Хром переадресует на рекламные страницы

**Kid Green** · 23.11.2016, 14:33

С некоторой периодичностью становятся неактивными ссылки, картинки, текстовые окна, а любое нажатие на открытой странице ЛКМ переадресует на сайт с рекламой, к примеру https://binomo.com/ru/promo/l24?a=0f...7220141306&t=2. Если страницу обновить, то она возвращается к нормальному виду.
Из антивирусов никто не видит ничего криминального.
Запускал ADWcleaner, AVPTool, Dr.Web CureIt!Каждая из них что-то находила и количество проявлений зловреда уменьшилось, но полностью не исчезло.
Система 64-разрядная, шаг с virusinfo_syscure.zip пропустил, согласно инструкции. Остальные результаты прилагаю.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 23.11.2016, 14:34

Уважаемый(ая) Kid Green, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

SQ · 26.11.2016, 02:00

Уведомление

Внимание !!! База поcледний раз обновлялась 01.03.2016 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.46

Обновите базы и переделайте логи. Для 64-битной версии Windows нужно выполнить только 2-й стандартный скрипт в AVZ.

**Kid Green** · 26.11.2016, 11:43

Спасибо, переделал.
Извиняюсь, был невнимателен при чтении инструкции.

SQ · 26.11.2016, 16:04

Сами меняли иконки?

Код:

 >>  Нарушена настройка отображения иконок расшаренных ресурсов

- Подготовьте лог AdwCleaner и приложите его в теме.

**Kid Green** · 26.11.2016, 21:20

Иконки я не менял, но компьютер покупал с рук с уже установленным виндоусом.
AdwCleaner снова нашёл чего-то.

SQ · 27.11.2016, 01:05

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

**Kid Green** · 27.11.2016, 12:53

Готово.

SQ · 27.11.2016, 21:36

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**Kid Green** · 28.11.2016, 00:30

Готово.

SQ · 28.11.2016, 09:37

Закройте и сохраните все открытые приложения.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
CHR StartupUrls: Default -> "hxxps://plus.im/","hxxp://www.yandex.ru/?win=101&clid=1989595","hxxp://www.sweet-page.com/?type=hppp&ts=1396540046&from=cor&uid=WDCXWD20EARS-00MVWB0_WD-WCAZA020038600386","hxxp://mail.ru/cnt/10445?gp=blackbear5","hxxp://mail.ru/cnt/10445?gp=blackbear2"
CHR DefaultSearchKeyword: Default -> google.com_
File: C:\WINDOWS\system32\lic2tmp.xml23095
2016-03-02 21:57 - 2016-03-02 21:57 - 0000016 _____ () C:\ProgramData\mntemp
C:\Users\user\AppData\Local\Temp\YandexWorking.exe
C:\Users\user\AppData\Local\Temp\{FAD0F540-B954-46A8-A045-CCDCADFBFBA1}.exe
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

Обратите внимание на системные события, а именно на проблемы с диском (HDD), похоже что он сыпиться:

Код:

Error: (11/28/2016 12:14:20 AM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.

Error: (11/28/2016 12:14:14 AM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.

Error: (11/28/2016 12:14:03 AM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.

Error: (11/28/2016 12:13:57 AM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.

Error: (11/28/2016 12:13:39 AM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.

Error: (11/28/2016 12:13:29 AM) (Source: disk) (EventID: 7) (User: )
Description: Неверный блок на устройстве \Device\Harddisk0\DR0.

**Kid Green** · 28.11.2016, 12:45

Готово.
Симптомы всё ещё остаются.
У меня два диска, подскажите, как понять, который из них сыпется?

SQ · 28.11.2016, 13:47

Пробуйте отключить расширения в Chrome, для начало:

Код:

CHR Extension: (Google Презентации) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2016-03-03]
CHR Extension: (Документы Google) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2016-03-03]
CHR Extension: (Диск Google) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2016-03-03]
CHR Extension: (Google Search) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2016-03-03]
CHR Extension: (Календарь Google) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\ejjicmeblgpmajnghnpcppodonldlgfn [2016-03-06]
CHR Extension: (Google Таблицы) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2016-03-03]
CHR Extension: (Google Документы офлайн) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-16]

P.S. Обычно подмена бывает из-за расширений с презентацией и таблицами.

Сообщение от Kid Green

У меня два диска, подскажите, как понять, который из них сыпется?

Предположительно первый диск подключенный в первому порту/разъему, скорее всего загрузочный.

Код:

\Harddisk0\DR0

Тут лучше сделать проверку на bad block (бэд сектора) дисков.

**Kid Green** · 12.12.2016, 00:51

Указанные расширения удалил.
Крайне редко, но всё же переадресация на рекламу появляется. Пытался отследить проблему, по очереди отключая расширения, но так и не понял причину. Во всяком случае с компом работать стало удобнее. Спасибо.

SQ · 12.12.2016, 20:51

- Приложите новый лог утилиты FRST.
- Также уточните пожалуйста в каких браузерах воспроизводиться проблема?

**Kid Green** · 13.12.2016, 01:31

Браузер Хром. Чаще всего воспроизводится сразу после его запуска.

SQ · 13.12.2016, 14:36

Сами ставили следующие расширения?

Код:

CHR Extension: (Pinme) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\abjjaaahigingfdneedpgabgikejlcfl [2016-10-10]
CHR Extension: (Trello) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\dmdidbedhnbabookbkpkgomahnocimke [2016-11-28]

OPR Extension: (Ghostery) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\bbkekonodcdmedgffkkbgmnnekbainbg [2016-11-09]

Закройте и сохраните все открытые приложения.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
CHR HomePage: Default -> yandex.ru/?__PARAM__from=chromehp
CHR StartupUrls: Default -> "hxxps://plus.im/","hxxp://www.yandex.ru/?win=101&clid=1989595","hxxp://www.sweet-page.com/?type=hppp&ts=1396540046&from=cor&uid=WDCXWD20EARS-00MVWB0_WD-WCAZA020038600386","hxxp://mail.ru/cnt/10445?gp=blackbear5","hxxp://mail.ru/cnt/10445?gp=blackbear2"
CHR DefaultSearchKeyword: Default -> t
CHR HKLM-x32\...\Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**Kid Green** · 16.12.2016, 12:29

Pinme, Trello - мои, а третье никаких ассоциаций не вызывает.

SQ · 16.12.2016, 12:41

Закройте и сохраните все открытые приложения.
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Код:
```
CreateRestorePoint:
CloseProcesses:
OPR Extension: (Ghostery) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\bbkekonodcdmedgffkkbgmnnekbainbg [2016-11-09]
Reboot:
```
Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**Kid Green** · 17.12.2016, 19:05

Симптомы зловреда больше не проявлялись.
Спасибо большое за помощь.

Хром переадресует на рекламные страницы (заявка № 206141)

Опции темы