Всплывающие окна.

[romaffechka]

Здравствуйте! У меня такая проблема: в браузере на всех сайтах появляются всплывающие окна, AdBlock не справляется. Также часто открываются ссылки с играми и рекламами, сообщения о необходимости обновить браузер,которые не убираются,не закрыв полностью браузер. На сайте vk.com слева в меню появляются лишние категории "Казино онлайн" и "Моя работа". Помогите избавиться от надоедливых и гадских реклам. Надеюсь на вашу помощь!

[Info_bot]

Уважаемый(ая) romaffechka, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

eTranslator
windowsmangerprotec

удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files\Microsoft Data\InstallAddons.exe','');
 QuarantineFile('C:\Users\Дарья\AppData\Local\30941\a2041.exe','');
 QuarantineFile('C:\Users\Дарья\AppData\Roaming\eTranslator\eTranslator.exe','');
 SetServiceStart('WindowsMangerProtect', 4);
 DeleteService('WindowsMangerProtect');
 TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
 QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
 DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
 DeleteFile('C:\Program Files\Google\chrome.bat','32');
 DeleteFile('C:\Users\Дарья\AppData\Roaming\eTranslator\eTranslator.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\eTranslator Update','command');
 DeleteFile('C:\Users\Дарья\AppData\Local\30941\a2041.exe','32');
 DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','32');
 DeleteFile('C:\Program Files\Microsoft Data\InstallAddons.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[romaffechka]

Высылаю новые логи.

[mike 1]

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Quarantine" ("Карантин" - смотрите, что удаляете).

Registry Keys: 12
PUP.Optional.SupTab.A, HKU\S-1-5-21-2276808230-810491234-2499288219-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}, , [4a4f5c6d681396a018e19be809f94bb5], 
PUP.Optional.SupTab.A, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\BROWSER HELPER OBJECTS\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}, , [4a4f5c6d681396a018e19be809f94bb5], 
PUP.Optional.WPM.A, HKLM\SOFTWARE\supWindowsMangerProtect, , [82174782c1ba4fe77e1bf869e91be31d], 
PUP.Optional.SupTab.A, HKLM\SOFTWARE\supWPM, , [0594c801e992a69069ed8c6fcc365aa6], 
PUP.Optional.SweetPage.A, HKLM\SOFTWARE\sweet-pageSoftware, , [1a7f3e8bbebd5bdb4cbdce88a163eb15], 
PUP.Optional.Amonetize.A, HKLM\SOFTWARE\CLASSES\Updater.AmiUpd, , [10894f7a8cef9a9c6db39e5dec161fe1], 
PUP.Optional.Amonetize.A, HKLM\SOFTWARE\CLASSES\Updater.AmiUpd.1, , [e4b5dbee53281a1cce52e01b758d6997], 
PUP.Software.Updater, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{99C91FC5-DB5B-4AA0-BB70-5D89C5A4DF96}, , [56433f8ae09b6acc3583d062887b1de3], 
PUP.Optional.SupTab.A, HKLM\SOFTWARE\SUPTAB, , [13869d2cd5a6c274d2835ba04eb48c74], 
PUP.Optional.WebSearches.A, HKU\S-1-5-21-2276808230-810491234-2499288219-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\SupHpUISoft, , [cfca4683fc7fd36339dad429be44669a], 
PUP.Optional.InstallCore.A, HKU\S-1-5-21-2276808230-810491234-2499288219-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE\1I1T1Q1S, , [f3a6bb0e0d6efa3c9c8f0229fc07669a], 
PUP.Optional.InstallCore.A, HKU\S-1-5-21-2276808230-810491234-2499288219-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE, , [afea7c4dabd087afdcacd07127dde818], 

Registry Values: 2
PUP.Optional.SupTab.A, HKLM\SOFTWARE\SUPTAB|ptid, cor, , [13869d2cd5a6c274d2835ba04eb48c74]
PUP.Optional.InstallCore.A, HKU\S-1-5-21-2276808230-810491234-2499288219-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE|tb, 0N2X1N, , [afea7c4dabd087afdcacd07127dde818]

Registry Data: 2
PUP.Optional.SweetPage.A, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN|Default_Search_URL, http://www.sweet-page.com/web/?type=ds&ts=1409318838&from=cor&uid=WDCXWD3200BPVT-22JJ5T0_WD-WXD1EA1TVJW3TVJW3&q={searchTerms}, Good: (www.google.com), Bad: (http://www.sweet-page.com/web/?type=ds&ts=1409318838&from=cor&uid=WDCXWD3200BPVT-22JJ5T0_WD-WXD1EA1TVJW3TVJW3&q={searchTerms}),,[287100c9cab1e84e90ed6f87e32140c0]
PUP.Optional.SweetPage.A, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN|Search Page, http://www.sweet-page.com/web/?type=ds&ts=1409318838&from=cor&uid=WDCXWD3200BPVT-22JJ5T0_WD-WXD1EA1TVJW3TVJW3&q={searchTerms}, Good: (www.google.com), Bad: (http://www.sweet-page.com/web/?type=ds&ts=1409318838&from=cor&uid=WDCXWD3200BPVT-22JJ5T0_WD-WXD1EA1TVJW3TVJW3&q={searchTerms}),,[efaa11b84e2d45f1d489b4377f85ba46]

Folders: 10
Rogue.Multiple, C:\ProgramData\2308189059, , [6e2b0abf4f2c6ec86243c3f9709245bb], 
PUP.Optional.OpenCandy, C:\Users\???°N?N?N?\AppData\Roaming\OpenCandy, , [e1b8a2270f6ce94d5fe68c400cf67888], 
PUP.Optional.OpenCandy, C:\Users\???°N?N?N?\AppData\Roaming\OpenCandy\7D767964D9794A7792278B6C2FDADC30, , [e1b8a2270f6ce94d5fe68c400cf67888], 
PUP.Optional.OpenCandy, C:\Users\???°N?N?N?\AppData\Roaming\OpenCandy\9EDC7E9C4A5E4FFCBDF69DB65645A6CD, , [e1b8a2270f6ce94d5fe68c400cf67888], 
PUP.Optional.OpenCandy, C:\Users\???°N?N?N?\AppData\Roaming\OpenCandy\OpenCandy_9EDC7E9C4A5E4FFCBDF69DB65645A6CD, , [e1b8a2270f6ce94d5fe68c400cf67888], 
PUP.Optional.IePluginServices.A, C:\ProgramData\IePluginServices, , [5a3f09c06615cd698a75934e6999ed13], 
PUP.Optional.IePluginServices.A, C:\ProgramData\IePluginServices\update, , [5a3f09c06615cd698a75934e6999ed13], 
PUP.Optional.WPM.A, C:\ProgramData\WindowsMangerProtect, , [495052777605a98d0e614b9952b01fe1], 
PUP.Optional.WPM.A, C:\ProgramData\WindowsMangerProtect\log, , [495052777605a98d0e614b9952b01fe1], 
PUP.Optional.WPM.A, C:\ProgramData\WindowsMangerProtect\update, , [495052777605a98d0e614b9952b01fe1], 

Files: 12
PUP.Optional.OpenCandy, C:\$Recycle.Bin\S-1-5-21-2276808230-810491234-2499288219-1000\$R6WZZX2\dexpot_1613_r2429.exe, , [6435f4d5a1da0e28343b3eddd92cc63a], 
PUP.Optional.InstallCore, C:\$Recycle.Bin\S-1-5-21-2276808230-810491234-2499288219-1000\$R6WZZX2\Launch Manager_Dritek_6.0.11_Win7x86x64.exe, , [aeeb61681b604fe7fa92ad05a75acc34], 
Rogue.Multiple, C:\ProgramData\2308189059\BIT1EBE.tmp, , [6e2b0abf4f2c6ec86243c3f9709245bb], 
PUP.Optional.OpenCandy, C:\Users\???°N?N?N?\AppData\Roaming\OpenCandy\7D767964D9794A7792278B6C2FDADC30\speedupmypcSP_RU.exe, , [e1b8a2270f6ce94d5fe68c400cf67888], 
PUP.Optional.OpenCandy, C:\Users\???°N?N?N?\AppData\Roaming\OpenCandy\9EDC7E9C4A5E4FFCBDF69DB65645A6CD\SkypeSetupFull-6.18.0.106.exe, , [e1b8a2270f6ce94d5fe68c400cf67888], 
PUP.Optional.IePluginServices.A, C:\ProgramData\IePluginServices\update\conf, , [5a3f09c06615cd698a75934e6999ed13], 
PUP.Optional.WPM.A, C:\ProgramData\WindowsMangerProtect\log\ProtectWindowsManager_2014-08-29[17-28-01-396].log, , [495052777605a98d0e614b9952b01fe1], 
PUP.Optional.WPM.A, C:\ProgramData\WindowsMangerProtect\update\conf, , [495052777605a98d0e614b9952b01fe1],

Обратите внимание! Для остальных объектов выберете действие "Ignore" ("Игнорировать").

1. Скачайте Universal Virus Sniffer (uVS)
2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
   
   !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[romaffechka]

Я прошу прощения, а код для чего?

[thyrex]

Для МВАМ

[romaffechka]

Со всем разобралась, высылаю лог uvs.

[mike 1]

1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
   

   ;uVS v3.83 BETA 31 [http://dsrt.dyndns.org]
   ;Target OS: NTv6.1
   
   OFFSGNSAVE
   breg
   
   zoo %SystemDrive%\IEXPLORE.BAT
   zoo %SystemDrive%\LAUNCHER.BAT
   del %SystemDrive%\IEXPLORE.BAT
   del %SystemDrive%\LAUNCHER.BAT
   delall %SystemDrive%\USERS\ДАРЬЯ\APPDATA\LOCAL\30941\A2041.EXE
   delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=E17FA1DE1C14EEE9E7DC5C857115196D&TEXT={SEARCHTERMS}
   delref HTTP:\\RUSNEWS21.RU
   zoo %SystemDrive%\PROGRAM FILES\MICROSOFT DATA\INSTALLER_NO_CHROME.EXE
   delall %SystemDrive%\PROGRAM FILES\MICROSOFT DATA\INSTALLER_NO_CHROME.EXE
   exec "C:\Program Files\Microsoft Data\unins000.exe"
   deltmp
   regt 28
   regt 29
   czoo
   restart

4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. На удаление программ соглашайтесь. Прошу учесть, что компьютер может быть перезагружен.
6. После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

[romaffechka]

Карантин прислала

[mike 1]

Что с проблемой?

[romaffechka]

Всё равно всплывают(
Хотя уже не в таком количестве

[mike 1]

Сделайте новый лог uVS.

[romaffechka]

новый лог uvs

[mike 1]

Проверьте эти файлы на virustotal

C:\PROGRAMDATA\MICROSOFT\SEARCH\DATA\APPLICATIONS\WINDOWS\TMP.EDB

кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

В браузере отключите все расширения. Проверьте проблему.

[romaffechka]

При попытке проверить файл выдаёт ошибку: данный файл используется. Что делать?

[mike 1]

Выполните скрипт в uVS:

;uVS v3.83 BETA 31 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\SEARCH\DATA\APPLICATIONS\WINDOWS\TMP.EDB
restart

Компьютер перезагрузится. Упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата .ZIP с паролем virus и отправьте этот файл по ссылке "Прислать запрошенный карантин" над первым сообщением в теме.

[romaffechka]

Сделано.

[mike 1]

Чистый.

В браузере отключите все расширения. Проверьте проблему.

Пробовали?

[romaffechka]

Да,сейчас всё в порядке. Буду надеяться,что проблема не повторится снова.
Спасибо Вам огромное!