открывание браузера с рекламными сайтами [not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen ]

[Born777]

Здравствуйте! Браузер самопроизвольно открывается время от времени с различными рекламными сайтами.

[Info_bot]

Уважаемый(ая) Born777, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,


Сами прописывали прокси-сервер?

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL =  https://config.anticenz.org/proxy.pac
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R1 - HKLM\System\CurrentControlSet\services\NlaSvc\Parameters\Internet\ManualProxies,(Default) = 0 https://config.anticenz.org/proxy.pac

Удалите Driver Booster (IObit) через установку программ в панели управления.

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 TerminateProcessByName('c:\program files (x86)\ultimate-discounter browser\udservice.exe');
 StopService('Coupons Browser Update Service');
 DeleteService('Coupons Browser Update Service');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\Need For Speed The Run\ISSCH\issch.exe','');
 QuarantineFile('C:\Program Files (x86)\Ultimate-Discounter Browser\udservice.exe','');
 QuarantineFile('c:\program files (x86)\ultimate-discounter browser\udservice.exe','');
 DeleteFile('c:\program files (x86)\ultimate-discounter browser\udservice.exe','32');
 DeleteFile('C:\Program Files (x86)\Ultimate-Discounter Browser\udservice.exe','32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\Need For Speed The Run\ISSCH\issch.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "InstallShield Update Service" /F', 0, 15000, true); 
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

[Born777]

Прокси не прописывал. Driver Booster удалил, нельзя его больше устанавливать? Карантин отправил. Проблема осталась. Высылаю лог AdwCleaner.

[SQ]

Driver Booster удалил, нельзя его больше устанавливать?

Если сами ставили и пользуетесь, то ставьте, по мне в большенстве случаев пользы нет.


Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Born777]

Удалил все.

[SQ]

Удалите также в AdwCleaner.

Найдена папка: C:\Users\Евгений\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdkihdhlegcdggknokfekoemkjjnjhgi

Найдена настройка Chromium: [C:\Users\Евгений\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] - hxxp://www.yoursearching.com/?type=hp&ts=1456570033&z=f45e8a46f93f1cc50b8fc94gczdw9qew2m1e1g4e8m&from=free&uid=Hita
Найдена настройка Chromium: [C:\Users\Евгений\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences ] - jdkihdhlegcdggknokfekoemkjjnjhgi

[Born777]

Удаляю, они все равно остаются, при повторном сканирования. И проблема осталась, все так же через некоторое время рекламные сайты.

- - - - -Добавлено - - - - -

Отключил антивирь, все удалилось, подождем некоторое время, если проблема исчезнет дам ответ.

- - - - -Добавлено - - - - -

Ничего не изменилось(

[SQ]

Скорее у браузера Chrome учетная запись синхронизирована, могли бы подвердить или опровергнуть?

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Born777]

Скорее всего, наверное синхронизирована.

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  AutoConfigURL: [S-1-5-21-2584265119-2541764659-1557882217-1000] =>  hxxps://config.anticenz.org/proxy.pac
  ManualProxies: 0 hxxps://config.anticenz.org/proxy.pac
  CHR StartupUrls: Default -> "hxxp://www.yandex.ru/","hxxp://www.google.com","hxxp://www.yoursearching.com/?type=hp&ts=1456570033&z=f45e8a46f93f1cc50b8fc94gczdw9qew2m1e1g4e8m&from=free&uid=HitachiXHDS721050CLA362_JP1572JE3MS5MK3MS5MKX"
  CHR Plugin: (Shockwave Flash) - C:\Program Files (x86)\Google\Chrome\Application\56.0.2924.87\PepperFlash\pepflashplayer.dll => No File
  CHR Plugin: (Native Client) - C:\Program Files (x86)\Google\Chrome\Application\56.0.2924.87\ppGoogleNaClPluginChrome.dll => No File
  CHR Plugin: (Chrome PDF Viewer) - C:\Program Files (x86)\Google\Chrome\Application\56.0.2924.87\pdf.dll => No File
  CHR Plugin: (Google Update) - C:\Program Files (x86)\Google\Update\1.3.21.115\npGoogleUpdate3.dll => No File
  CHR HKLM-x32\...\Chrome\Extension: [ilhapdfjlmhfdgdbefpinebijmhjijpn] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [bhbldcgbjblipegbeclmcnnddnopnhjm] - hxxps://clients2.google.com/service/update2/crx
  2017-03-05 21:58 - 2017-03-07 12:50 - 00000000 ____D C:\Program Files (x86)\Ultimate-Discounter Browser
  2017-03-05 21:56 - 2017-03-05 21:56 - 00003626 _____ C:\Windows\System32\Tasks\andyounnewsnetrotorsm
  Folder: C:\Windows\system32\DAX3
  Folder: C:\Windows\system32\DAX2
  Task: {D97E05CF-EE03-42A8-B76A-5EDCB6C3991B} - System32\Tasks\andyounnewsnetrotorsm => Chrome.exe andyounnews.net/rotorsm <==== ATTENTION
  AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [184]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51 [184]
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Born777]

Сделал

- - - - -Добавлено - - - - -

Спасибо Вам огромное за помощь и терпение! Проблема исчезла.

[SQ]

Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

Удачи Вам!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\евгений\appdata\roaming\need for speed the run\issch\issch.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen