Помогите с лечением компьютера [not-a-virus:Downloader.Win32.Montiera.b, not-a-virus:Downloader.Win32.Montiera.al ]

[Владимир Спирин]

При запуске браузера вместо домашней страницы открывается yahoo, при заходе на любой сайт выдаёт на странице кучу рекламы: сбоку, снизу везде. При открытии Новой вкладки, спустя пару секунд, открывает всё тот же yahoo

[Info_bot]

Уважаемый(ая) Владимир Спирин, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 DelBHO('{7d2cbfb4-dfcd-4282-841a-c2a2a5299d7e}');
 QuarantineFile('C:\iexplore.bat','');
 QuarantineFile('C:\Users\vovan\AppData\Local\Win_update\Win_update.exe','');
 QuarantineFile('C:\Program Files\Google\chrome.bat','');
 StopService('{fee70205-e9b9-40aa-9da7-7766876eede2}Gw');
 StopService('{fb6e2902-a029-4535-854a-1a69a22df5f7}Gw');
 StopService('{f8cb8569-1f1b-4031-9006-6efba1b07d17}Gw');
 StopService('{f10b86b0-bf15-437d-92fd-f05ff37c387b}Gw');
 StopService('{e3c33c98-5fdc-480c-9fe0-e550c4468a4b}Gw');
 StopService('{e136bf1e-1f83-4833-adbc-4f61e73495c3}Gw');
 StopService('{c9dd49c1-5974-41ee-8826-de0b55e8da26}Gw');
 StopService('{b858b34e-1976-4315-9009-36b04b2970ef}Gw');
 StopService('{b082a895-f2bc-40a0-9735-d7592e9e422c}Gw');
 StopService('{8d3b604a-9bd5-4112-8d4a-58ce2f912071}Gw');
 StopService('{886f5d30-5b8b-42ab-98f8-31d062b96dc3}Gw');
 StopService('{8590482e-6fbf-4e86-9e78-2d81034791b1}Gw');
 StopService('{7d71b13c-fa47-4ddb-a69a-0fd038af3e02}Gw');
 StopService('{770d9261-ea7b-44d1-b1fa-cd753813d1ca}Gw');
 StopService('{7594955a-29b6-4548-9263-89299555d649}Gw');
 StopService('{6d550375-e98e-48ce-8260-daa7e461d495}Gw');
 StopService('{6a42a827-4aa4-4407-9673-d01c0f4ec37d}Gw');
 StopService('{670b17cf-f53d-46d2-a0f0-771be0b4f802}Gw');
 StopService('{665e51a3-da93-4d76-a3a4-e4194c384ce8}Gw');
 StopService('{61147643-bf60-4d52-9bfd-be65952125d0}Gw');
 StopService('{4a0d8869-1fbc-4918-9ada-bb10f8dfcc5c}Gw');
 StopService('{3254b624-3dc6-470b-b41f-230aff035acc}Gw');
 StopService('{24e0dbe9-5e04-4423-805e-fc8b4c7506a4}Gw');
 StopService('{23965273-0465-4e7f-993a-3e299efbd905}Gw');
 StopService('{1faf557f-055a-41ea-bf98-8743d653dfbd}Gw');
 StopService('{0dd9a828-65e1-4c37-98c6-d39c76a89715}Gw');
 StopService('{0bab8292-6c5d-4497-a29c-a0f9172b118b}Gw');
 DeleteService('BAPIDRV');
 DeleteService('{fee70205-e9b9-40aa-9da7-7766876eede2}Gw');
 DeleteService('{fb6e2902-a029-4535-854a-1a69a22df5f7}Gw');
 DeleteService('{f8cb8569-1f1b-4031-9006-6efba1b07d17}Gw');
 DeleteService('{f10b86b0-bf15-437d-92fd-f05ff37c387b}Gw');
 DeleteService('{e3c33c98-5fdc-480c-9fe0-e550c4468a4b}Gw');
 DeleteService('{e136bf1e-1f83-4833-adbc-4f61e73495c3}Gw');
 DeleteService('{c9dd49c1-5974-41ee-8826-de0b55e8da26}Gw');
 DeleteService('{b858b34e-1976-4315-9009-36b04b2970ef}Gw');
 DeleteService('{b082a895-f2bc-40a0-9735-d7592e9e422c}Gw');
 DeleteService('{8d3b604a-9bd5-4112-8d4a-58ce2f912071}Gw');
 DeleteService('{886f5d30-5b8b-42ab-98f8-31d062b96dc3}Gw');
 DeleteService('{8590482e-6fbf-4e86-9e78-2d81034791b1}Gw');
 DeleteService('{7d71b13c-fa47-4ddb-a69a-0fd038af3e02}Gw');
 DeleteService('{770d9261-ea7b-44d1-b1fa-cd753813d1ca}Gw');
 DeleteService('{7594955a-29b6-4548-9263-89299555d649}Gw');
 DeleteService('{6d550375-e98e-48ce-8260-daa7e461d495}Gw');
 DeleteService('{6a42a827-4aa4-4407-9673-d01c0f4ec37d}Gw');
 DeleteService('{670b17cf-f53d-46d2-a0f0-771be0b4f802}Gw');
 DeleteService('{665e51a3-da93-4d76-a3a4-e4194c384ce8}Gw');
 DeleteService('{61147643-bf60-4d52-9bfd-be65952125d0}Gw');
 DeleteService('{4a0d8869-1fbc-4918-9ada-bb10f8dfcc5c}Gw');
 DeleteService('{3254b624-3dc6-470b-b41f-230aff035acc}Gw');
 DeleteService('{24e0dbe9-5e04-4423-805e-fc8b4c7506a4}Gw');
 DeleteService('{23965273-0465-4e7f-993a-3e299efbd905}Gw');
 DeleteService('{1faf557f-055a-41ea-bf98-8743d653dfbd}Gw');
 DeleteService('{0dd9a828-65e1-4c37-98c6-d39c76a89715}Gw');
 DeleteService('{0bab8292-6c5d-4497-a29c-a0f9172b118b}Gw');
 DeleteService('servervo');
 StopService('Update Techgile');
 StopService('Util Techgile');
 DeleteService('Util Techgile');
 DeleteService('Update Techgile');
 TerminateProcessByName('c:\program files\techgile\bin\utiltechgile.exe');
 QuarantineFile('c:\program files\techgile\bin\utiltechgile.exe','');
 TerminateProcessByName('c:\program files\techgile\updatetechgile.exe');
 QuarantineFile('c:\program files\techgile\updatetechgile.exe','');
 TerminateProcessByName('c:\program files\techgile\bin\techgile.purbrowse.exe');
 QuarantineFile('c:\program files\techgile\bin\techgile.purbrowse.exe','');
 TerminateProcessByName('c:\program files\techgile\bin\techgile.browseradapter.exe');
 QuarantineFile('c:\program files\techgile\bin\techgile.browseradapter.exe','');
 TerminateProcessByName('c:\users\vovan\appdata\local\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe');
 QuarantineFile('c:\users\vovan\appdata\local\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe','');
 DeleteFile('c:\users\vovan\appdata\local\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe','32');
 DeleteFile('c:\program files\techgile\bin\techgile.browseradapter.exe','32');
 DeleteFile('c:\program files\techgile\bin\techgile.purbrowse.exe','32');
 DeleteFile('c:\program files\techgile\updatetechgile.exe','32');
 DeleteFile('c:\program files\techgile\bin\utiltechgile.exe','32');
 DeleteFile('C:\Windows\system32\drivers\{0bab8292-6c5d-4497-a29c-a0f9172b118b}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{0dd9a828-65e1-4c37-98c6-d39c76a89715}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{1faf557f-055a-41ea-bf98-8743d653dfbd}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{23965273-0465-4e7f-993a-3e299efbd905}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{24e0dbe9-5e04-4423-805e-fc8b4c7506a4}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{3254b624-3dc6-470b-b41f-230aff035acc}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{4a0d8869-1fbc-4918-9ada-bb10f8dfcc5c}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{61147643-bf60-4d52-9bfd-be65952125d0}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{665e51a3-da93-4d76-a3a4-e4194c384ce8}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{670b17cf-f53d-46d2-a0f0-771be0b4f802}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{6a42a827-4aa4-4407-9673-d01c0f4ec37d}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{6d550375-e98e-48ce-8260-daa7e461d495}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{7594955a-29b6-4548-9263-89299555d649}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{770d9261-ea7b-44d1-b1fa-cd753813d1ca}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{7d71b13c-fa47-4ddb-a69a-0fd038af3e02}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{8590482e-6fbf-4e86-9e78-2d81034791b1}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{886f5d30-5b8b-42ab-98f8-31d062b96dc3}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{8d3b604a-9bd5-4112-8d4a-58ce2f912071}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{b082a895-f2bc-40a0-9735-d7592e9e422c}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{b858b34e-1976-4315-9009-36b04b2970ef}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{c9dd49c1-5974-41ee-8826-de0b55e8da26}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{e136bf1e-1f83-4833-adbc-4f61e73495c3}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{e3c33c98-5fdc-480c-9fe0-e550c4468a4b}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{f10b86b0-bf15-437d-92fd-f05ff37c387b}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{f8cb8569-1f1b-4031-9006-6efba1b07d17}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{fb6e2902-a029-4535-854a-1a69a22df5f7}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{fee70205-e9b9-40aa-9da7-7766876eede2}Gw.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{ff8c2376-7eac-401f-82bd-d1e681ca83ee}Gw.sys','32');
 DeleteFile('C:\Users\vovan\AppData\Roaming\VOPackage\VOsrv.exe','32');
 DeleteFile('C:\Program Files\Google\chrome.bat','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Yahoo! Search');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ConvertAd');
 DeleteFile('C:\Users\vovan\AppData\Local\ConvertAd\ConvertAd.exe','32');
 DeleteFile('C:\Users\vovan\AppData\Local\Win_update\Win_update.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','pricefountainw.exe');
 DeleteFile('C:\Users\vovan\AppData\Local\PriceFountain\pricefountainw.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','PriceFountain');
 DeleteFile('C:\Users\vovan\AppData\Roaming\PriceFountain\UpdateProc\bkup.dat','32');
 DeleteFile('C:\iexplore.bat','32');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
 DeleteFile('C:\Windows\Tasks\DSite.job','32');
 DeleteFile('C:\Windows\Tasks\Price Fountain.job','32');
 DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
 DeleteFile('C:\Windows\system32\Tasks\DSite','32');
 DeleteFile('C:\Windows\system32\Tasks\Price Fountain','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
 DeleteFile('C:\Windows\system32\Tasks\Yahoo! Search','32');
 DeleteFile('C:\Windows\system32\Tasks\Yahoo! Search Updater','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

1. Скачайте Check Browsers' LNK и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите Check Browsers LNK.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет Check_Browsers_LNK.log
5. Прикрепите этот отчет в вашей теме.

[Владимир Спирин]

AdwCleaner[R0].txt
Check_Browsers_LNK.log
hijackthis.log
virusinfo_syscheck.zip

[mike 1]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Владимир Спирин]

AdwCleaner[S0].txt
ClearLNK-30.04.2015_23-32.log

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Владимир Спирин]

FRST.txt
Addition.txt

[mike 1]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  HKU\S-1-5-21-35361250-3698549345-1774197907-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.yahoo.com/?fr=hp-ddc-bd&type=pr__alt__ddc_dsssyc_bd_com
  HKU\S-1-5-21-35361250-3698549345-1774197907-1000\Software\Microsoft\Internet Explorer\Main,Search Bar = http://inca.im/
  SearchScopes: HKU\S-1-5-21-35361250-3698549345-1774197907-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://q.search-simple.com/?affID=pr_57f8e2b3-5f92-42bb-89d1-e530c26a8c3f&q={searchTerms}
  SearchScopes: HKU\S-1-5-21-35361250-3698549345-1774197907-1000 -> {4187F0FC-AF41-4E4B-AE67-84C8FD35A0AE} URL = http://inca.im/search?q={searchTerms}
  FF DefaultSearchEngine: Yahoo! Search
  FF SelectedSearchEngine: Yahoo! Search
  FF SearchPlugin: C:\Users\vovan\AppData\Roaming\Mozilla\Firefox\Profiles\jt79pigt.default\searchplugins\defaultsearch.xml [2014-06-01]
  FF Extension: promokody - C:\Users\vovan\AppData\Roaming\Mozilla\Firefox\Profiles\jt79pigt.default\Extensions\{D723D90A-8E67-11E3-81AA-43CE6088709B}.xpi [2014-03-31]
  CHR RestoreOnStartup: Default -> "hxxp://search.yahoo.com/?fr=hp-ddc-bd&type=643_pr__alt__ddc_dsssyc_bd_com"
  CHR StartupUrls: Default -> "hxxp://search.yahoo.com/?fr=hp-ddc-bd&type=643_pr__alt__ddc_dsssyc_bd_com"
  OPR Extension: (Переводчик для Chrome 2) - C:\Users\vovan\AppData\Roaming\Opera Software\Opera Stable\Extensions\nlbjncdgjeocebhnmkbbbdekmmmcbfjd [2014-09-20]
  OPR Extension: (promokody) - C:\Users\vovan\AppData\Roaming\Opera Software\Opera Stable\Extensions\obpjkecphechmoodhajjnggfpfmnclfc [2014-06-01]
  Task: {E959C27A-DB4F-4E39-94E0-931D8DB6949C} - \Soft installer No Task File <==== ATTENTION
  FirewallRules: [{A0E0E8AD-917E-42F0-8B3C-7D84BF11E419}] => (Allow) C:\Program Files\360\Total Security\safemon\QHSafeTray.exe
  FirewallRules: [{3623255F-39B9-4F50-8FED-DCD3B6E812E2}] => (Allow) C:\Program Files\360\Total Security\safemon\QHSafeTray.exe
  EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Владимир Спирин]

Fixlog.txt

[mike 1]

Что с проблемой?

[Владимир Спирин]

Проблемы вроде как больше нет, но когда запускаю Хром, то он запускается дублируя сам себя, то есть рядом на панели быстрого запуска появляется такой же значок Хрома
хром.PNG

[mike 1]

Вам нужно изъять значок Chrome из панели задач, затем запустите Chrome и закрепите его в панели задач.

http://windows.microsoft.com/ru-ru/w...hortcuts-icons

[Владимир Спирин]

Огромное спасибо за помощь в лечении!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\vovan\appdata\local\pay-by-ads\yahoo! search\1.3.15.4\dsrlte.exe - not-a-virus:Downloader.Win32.Montiera.b ( DrWEB: Adware.Toolbar.345, BitDefender: Adware.PayByAds.A )
  2. c:\users\vovan\appdata\local\pay-by-ads\yahoo! search\1.3.15.4\dsrsetup.exe - not-a-virus:Downloader.Win32.Montiera.b ( DrWEB: Adware.Toolbar.344, BitDefender: Adware.PayByAds.A )
  3. c:\users\vovan\appdata\local\pay-by-ads\yahoo! search\1.3.25.0\dsrlte.exe - not-a-virus:Downloader.Win32.Montiera.al ( BitDefender: Gen:Variant.Application.Strictor.64185 )