть (например в Википедии);
3) Появились всплывающие окна с рекламой при открытии заданной страницы;
4) При введении запроса в любой поисковой системе самопроизвольно переводи запрос на go.mail.ru.[/quote]
Какая из 4-х проблем осталась ?

Остались все кроме 1-ой

1) Есть ли в Вашей сети роутер?
2) ProxyServer="192.168.192.5:3128" - прокси сервер в настройках Internet Explorer сами прописывали ?
3) [QUOTE]Внимание !!! База поcледний раз обновлялась 01.03.2016 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
Обновите базы AVZ и сделайте новые логи с обновленными базами, прикрепите их к теме.
4) Сделайте новый лог AdwCleaner, прикрепите его к теме.

[QUOTE=mrak74;1407895]1) Есть ли в Вашей сети роутер?
2) ProxyServer="192.168.192.5:3128" - прокси сервер в настройках Internet Explorer сами прописывали ?
3) Обновите базы AVZ и сделайте новые логи с обновленными базами, прикрепите их к теме.
4) Сделайте новый лог AdwCleaner, прикрепите его к теме.[/QUOTE]

1) Да, роутер есть.
2)ProxyServer="192.168.192.5:3128" прописывал сам.
3) и 4) выполнил, прикрепил

Проверьте настройки роутера на предмет чужих DNS (свои уточните у провайдера), если пароль к роутеру "слабый" или заводской, смените на более сложный.

[URL="http://virusinfo.info/showthread.php?t=128635#post948932"][I]очистите кэш и cookies-файлы браузеров[/I][/URL]

[URL="http://virusinfo.info/showthread.php?t=128635&p=968385&viewfull=1#post968385"]Очистите кэш DNS с помощью CCleaner после воздействия вредоносных программ, подменяющих DNS[/URL]

После этих действий, что с проблемой ?

Выполнил все, изменений по проблеме нет, осталось все так же

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Если это поможет.
у меня в браузере подсвечиваются предупреждения пишет следующее:

1) Mixed Content: The page at 'https://www.yandex.ru/' was loaded over a secure connection, but contains a form which targets an insecure endpoint 'http://searche-engine.ru/'. This endpoint should be made available over a secure connection.

2) VM63:1 Mixed Content: The page at 'https://www.yandex.ru/?win=226&clid=2255761-308&from=dist_bookmark' was loaded over HTTPS, but requested an insecure script 'http://fycapi.ru/common.js?stream_id=2783'. This request has been blocked; the content must be served over HTTPS.

и т.п.

[quote="Gl_Al;1408117"]у меня в браузере подсвечиваются предупреждения пишет следующее:[/quote]
В каком из браузеров ? Актуальность его версии в порядке ?

Сделайте новые логи Farbar Recovery Scan Tool .

добавил FRST Scan

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Браузера 2: Edge и Chrom(по умолчанию)

Указанные проблемы происходят в браузере, который указан по умолчанию.
Сейчас обновил версию браузера, до этого была версия с актуальностью примерно 2...3х недельной давности.
После обновления пропали предупреждения о "MixContetn", но все указанные проблемы остались.
Ошибку в браузере высвечивает после задания запроса в любом поисковике (автоматически переводит на go.mail.ru). в ошибке пишет следующее:

VM184:1 Refused to load the script 'http://fycapi.ru/common.js?stream_id=2783' because it violates the following Content Security Policy directive: "script-src 'unsafe-inline' 'unsafe-eval' *.mail.ru [url]https://*.mail.ru[/url] *.imgsmail.ru [url]https://*.imgsmail.ru[/url] *.devmail.ru [url]https://*.devmail.ru[/url] ok.ru *.ok.ru *.odnoklassniki.ru *.yandex.ru [url]https://*.yandex.ru[/url] *.addthis.com *.addthisedge.com 2gis.com [url]https://2gis.com[/url] *.2gis.com [url]https://*.2gis.com[/url] 2gis.ru [url]https://2gis.ru[/url] *.2gis.ru [url]https://*.2gis.ru[/url] *.google-analytics.com [url]https://*.google-analytics.com[/url] 'nonce-wgFb9j2C4lgKF+zKEyAI//IQBDC/xLWiwsjMCuDU'".

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

[CODE]
CreateRestorePoint:
CloseProcesses:
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://mail.ru/cnt/10445?gp=811013
FF Keyword.URL: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7B2F039ADE-39D8-4C74-B4E0-0128B01F5A36%7D&gp=811014
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-09-19]
FF Extension: (Поиск@Mail.Ru) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-09-19]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-09-19]
FF SearchPlugin: C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\mailru.xml [2016-09-19]
2016-09-19 23:37 - 2016-09-19 23:43 - 00000000 ____D C:\Users\user\AppData\LocalLow\Unity
2016-09-19 23:37 - 2016-09-19 23:43 - 00000000 ____D C:\Users\user\AppData\Local\Unity
2016-09-19 23:35 - 2016-10-11 08:25 - 00000008 __RSH C:\Users\Все пользователи\ntuser.pol
2016-09-19 23:35 - 2016-10-11 08:25 - 00000008 __RSH C:\Users\user\ntuser.pol
2016-09-19 23:35 - 2016-10-11 08:25 - 00000008 __RSH C:\ProgramData\ntuser.pol
FirewallRules: [{9C9D92E5-74FA-4F18-BB34-3B783F8B1EC3}] => (Allow) C:\Program Files\UBar\ubar.exe
EmptyTemp:
Reboot:[/CODE]
[*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Готово!

Что теперь с проблемой ?

Все без изменений.

Отключайте поочередно расширения в браузере. [url]https://support.google.com/chrome_webstore/answer/2664769?hl=ru[/url]
[QUOTE]1.В браузере нажмите на значок Ещё.
2.Выберите Дополнительные инструменты дальше Расширения.
3.Чтобы отключить расширение, снимите флажок Включено. Чтобы включить расширение, установите флажок.
[/QUOTE]
Обновляйте страницы, наблюдайте при отключении какого расширения пропадет проблема, сообщите.

Всего 4 расширения в браузере.

отключил Google Документы, и все проблемы исчезли

Тему закрываем ?

[QUOTE=mrak74;1408365]Тему закрываем ?[/QUOTE]

Да, на данный момент ни чего не беспокоит. Большое Спасибо!