Сам устанавливается wajam, Zaxargamebrouser. Меняется поисковик и главная страница в браузере на yoursites123.com [not-a-virus:Downloader.Win32.Elex.u, not-a-virus:RiskTool.Win32.SystemTweaker.ad ]

**Trixidrom** · 20.03.2016, 07:37

При перезагрузке компьютера сами устанавливаются вышеперечисленные программы и меняются настройки браузеров chrom и ie.
В вашей инструкции написано что должно быть 3 файла во вложении. Но если 64 разрядная ОС то пропускать первый пункт, в котором получаем файл virusinfo_syscure.zip. Поэтому, если я правильно понял, у меня должно получиться два файла...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 20.03.2016, 07:38

Уважаемый(ая) Trixidrom, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 20.03.2016, 12:26

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files (x86)\sfk\ssfk.exe');
 StopService('SSFK');
 QuarantineFileF('c:\program files (x86)\sfk', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\timetasks', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\user\appdata\local\hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('c:\program files (x86)\sfk\ssfk.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe', '');
 QuarantineFile('C:\Users\user\AppData\Local\Hostinstaller\2063222567_installcube.exe', '');
 QuarantineFile('C:\Users\user\AppData\Local\SystemMonitor2016\2063222567.exe', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\system.exe', '');
 QuarantineFileF('C:\Users\user\appdata\roaming\tsv\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\program files (x86)\winzipper\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('c:\program files (x86)\sfk\ssfk.exe', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
 DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe', '32');
 DeleteFile('C:\Users\user\AppData\Local\Hostinstaller\2063222567_installcube.exe', '32');
 DeleteFile('C:\Users\user\AppData\Local\SystemMonitor2016\2063222567.exe', '32');
 DeleteFile('C:\Users\user\AppData\Roaming\system.exe', '32');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SystemMonitor2016" /F', 0, 15000, true);
 DeleteService('SSFK');
 DeleteFileMask('C:\Users\user\appdata\roaming\tsv\', '*', true);
 DeleteFileMask('c:\program files (x86)\winzipper\', '*', true);
 DeleteFileMask('c:\program files (x86)\sfk', '*', true);
 DeleteFileMask('c:\programdata\timetasks', '*', true);
 DeleteFileMask('c:\users\user\appdata\local\hostinstaller', '*', true);
 DeleteDirectory('C:\Users\user\appdata\roaming\tsv\');
 DeleteDirectory('c:\program files (x86)\winzipper\');
 DeleteDirectory('c:\program files (x86)\sfk');
 DeleteDirectory('c:\programdata\timetasks');
 DeleteDirectory('c:\users\user\appdata\local\hostinstaller');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ZaxarGameBrowser');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ZaxarLoader');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Timestasks');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
Прикрепите отчет к своему следующему сообщению.

**Trixidrom** · 22.03.2016, 12:29

Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

http://virusinfo.info/virusdetector/...21E07E2447F4C6

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

вложение...

Прикрепите отчет к своему следующему сообщению.

вложение

**regist** · 22.03.2016, 15:17

Программы/расширения от Mail.ru используете?

**Trixidrom** · 23.03.2016, 02:01

Сообщение от regist

Программы/расширения от Mail.ru используете?

Нет.

**regist** · 23.03.2016, 09:55

Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
В меню Настройки отметьте:
- Сброс политик IE
- Сброс политик Chrome
Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

**Trixidrom** · 23.03.2016, 11:55

вот

**regist** · 23.03.2016, 18:17

Сделайте свежий лог AdwCleaner-а.

что с проблемой?

**Trixidrom** · 24.03.2016, 02:00

Сообщение от regist

Сделайте свежий лог AdwCleaner-а.

что с проблемой?

Кажется все в порядке... Свежий лог все таки нужен?

**regist** · 24.03.2016, 14:14

Сообщение от Trixidrom

Свежий лог все таки нужен?

да.

**Trixidrom** · 27.03.2016, 11:36

Проблема все таки еще есть, только что установилось куча всего, но adwcleaner_5.105 почистил часть, при этом удалил хром.
В "установка и удаление программ" остались "hohosearch uninstall", "homePageDefender" и "ImageCropResize" - все это установилось само.

**regist** · 27.03.2016, 12:40

Сделайте свежий лог AdwCleaner-а.

+
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

**Trixidrom** · 27.03.2016, 13:51

вот...

**regist** · 27.03.2016, 15:53

Код:

CHR Extension: (Google Презентации) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-11-27]
CHR Extension: (Документы Google) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-11-27]
CHR Extension: (Диск Google) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-11-27]
CHR Extension: (YouTube) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-11-27]
CHR Extension: (Adblock Plus) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2016-03-10]
CHR Extension: (Google Search) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-11-27]
CHR Extension: (Alt CSS) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\deaodobjfcolfhkecnnghdclnlmfjdje [2015-11-27]
CHR Extension: (Tampermonkey) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhdgffkkebhmkfjojejmpbldmpobfkfo [2015-12-15]
CHR Extension: (Google Таблицы) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-11-27]
CHR Extension: (Google*Документы офлайн) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-15]
CHR Extension: (MusicSig vkontakte) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\hanjiajgnonaobdlklncdjdmpbomlhoa [2016-03-27]
CHR Extension: (ePN CashBack Plugin) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\hfdhpmpfpcnbboppkkkblilhbloejijj [2016-03-26]
CHR Extension: (RSS Subscription Extension (от Google)) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\nlbjncdgjeocebhnmkbbbdekmmmcbfjd [2015-11-27]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-11-27]
CHR Extension: (Gmail) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-11-27]

Эти расширения вам знакомы?

- - - - -Добавлено - - - - -

Код:

hohosearch Uninstall (HKLM-x32\...\Uninstall fss) (Version:  - )
HomePageDefender (HKLM-x32\...\HomePageDefender) (Version:  - )

деисталируйте.

Пожалуйста, запустите adwcleaner.exe
Нажмите Uninstall (Деинсталлировать).
Подтвердите удаление нажав кнопку: Да.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKLM-x32 -> DefaultScope value is missing
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKU\S-1-5-21-2147718229-3928424323-1031920550-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BD65628C9-0307-43C7-86F4-2BFD87BA3D5D%7D&gp=821598
SearchScopes: HKU\S-1-5-21-2147718229-3928424323-1031920550-1001 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-21-2147718229-3928424323-1031920550-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKU\S-1-5-21-2147718229-3928424323-1031920550-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BD65628C9-0307-43C7-86F4-2BFD87BA3D5D%7D&gp=821598
FF Keyword.URL: hxxp://go.mail.ru/distib/ep/?product_id=%7B3C147569-532D-4F69-9599-B8794A359218%7D&gp=821602
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxps://www.google.ru/","hxxp://www.hohosearch.com/?mode=nnnb&ptid=fss&uid=395963291E71D87191C9987FDB04C691&v=20160323&ts=AHEpCH0qBX0sBk.."
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (No Name) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\ipnpelpjmnmepmgacemjkdkjlappmnen [2016-03-27]
2016-03-27 18:09 - 2016-03-27 18:09 - 00000000 ____D C:\Program Files (x86)\HomePageDefender
2016-03-27 18:07 - 2016-03-27 18:07 - 00003062 _____ C:\Windows\System32\Tasks\MailRuUpdater
Task: {D465450B-4108-48E8-A393-26B5FA7A71B7} - System32\Tasks\Microsoft\Windows\Apps\UpService => C:\ProgramData\UpService\UpService.exe [2015-12-24] () <==== ATTENTION
ShortcutWithArgument: C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk -> C:\Windows\System32\rundll32.exe (Microsoft Corporation) -> url,FileProtocolHandler "hxxp://www.mail.ru/cnt/20775012?gp=821596"
2016-03-15 02:20 - 2016-03-15 02:20 - 00291480 _____ () C:\Program Files (x86)\HomePageDefender\HpDefSrv.exe

EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

**Trixidrom** · 27.03.2016, 16:18

не понял, где находится папка "Farbar Recovery Scan Tool"

**Trixidrom** · 28.03.2016, 14:03

FRST на диске C, это то?

**regist** · 28.03.2016, 19:14

Сообщение от Trixidrom

не понял, где находится папка "Farbar Recovery Scan Tool"

там куда вы сохранили FRST.exe

**Trixidrom** · 29.03.2016, 13:20

Эти расширения вам знакомы?

Adblock Plus
ePN CashBack Plugin
MusicSig vkontakte
вот эти знакомы... Остальные сами со временем появлялись.

деисталируйте.

уже...

**regist** · 29.03.2016, 14:42

Сообщение от Trixidrom

вот эти знакомы... Остальные сами со временем появлялись.

Если есть незнакомые/не нужные, то удалите через управление расширениями.

Что с проблемой?

Сам устанавливается wajam, Zaxargamebrouser. Меняется поисковик и главная страница в браузере на yoursites123.com [not-a-virus:Downloader.Win32.Elex.u, not-a-virus:RiskTool.Win32.SystemTweaker.ad ] (заявка № 198481)

Опции темы