Вирусные контекстные окна

[DianaDe]

Здравствуйте!
Случайно была скачана китайская программа Baidu. Она самоустановилась вместе с рядом других программ. Я удалила все, что нашла, проверила компьютер Касперским и Cureit. По их проверкам - все чисто.
Но контексная реклама продолжает вплывать даже на сайтах, где ее не может быть. Также при переходе на новые страницы перекидывает на другие адреса (рекламные).

[Info_bot]

Уважаемый(ая) DianaDe, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Users\ПК\AppData\Roaming\CyberLink\Caches\mdm', '');
 DeleteFile('C:\Users\ПК\AppData\Roaming\CyberLink\Caches\mdm', '32');
 DeleteFile('C:\WINDOWS\system32\Tasks\MdmUpdateTaskMachineCore', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Soft installer', '64');
 DeleteService('BDMWrench_x64');
 DeleteService('BDFileDefend');
 DeleteService('bd0003');
 ExecuteFile('schtasks.exe', '/delete /TN "MdmUpdateTaskMachineCore" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).

[DianaDe]

сделала

[Vvvyg]

Карантин загрузите, пожалуйста.

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.
Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

[DianaDe]

Проблемы остались

[Vvvyg]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению (можно все в одном архиве).

[DianaDe]

сделала

[Vvvyg]

Деинсталлируйте Spybot - Search & Destroy - бесполезная программа. UnHackMe тоже удалите.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
CloseProcesses:
FF Plugin-x32: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\explugin\npBaiduSDDetectPlug.dll No File
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
OPR Extension: (Универсальный перевод для Chrome) - C:\Users\ПК\AppData\Roaming\Opera Software\Opera Stable\Extensions\nlbjncdgjeocebhnmkbbbdekmmmcbfjd [2015-04-25]
S1 BdSandBox; system32\DRIVERS\BdSandBox.sys [X]
2015-04-29 10:46 - 2015-04-29 10:46 - 00000000 ____D () C:\ProgramData\earnsale
2015-04-25 21:02 - 2015-04-25 21:50 - 00000000 ____D () C:\Program Files (x86)\PCSPEE~1.del
2015-04-18 15:09 - 2015-04-18 15:09 - 00000000 ____D () C:\Users\ПК\AppData\Roaming\ProductData
2015-04-18 15:08 - 2015-04-18 15:26 - 00000000 ____D () C:\Program Files (x86)\IObit
2015-04-18 15:08 - 2015-04-18 15:09 - 00000000 ____D () C:\Users\Все пользователи\IObit
2015-04-18 15:08 - 2015-04-18 15:09 - 00000000 ____D () C:\ProgramData\IObit
2015-04-18 15:08 - 2015-04-18 15:08 - 00000000 ____D () C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2015-04-18 15:06 - 2014-11-06 10:38 - 00056136 _____ (Baidu) C:\WINDOWS\system32\Drivers\BDMWrench_x64.sys
2015-04-18 15:05 - 2014-12-05 12:35 - 00202576 _____ (Baidu) C:\WINDOWS\system32\Drivers\bd0001.sys_29312
2015-04-18 15:00 - 2014-11-21 01:17 - 00815248 ____H (Microsoft Corporation) C:\iехplоrе.bаt.exe
2015-04-29 10:46 - 2015-05-03 23:40 - 0000020 _____ () C:\Users\ПК\AppData\Roaming\appdataFr3.bin
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой, если осталась - в каких именно браузерах (проверьте все установленные!).

[DianaDe]

Реклама больше не всплывает, но в хроме при загрузке страниц все равно перекидывает на левые сайты.

[Vvvyg]

Только в Хроме? В Internet Explorer такого нет? Проверьте.

[DianaDe]

в Explorer нет. В хроме удалила расширение salesale, после чего переходы прекратились.

[Vvvyg]

Под какой учётной записью это расширение было? В профиле учётки ПК его не видно было по логам.

Запустите AdwCleaner и нажмите Удалить.

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[DianaDe]

Под основной учетной записью.
Все сделала.
Огромное спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены