Printable View
очень нужна помощь. использовал различные утилиты. но не помогает. каждый раз при перезапуске гугл хрома включается расширение Fast Search, из-за которого поиск через гугл ищет через майл ру. После его удаления всё вроде нормально , но после перезапуска браузера оно снова на месте. очень нужна помощь. скину логи и всё необходимое. [ATTACH=CONFIG]647866[/ATTACH]
Уважаемый(ая) [B]Live Whisper[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
прикрепил логи
Здравствуйте !!!
[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
+[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
сделал
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
готово. расширение для хрома всё ещё возвращается после удаления
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {bfeea836-1273-11e5-8edc-a9a99950ba79} - G:\.\StartModem.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {ccb998a4-462d-11e5-95ce-f09af6ecd964} - G:\LGAutoRun.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {d0b47630-3f3d-11e4-8cfa-485ab66ca384} - G:\AutoRun.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {e1c73bc9-6666-11e5-8410-c0b33aed5de8} - H:\LGAutoRun.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {eeb06e4d-ee5d-11e3-9238-485ab66ca384} - F:\RunThis.exe
HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {f4ee7335-5ba4-11e5-bbd6-ef846676b446} - G:\AutoRun.exe
AppInit_DLLs: C:\Windows\system32\nvinitx.dll => C:\Windows\system32\nvinitx.dll [181488 2016-08-26] (NVIDIA Corporation)
AppInit_DLLs-x32: C:\Windows\SysWOW64\nvinit.dll => C:\Windows\SysWOW64\nvinit.dll [159352 2016-08-26] (NVIDIA Corporation)
Startup: C:\Users\MegaKomp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\USB Disk Security.lnk [2014-06-07]
ShortcutTarget: USB Disk Security.lnk -> C:\Program Files (x86)\USB Disk Security\USBGuard.exe (No File)
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
FF Plugin: @esn/npbattlelog,version=2.5.1 -> C:\Program Files (x86)\Battlelog Web Plugins\2.5.1\npbattlelogx64.dll [No File]
FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll [No File]
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw_1207148.dll [No File]
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
FF Plugin-x32: pmang.jp/pmangdiagnostic-1 -> D:\Games\GameOn\BlackDesert_live\Common files\nppmangdiagnostic.dll [No File]
FF Plugin-x32: pmang.jp/pmangsupport-1 -> D:\Games\GameOn\BlackDesert_live\Common files\nppmangsupport.dll [No File]
FF Plugin HKU\S-1-5-21-3154799819-4227965079-1599027789-1000: @nsroblox.roblox.com/launcher -> C:\Program Files (x86)\Roblox\Versions\version-f7131a583a8d4ea7\\NPRobloxProxy.dll [No File]
FF Plugin HKU\S-1-5-21-3154799819-4227965079-1599027789-1000: @nsroblox.roblox.com/launcher64 -> C:\Program Files (x86)\Roblox\Versions\version-f7131a583a8d4ea7\\NPRobloxProxy64.dll [No File]
FF Plugin-x32: @esn/npbattlelog,version=2.4.0 -> C:\Program Files (x86)\Battlelog Web Plugins\2.4.0\npbattlelog.dll [No File]
FF Plugin-x32: @esn/npbattlelog,version=2.5.1 -> C:\Program Files (x86)\Battlelog Web Plugins\2.5.1\npbattlelog.dll [No File]
FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/pdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\Default\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\Guest Profile\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\System Profile\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (VK-Download) - C:\Users\MegaKomp\AppData\Roaming\Opera Software\Opera Stable\Extensions\ildkkhljjpmpfhdfielmpmjhdnfkcnog [2014-08-30]
OPR Extension: (zheka-mastero) - C:\Users\MegaKomp\AppData\Roaming\Opera Software\Opera Stable\Extensions\ipkdhmegpdbbckflpmokchoeajfngbad [2014-06-08]
2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\Users\Все пользователи\ntuser.pol
2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\ProgramData\ntuser.pol2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\Users\Все пользователи\ntuser.pol
2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\ProgramData\ntuser.pol
Reboot:[/CODE]
[*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
сделано. может нужна информация об этом расширении? может поможет что-нибудь? Могу сделать скриншоты и т.д.
[quote="Live Whisper;1415893"]Могу сделать скриншоты и т.д.[/quote]
Скриншот всех расширений в Google Chrome.
вот оно. зло[ATTACH=CONFIG]647998[/ATTACH]
[URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]
сделал но прислать не могу. т.к. лимит сайт
а по вложениям превышен
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
вот
Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
delref %SystemDrive%\PROGRAMDATA\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\54.0.2840.99\CHROME.DLL
delref D:\GAMES\SAINT ROW\DOWNLOAD MORE GAMES.URL
delref %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\BROWSERS\EXE.REHCNUAL.BAT
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDMPOJJILDDEFGNHIICJCMHBKJGBBCLOB%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\INTERNET EXPLORER (2).LNK
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\GUEST PROFILE\EXTENSIONS
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\SYSTEM PROFILE\EXTENSIONS
delref %SystemDrive%\PROGRAM FILES (X86)\OPERA\LAUNCHER.EXE
delref %SystemDrive%\USERS\MEGAKOMP\DESKTOP\TUNNGLE_SETUP_V5.8.4.EXE
delref D:\DOWNLOADS\CHROMEINSTALL-8U45.EXE
regt 29
regt 28
delnfr
restart
czoo[/CODE]
выполнил. расширение всё равно появляется и включается после перезапуска хрома. лаадно. спасибо за помощь. я смирюсь, наверное. если его просто отключить не удаляя то оно и не включается после перезапуска браузера.
тут два варианта, либо на компьютере стоит программа из недавно установленных с которой установилось это расширение и через неё же оно восстанавливается, через логи я это не могу определить, не видно. Второй вариант, если расширение восстанавливается после входа в аккаунт Google, то восстанавливается оно через синхронизацию настроек аккауната, временно можно попробовать отключить синхронизацию, смысла нет если Вы не заходили в аккаунт, это не оно, опять же я этого не вижу в логах.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
P.S. [url]http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827[/url] [QUOTE]6. Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)[/QUOTE]
Вы не прислали папку ZOO, в ней должен быть файл: [CODE]%SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\54.0.2840.99\CHROME.DLL[/CODE], у него отсутствует цифровая подпись Googlle и контрольные суммы не похожи на те которые должны быть, возможно он модифицирован (заражен), проверьте его на [url]https://virustotal.com/[/url]
сайт показал что файл чист. не могу прикрепить так как максимальный размер вложений уже забит. а удалить предыдущие не получается.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Сообщите мне если что-нибудь получится узнать. расширение Fast Search. но так же оно называется Tab Hibernation. могу оставить мэйл или же следить дальше за этой темой
[url]http://images.vfl.ru/ii/1480346406/a0ce5e73/15133204.jpg[/url] так оно выглядит при поиске в магазине расширений.
Установил себе это расширение, после установки предложило войти в аккаунт Google для синхронизации расширений, в акаунт я не заходил, синхронизацию не делал, удалилось без проблем, после перезапуска браузера не появляется.
хммм. я менял пользователя и тогда оно его находило и был вариант не устанавливать. но всё равно. оно вообще было в архиве с кучей майл шттук поэтому возможно всё же его что-то запускает.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[url]http://images.vfl.ru/ii/1480354586/317dd43e/15134953.jpg[/url] убрал все синхронизации. отключил расширение , удалил. зашёл с пустого хрома. оно всегда справа в углу отображено вот так, когда включено
Нашёл папку с расширением этим. удалить не могу, пишет сперва закрыть файл и т.д. хотя хром выключен.
Нашёл с чем связано. с процессом Internet Explore.exe при завершении этого процесса он вновь открывается.
успел удалить папку с эти расширением в промкжутке пока эксплорер не включился- он включился и папка появилась
. вот. зависит от Эксплорера. жду дальнейших указаний, надеюсь эта информация поможет устранить проблему
Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL].
Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]
И новый FRST, буду сравнивать изменения.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[quote="Live Whisper;1416279"]Нашёл папку с расширением этим.[/quote]
Какой к нему путь ?
можно как-либо вложения почистить? в этой теме. т.к. не смогу прикрепить больше ни килобайта
[url]http://images.vfl.ru/ii/1480361670/412a7dec/15136897.jpg[/url] такой путь. при попытке удаления ссылается на процесс Iexplorer.exe
процесс не завершишь. а в настройках разрешений экзешника нельзя изменить их
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Пользователи- MegaKomp - AppData - Local - Google - Chrome - User Data - Default - Extensions - pbdpajcdgknpendpmecafmopknefafha
Логи скоро будут готовы
Вложения почистил. Выкладывайте новые логи.
Malwarebyt программа нашла эти файлы, и при её помощи я их удалил, но при перезагрузке они вернулись. они возвращаются когда активен процесс Iexplorer это я уже понял. вот все запрошеные логи
Я пока что смотрю логи, возможно отвечу только ближе к вечеру (необходимо отъехать по делам), один вопрос, лог MBAM это тот который до удаления ?
[quote="Live Whisper;1416310"]Malwarebyt программа нашла эти файлы, и при её помощи я их удалил, но при перезагрузке они вернулись.[/quote]
Или этот лог новый, сделанный после удаления, будет возможность, покажите новый.
это лог до удаления. но после удаления думаю что такой же будет. так как эти файлы после удаления восстановились. хорошо. до вечера
[quote="Live Whisper;1416437"]это лог до удаления. но после удаления думаю что такой же будет.[/quote]
Возможно, но тем не менее хочется видеть разницу, пусть там даже останутся строки относящиеся к нему, но в логе MBAM были и другие вещи, они то должны были удалиться.
и так. процесс Iexplore всегда включён и завершить его не удаётся. При его включении восстанавливает свои файлы вредоносное расширение для хрома. И не важно влючаю ли я сам браузер Internet Explorer (я им вообще не пользуюсь) Есть идеи что делать дальше?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Ура. удалил тот файл что в ЛС написали. Процесс исчез, расширение исчезло, и не возвращается. Огромное спасибо. Ух. Надеюсь вам за это платят :D
[quote="Live Whisper;1416535"]Огромное спасибо.[/quote]
Пожалуйста !
[quote="Live Whisper;1416535"]Надеюсь вам за это платят[/quote]
Спасибо, - самая лучшая валюта.
[quote="Live Whisper;1416535"]удалил тот файл что в ЛС написали. Процесс исчез, расширение исчезло, и не возвращается.[/quote]
:secret: про ЛС, пусть это останется маленьким секретом.
Тему закрываем ?
да. думаю что можно закрывать
ах да. теперь нужно удалить программы которыми логи делал и т.д. в одной из них было написано что самостоятельно не удалять
[quote="Live Whisper;1416685"]ах да. теперь нужно удалить программы которыми логи делал и т.д.[/quote]
Удаляйте.