Нортон постоянно блокирует атаку Web Attack: Malvertisement Website Redirect 9.

[Юля8]

Добрый день! Нортон постоянно выдает сообщение о заблокированной атаке на компьютер Web Attack: Malvertisement Website Redirect 9. Видно иногда не срабатывает и браузер открывает какие-то левые сайты. Браузер из-за этого стал дико тупить. Сделала проверку нортоном в безопасном режиме -отловил парочку троянов, но проблема не пропала. Тогда воспользовалась утилитой AVP Tool, отловил еще 4 трояна, но атаки по прежнему продолжаются.
Так как у меня 64-битная W8, то пункт 1 отсюда http://virusinfo.info/showthread.php?t=1235 не выполняла, соответственно прикрепляю 2 лога, а не три.
Спасибо!

[Info_bot]

Уважаемый(ая) Юля8, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\program files (x86)\application installer\servercore.exe');
 QuarantineFile('C:\Users\G7-2255\AppData\Roaming\omiga-plus\UninstallManager.exe', '');
 QuarantineFile('C:\Program Files (x86)\Application Installer\CoreWebServ.dll', '');
 QuarantineFile('c:\program files (x86)\application installer\servercore.exe', '');
 DeleteFile('c:\program files (x86)\application installer\servercore.exe', '32');
 DeleteFile('C:\Program Files (x86)\Application Installer\CoreWebServ.dll', '32');
 DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf Update.job', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\BlockAndSurf Update', '64');
 DeleteFile('C:\Users\G7-2255\AppData\Roaming\omiga-plus\UninstallManager.exe', '32');
 DeleteFile('C:\WINDOWS\system32\Tasks\{26AD86C5-6CC5-41AC-81E3-3719B28AA24E}', '64');
 DeleteService('QMUdisk');
 DeleteService('BAPIDRV');
 DeleteFileMask('C:\Users\G7-2255\AppData\Roaming\omiga-plus', '*', true);
 DeleteFileMask('c:\program files (x86)\application installer', '*', true);
 DeleteDirectory('C:\Users\G7-2255\AppData\Roaming\omiga-plus');
 DeleteDirectory('c:\program files (x86)\application installer');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).
Сделайте лог Check Browsers' LNK.

[Юля8]

Вот логи:

[Vvvyg]

Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

апустите повторно AdwCleaner (by Xplode) (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора)), нажмите кнопку Scan, по окончании сканирования уберите галочки на вкладках Folders и Registry со всех пунктов, где упоминаются Mail.Ru если используете соответствующие программы.

Затем нажмите Cleaning и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

[Юля8]

К сожалению, проблема осталась - атаки продолжаются

[Vvvyg]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению (можно все в одном архиве).

[Юля8]

Прикрепляю:

[Vvvyg]

Сделайте аппаратный сброс настроек роутера кнопкой reset, настройте заново, смените пароль на веб-интерфейс роутера на сложный.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [HP Software Update] => C:\Program Files (x86)\HP\HP Software Update\HPWuSchd2.exe [96056 2013-05-30] (Hewlett-Packard)
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [ServerCore] => C:\Program Files (x86)\Application Installer\ServerCore.exe
HKLM-x32\...\Run: [gmsd_ru_120] => [X]
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
FF Plugin: @iqiyi.com/npWebPlayer -> D:\IQIYI Video\LStyle\npWebPlayer.dll No File
S2 fizywiqu; C:\Users\G7-2255\AppData\Roaming\VOPackage\nspF18E.tmpfs [X]
Task: {67C8D529-E5E2-43F8-84F8-D37B54889D71} - System32\Tasks\avastBCLRestartS-1-5-21-3498349981-940308973-3666689066-1001 => Chrome.exe 
Task: {D376BDA9-6EDD-4EBF-84F7-376FBD21EEA7} - \{26AD86C5-6CC5-41AC-81E3-3719B28AA24E} No Task File <==== ATTENTION
CMD: ipconfig /flushdns
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Cообщите, что с проблемой.

[Юля8]

Всё выполнила согласно Ваших рекомендаций, но проблема осталась.

[Vvvyg]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Юля8]

Сделала:

[Vvvyg]

Выполните скрипт в uVS:

;uVS v3.85.17 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
unload %SystemDrive%\PROGRAM FILES (X86)\OPERA\28.0.1750.51\OPERA.EXE
del %SystemDrive%\USERS\G7-2255\APPDATA\ROAMING\BROWSERS\EXE.EMORHC.BAT
del %SystemDrive%\USERS\G7-2255\APPDATA\ROAMING\BROWSERS\EXE.EROLPXEI.BAT
del %SystemDrive%\USERS\G7-2255\APPDATA\ROAMING\BROWSERS\EXE.REHCNUALTOW.BAT
delref %SystemDrive%\USERS\G7-2255\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GIGHMMPIOBKLFEPJOCNAMGKKBIGLIDOM\39.0_0\ADBLOCK
deldir C:\Users\G7-2255\AppData\Roaming\Opera Software\Opera Stable\Extensions\aobdicepooefnbaeokijohmhjlleamfj
delref %SystemDrive%\PROGRAM FILES (X86)\DRIVERTOOLKIT\DRIVERTOOLKIT.EXE
delref %SystemDrive%\PROGRAM FILES\AVAST SOFTWARE\AVAST\AVASTUI.EXE
deltmp
restart

Компьютер перезагрузится.

Сообщите, что с проблемой.

[Юля8]

Выполнила скрипт, карантин не сформировался. Но во время выполнения скипта обратила внимание, что утилита прогоняет только Хром и Эксплорер, а Оперу не трогает. В Хроме проблема решилась, в Опере осталась. Но и это уже радует ) Буду пользоваться Хромом

[Vvvyg]

Отключите в Opera незнакомые расширения, может быть AdBlock поддельный.

[Юля8]

Спасибо большое! Теперь и в Опере проблема решена Оказалось было установлено два AdBlock, один из них оказался поддельным.

[Vvvyg]

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены