Поймал мощный и скрытный рекламный вирус

[klimmilk]

Спонтанные открывания рекламных сайтов. Adblock иногда успевает их закрыть. Также на популярных сайтах, например ютубе, появились явно подставные кнопки, а во время роликов появляются блоки для рекламы (сама реклама, похоже, скрыта abp).
Также сам Chrome просит перезайти в гугл аккаунт, хотя я в нем.

Антивируса на компьютере не было, только бесплатная версия Malwarebytes, которая угроз не обнаруживает. Лечение с помощью AVZ тоже не помогло. Пытался поставить Avast, безуспешно (после установки просто не запускается, но всплывает очень подозрительное окно с кнопкой "update now").

[Info_bot]

Уважаемый(ая) klimmilk, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Nastasiya\AppData\Local\rightchose\regCheck.vbs','');
 QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
 QuarantineFile('C:\Users\Nastasiya\AppData\Local\FilterStart\FilterStart.exe','');
 DeleteFile('C:\Users\Nastasiya\AppData\Local\FilterStart\FilterStart.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Manifest Account Helper','64');
 DeleteFile('C:\Windows\system32\Tasks\Render PC Helper','64');
 DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Standart PC Mgr','64');
 DeleteFile('C:\Windows\system32\Tasks\DRPNPS','64');
 DeleteFile('C:\Users\Nastasiya\AppData\Local\rightchose\regCheck.vbs','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[klimmilk]

Спасибо за ответ, все сделал. По красной ссылке карантин не загрузился "Ошибка загрузки. Данный файл уже был загружен".

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[klimmilk]

Сделано.

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKU\S-1-5-21-36900035-2058576692-3669552302-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-36900035-2058576692-3669552302-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-36900035-2058576692-3669552302-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-36900035-2058576692-3669552302-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hegneaniplmfjcmohoclabblbahcbjoe] - hxxp://clients2.google.com/service/update2/crx
2017-03-31 22:12 - 2017-03-31 22:12 - 00000000 ____D C:\Users\Nastasiya\AppData\Local\Войны престолов
2017-03-31 22:08 - 2017-03-31 22:08 - 00000000 ____D C:\Users\Nastasiya\AppData\Local\Вoйти в Интeрнет
2017-03-31 22:07 - 2017-03-31 22:07 - 00010240 _____ (telfax) C:\Users\Nastasiya\AppData\Local\Render PC Helper.exe
2017-03-31 22:06 - 2017-03-31 22:07 - 00000305 _____ C:\Users\Nastasiya\AppData\Local\expand.ini
2017-03-31 22:04 - 2017-04-02 13:16 - 00000000 ____D C:\Users\Nastasiya\AppData\Local\ComDev
2017-03-31 22:02 - 2017-03-31 22:02 - 00000000 ____D C:\Users\Nastasiya\AppData\Local\Поиcк в Интeрнете
Task: {45E75AEE-820E-499B-B781-01F52CBB2F0B} - \DRPNPS -> No File <==== ATTENTION
Task: {6448D099-22E3-46F3-939E-8EAEAF3FB16D} - \Standart PC Mgr -> No File <==== ATTENTION
Task: {E61449CA-9AA6-4905-8A23-7A24E200E74B} - \Manifest Account Helper -> No File <==== ATTENTION
Task: {E6D628CF-633F-4AE5-BF8B-54915CCE591F} - \Render PC Helper -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[klimmilk]

Сделано.

[thyrex]

Проблема решена?

[klimmilk]

Спонтанное открывание рекламных сайтов прекратилось, но во время роликов на ютубе появляются белые блоки для реламы. Еще иногда на страницах появляются рекламные блоки. Аваст не хочет ни запускаться, ни удаляться. Хром не дает ставить расширения...

[thyrex]

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему