Самопроизвольно появляется реклама [not-a-virus:NetTool.Win32.NetFilter.ge ]

**iridium_ruth** · 26.11.2016, 13:16

Здравствуйте,

в браузере Google Chrome иногда самопроизвольно открывается вкладка с рекламой. ADWCleaner нашёл 160 угроз, удалил их, но это не помогло.

Пожалуйста, помогите решить проблему.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 26.11.2016, 13:17

Уважаемый(ая) iridium_ruth, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 27.11.2016, 19:32

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\IRINA\AppData\Local\ComDev\ComDev.exe','');
 DelBHO('{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}');
 QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
 QuarantineFile('C:\Users\IRINA\AppData\Roaming\PBot\launchall.py','');
 QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
 QuarantineFile('C:\Users\IRINA\AppData\Local\FilterStart\FilterStart.exe','');
 TerminateProcessByName('c:\users\irina\appdata\local\filterstart\filterstart.exe');
 QuarantineFile('c:\users\irina\appdata\local\filterstart\filterstart.exe','');
 DeleteFile('c:\users\irina\appdata\local\filterstart\filterstart.exe','32');
 DeleteFile('C:\Users\IRINA\AppData\Local\FilterStart\FilterStart.exe','32');
 DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Additional Additional Manager');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Trusted Command Manager');
 DeleteFile('C:\Users\IRINA\AppData\Roaming\PBot\launchall.py','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PBot');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','tfrmdtrcxn');
 DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
 DeleteFile('C:\Users\IRINA\AppData\Local\ComDev\ComDev.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\ComDev','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

**iridium_ruth** · 30.11.2016, 18:09

Выполнила все скрипты, карантин прикрепила.

**thyrex** · 01.12.2016, 19:38

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

**iridium_ruth** · 04.12.2016, 10:53

Сделано

**thyrex** · 04.12.2016, 12:33

Ace Stream Media
Аудио и видео скачивание

удалите через Установку программ

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKU\S-1-5-21-4090168750-94692613-298311061-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=66A97D8A8447FA47A7336125507ECB49&utm_d=20161125
SearchScopes: HKU\S-1-5-21-4090168750-94692613-298311061-1001 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-4090168750-94692613-298311061-1001 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
BHO: Youtube AdBlock -> {95E84BD3-3604-4AAC-B2CA-D9AC3E55B64B} -> C:\Program Files (x86)\Youtube AdBlock\IEEF\elPqJXa.dll => No File
FF Homepage: Mozilla\Firefox\Profiles\nahd6ha2.default -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=66A97D8A8447FA47A7336125507ECB49&utm_d=20161125
FF HKU\S-1-5-21-4090168750-94692613-298311061-1001\...\Firefox\Extensions: [[email protected]] - C:\Users\IRINA\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi
FF Extension: (Ace Stream Web Extension) - C:\Users\IRINA\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi [2015-12-18]
OPR StartupUrls: "hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=66A97D8A8447FA47A7336125507ECB49&utm_d=20161125"
OPR Extension: (Купоны со скидками) - C:\Users\IRINA\AppData\Roaming\Opera Software\Opera Stable\Extensions\aoeenhminheofmneaklaadmlncchimkl [2016-01-05]
OPR Extension: (Блокировщик Рекламы Для Ютуба™) - C:\Users\IRINA\AppData\Roaming\Opera Software\Opera Stable\Extensions\khmiehpkiedpkpifcpeplghoibfhhigo [2016-11-25]
CHR Extension: (Блокировщик Рекламы Для Ютуба™) - C:\Users\IRINA\AppData\Local\Google\Chrome\User Data\Default\Extensions\cpmgdbdchhjimcbfbbhlbchbobhjonna [2016-11-25]
CHR Extension: (Ace Stream Web Extension) - C:\Users\IRINA\AppData\Local\Google\Chrome\User Data\Default\Extensions\mjbepbhonbojpoaenhckjocchgfiaofo [2016-11-25]
CHR HKU\S-1-5-21-4090168750-94692613-298311061-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
2016-11-27 20:26 - 2016-12-03 22:19 - 00000000 ___HD C:\_acestream_cache_
2016-11-27 20:25 - 2016-12-03 22:25 - 00000000 ____D C:\Users\IRINA\AppData\Roaming\.ACEStream
2016-11-27 20:22 - 2016-11-27 20:22 - 00002070 _____ C:\Users\IRINA\Desktop\Ace Stream Media Center.lnk
2016-11-27 20:22 - 2016-11-27 20:22 - 00000000 ____D C:\Users\IRINA\AppData\LocalLow\.ACEStream
2016-11-27 20:21 - 2016-11-27 20:26 - 00000000 ____D C:\Users\IRINA\AppData\Roaming\ACEStream
2016-11-27 20:15 - 2016-11-27 20:18 - 82334592 ____R C:\Users\IRINA\Downloads\Ace_Stream_Media_3.1.11.exe
2016-11-27 20:13 - 2016-11-27 20:13 - 00012991 _____ C:\Users\IRINA\Downloads\Ace_Stream_Media_3.1.11.exe.torrent
2016-11-25 13:16 - 2016-11-30 21:42 - 00000000 ____D C:\Users\IRINA\AppData\Roaming\PBot
2016-11-25 13:16 - 2016-11-25 13:16 - 00003414 _____ C:\WINDOWS\System32\Tasks\PBot
2016-11-25 13:14 - 2016-11-25 13:14 - 00000000 ____D C:\Users\IRINA\AppData\Local\Вoйти в Интeрнет
2016-11-25 13:13 - 2016-11-30 21:42 - 00000000 ____D C:\Users\IRINA\AppData\Local\FilterStart
2016-11-25 13:13 - 2016-11-25 13:14 - 00013312 _____ ( ) C:\Users\IRINA\AppData\Local\Base Standart Manager.exe
2016-11-25 13:13 - 2016-11-25 13:14 - 00000343 _____ C:\Users\IRINA\AppData\Local\expand.ini
2016-11-25 13:13 - 2016-11-25 13:13 - 00061168 _____ (Windows (R) Win 7 DDK provider) C:\WINDOWS\ServiceMgr.sys
2016-11-25 13:11 - 2016-11-30 17:15 - 00000000 ____D C:\Users\IRINA\AppData\Local\ComDev
2016-11-25 13:09 - 2016-11-25 13:09 - 00000000 ____D C:\Users\IRINA\AppData\Local\Поиcк в Интeрнете
C:\Users\IRINA\AppData\Local\Temp\3nXZwAmjnLlo.exe
C:\Users\IRINA\AppData\Local\Temp\42E4.tmp.exe
C:\Users\IRINA\AppData\Local\Temp\BjWBLmgLXybh.exe
C:\Users\IRINA\AppData\Local\Temp\bOYsMxnGeaTu.exe
C:\Users\IRINA\AppData\Local\Temp\cDxCAm5VEfRs.exe
C:\Users\IRINA\AppData\Local\Temp\coi1634.exe
C:\Users\IRINA\AppData\Local\Temp\cwMY2dLcHEZe.exe
C:\Users\IRINA\AppData\Local\Temp\D939.tmp.exe
C:\Users\IRINA\AppData\Local\Temp\libeay32.dll
C:\Users\IRINA\AppData\Local\Temp\ltFxdpcILg8F.exe
C:\Users\IRINA\AppData\Local\Temp\mKgnqD5oZdEo.exe
C:\Users\IRINA\AppData\Local\Temp\msvcr120.dll
C:\Users\IRINA\AppData\Local\Temp\pZUP1iQffKzQ.exe
C:\Users\IRINA\AppData\Local\Temp\qW34DZCpm7rc.exe
C:\Users\IRINA\AppData\Local\Temp\s8R7mD8c8jNt.exe
C:\Users\IRINA\AppData\Local\Temp\spbjWqcfVixN.exe
C:\Users\IRINA\AppData\Local\Temp\sqlite3.dll
C:\Users\IRINA\AppData\Local\Temp\W1Jxe2nCv0z4.exe
Task: {0347860D-BA49-44AA-AE85-775E18C5C3BD} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {12FDC946-9156-49D6-8976-C3EBAAA1DEA6} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {14405FEA-160A-4FEC-AFAB-7E28E0838CF4} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {19AAF5A7-9A8F-4A54-9CE5-60152AEDAD02} - \ComDev -> No File <==== ATTENTION
Task: {1D025CE7-57E5-4E55-90C1-6A74B2266EFC} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {3016FC2C-FBD9-4473-9BF2-2FE3745CFE0A} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {65599EBE-758B-478F-AFDC-7660700BDF19} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {7A331CC3-FC62-4BBE-8027-96408BE177F5} - System32\Tasks\{B36E5EE0-E8F9-4D5A-B372-19D769039829} => pcalua.exe -a C:\Users\IRINA\AppData\Local\Temp\Rar$EX02.047\LJ1018\PNP\ProductInst.exe <==== ATTENTION
Task: {83F635BF-0EC1-417C-8548-A199DA0E70F0} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {A6AE6027-95EB-4899-9DC6-CD44A5A95CE6} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {ABA4D2CA-F83A-4AB3-9DF4-677E09170F4C} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {BD659DB3-D26C-4954-8DDC-2DCAB8261B32} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {C57E6BD6-D478-4146-86B1-F67FC8718FC4} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {EF33C6D6-9CE6-4E2C-9239-7592AAC89BF4} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
HKLM\...\.reg: Regedit.Document => c:\Winnt\Regedit.exe %1 <===== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание, что будет выполнена перезагрузка компьютера.

**iridium_ruth** · 04.12.2016, 19:26

Сделано. Видимых "симптомов" нет после первых действий.

**thyrex** · 04.12.2016, 20:58

Тогда на этом закончим

**CyberHelper** · 04.12.2016, 21:08

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\users\irina\appdata\local\filterstart\filtersta rt.exe - not-a-virus:NetTool.Win32.NetFilter.ge
2. c:\users\irina\appdata\roaming\pbot\launchall.py - Trojan.Python.PBot.a

Самопроизвольно появляется реклама [not-a-virus:NetTool.Win32.NetFilter.ge ] (заявка № 206244)

Опции темы