Рекламные всплывающие окна и DNS Unlocker

[dmitriyyas]

Помогите! На сайтах появляется реклама, снизу которой написано by DNS Unlocker, и когда кликаешь мышкой , то появляются ещё вкладки которые перенаправляют на сайты казино и игр. Также когда наводишь курсор на какую-либо фотографию, то появляется реклама от того же DNS Unlocker. Делаю проверку Касперским, он ничего не находит. Лога получилось только два, так как по инструкции мне следовало первый пункт не выполнять, так как у меня 64 битная версия Windows 10.

[Info_bot]

Уважаемый(ая) dmitriyyas, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFileF('C:\Program Files (x86)\Mobogenie', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 , 0);
 QuarantineFileF('C:\Program Files (x86)\nniceinffree', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 , 0);
 QuarantineFileF('C:\Users\Вася\AppData\Local\Pay-By-Ads\Yahoo! Search', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0 , 0);
 QuarantineFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe', '');
 QuarantineFile('dnsmohawk.exe', '');
 QuarantineFile('C:\Users\Вася\AppData\Local\Pay-By-Ads\Yahoo! Search\1.3.26.12\..\updt.js', '');
 DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe', '32');
 DeleteFile('C:\Program Files (x86)\nniceinffree\dFNImtC3mMPcMi.dll', '32');
 DeleteFile('dnsmohawk.exe', '32');
 DeleteFile('C:\Users\Вася\AppData\Local\Pay-By-Ads\Yahoo! Search\1.3.26.12\..\updt.js', '32');
 DeleteFileMask('C:\Program Files (x86)\Mobogenie', '*', true);
 DeleteFileMask('C:\Program Files (x86)\nniceinffree', '*', true);
 DeleteFileMask('C:\Users\Вася\AppData\Local\Pay-By-Ads\Yahoo! Search', '*', true);
 DeleteDirectory('C:\Program Files (x86)\Mobogenie');
 DeleteDirectory('C:\Program Files (x86)\nniceinffree');
 DeleteDirectory('C:\Users\Вася\AppData\Local\Pay-By-Ads\Yahoo! Search');
 DelBHO('{262B43E4-8931-49DC-A0C7-25FA668C6D24}');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "DNSMOHAWK" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Yahoo! Search Updater" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'mobilegeni daemon');
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[dmitriyyas]

Вот вложения

[Vvvyg]

Карантин что не загрузили?

Спутник@Mail.Ru и прочее мэйлрушные утилиты нужны? Если нет - деинсталлируйте Спутник и эти: [email protected], Служба автоматического обновления программ, [email protected].

И эти - в любом случае:

BBuyandbroowsie
CNN News
couponcheapchea
DNS Unlocker version 1.3
dollarsauver
Humble New Tab Page
naicenfre
niotRuOdeael
offeerSaole
offeirdeaal
offersouFTT
prizeccoUppoNN
qqUickshopp
rocCketssale
SystemPower

Остальное дочистим в FRST.

[dmitriyyas]

А через панель управления не получалось. Карантин хотел загрузить, но происходила ошибка, будто я эти файлы уже отправлял.

- - - - -Добавлено - - - - -

В этой теме в сообщение можно вложить это как-то опасно?

- - - - -Добавлено - - - - -

при удалении systempower не найден какой-то модуль, папки в проводнике с ним нету, couponcheapchea нет прав, пишет обратитесь к системному админу, хотя у меня профиль на компе только один, папки в проводнике с ним я давно удалял.

- - - - -Добавлено - - - - -

при удалении systempower не найден какой-то модуль, папки в проводнике с ним нету, couponcheapchea нет прав, пишет обратитесь к системному админу, хотя у меня профиль на компе только один, папки в проводнике с ним я давно удалял.

- - - - -Добавлено - - - - -

про удалении systempower и couponcheapchea я писал про удаление через панель управления

[Vvvyg]

А нестранные, от Mail.Ru нужны? Так и не ответили.
И удалять программы нужно через панель управления (в старых версиях Windows), в 10-ке - Пуск -> Параметры -> Система -> Приложения и возможности.

[dmitriyyas]

Программы от mail.ru не нужны. Через Приложения и возможности systempower и couponcheapchea тоже не удаляются.

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{80891afd-2c35-4881-ae6d-42f6285e0b72}: [NameServer] 199.203.131.150,82.163.143.168
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-3213462505-3546368571-2746747481-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = hxxp://webalta.ru/search?q={searchTerms}&from=IE
SearchScopes: HKU\S-1-5-21-3213462505-3546368571-2746747481-1000 -> {851F37EF-31DA-466A-8CFB-1E3AC95213BD} URL = hxxp://rts.dsrlte.com/?q={searchTerms}&r=592
SearchScopes: HKU\S-1-5-21-3213462505-3546368571-2746747481-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=ntg
BHO: nniceinffree -> {262B43E4-8931-49DC-A0C7-25FA668C6D24} -> C:\Program Files (x86)\nniceinffree\dFNImtC3mMPcMi.x64.dll => No File
FF Extension: ccoaolncheape - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-10-04] [not signed]
FF Extension: niotRuOdeael - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-10-04] [not signed]
FF Extension: Домашняя страница Mail.Ru - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-12-26]
FF Extension: naicenfree - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-10-04] [not signed]
FF Extension: Поиск@Mail.Ru - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-12-26] [not signed]
FF Extension: dollariSaveer - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-10-04] [not signed]
FF Extension: Визуальные закладки @Mail.Ru - C:\Users\Вася\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2015-12-26]
CHR Extension: (Mail.Ru) - C:\Users\Вася\AppData\Local\Google\Chrome\User Data\Default\Extensions\jedelkhanefmcnpappfhachbpnlhomai [2015-02-22] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (Mail.Ru) - C:\Users\Вася\AppData\Local\Google\Chrome\User Data\Default\Extensions\jggbjbmnfmipgcanidamjfpechdeekoi [2014-09-13] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hakdifolhalapjijoafobooafbilfakh] - C:\Program Files (x86)\Kaspersky Lab\Kaspersky Anti-Virus 2013\ChromeExt\online_banking_chrome.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
R1 {2c976a7f-dbdc-4756-870f-f6d183fe7a7e}Gw64; C:\Windows\System32\drivers\{2c976a7f-dbdc-4756-870f-f6d183fe7a7e}Gw64.sys [61120 2014-04-24] (StdLib)
R1 {2c976a7f-dbdc-4756-870f-f6d183fe7a7e}w64; C:\Windows\System32\drivers\{2c976a7f-dbdc-4756-870f-f6d183fe7a7e}w64.sys [61120 2014-05-22] (StdLib)
C:\Windows\System32\drivers\{2c976a7f-dbdc-4756-870f-f6d183fe7a7e}Gw64.sys
C:\Windows\System32\drivers\{2c976a7f-dbdc-4756-870f-f6d183fe7a7e}w64.sys
2015-09-13 14:58 - 2015-09-13 14:58 - 0000102 _____ () C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat
Task: {567EF4D6-F5C0-49D0-B3DC-8AD9471CFEBA} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {575CE3B6-8DC1-49D0-A820-B5A8EBD6F6D8} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {701F7853-850D-4E8C-8745-47D55881B7EA} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {7D039803-C382-4DF1-99E2-3DECA7D7BA44} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {9ED28E99-5B29-4A25-92B1-C24274E63C78} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {A04C8BF6-452C-4A28-BFD6-BB9C281636CA} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {A4546B97-AB82-4A7E-BEFA-3388EACB0D2C} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {C3C5096A-88D0-4446-BAD8-E2D2AFB2292E} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {D1F07C94-C276-44C7-A2D6-B3BCAABB5A48} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {EC1EF72E-6389-4A57-A126-7B6CCD9D1E99} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {F4C98AE9-9018-4AD7-A43D-23BC91EFB946} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
FirewallRules: [{EA713778-1715-4386-8AB7-C830F451D792}] => (Allow) C:\Program Files (x86)\Mail.Ru\Sputnik\SputnikFlashPlayer.exe
FirewallRules: [{8864B062-00D2-4689-8643-E7BB698F544F}] => (Allow) C:\Program Files (x86)\Mail.Ru\Sputnik\SputnikFlashPlayer.exe
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E2D23061-C457-77CB-7789-7139D13F4910}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{37476589-E48E-439E-A706-56189E2ED4C4}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E1527582-8509-4011-B922-29E3FB548882}_is1" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{6E3B2E00-8ADC-98BD-428C-13CEC2925F29}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{46DF3CE6-BACF-B984-6099-DC25E7054C21}}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{BDA14B0B-4672-3ABF-B189-A5958FE3A42F}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{DCFB940E-C3BD-023F-4884-7FD36006422F}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{20188537-BC86-1F4B-6B72-1AA2EC4E9C93}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{CF663D34-D239-8E23-0994-A44C0EC65ADE}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{BC799F5F-37C9-ACBB-BE51-805992C10610}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{B43ADAE2-EB7C-9E3F-2EE9-6D55C686D263})" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{D9EFCE2A-396E-AAA0-9D20-896DE2ECF595}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{D8A764DD-3FBA-FBBD-FFC8-90B4AE9B19B8}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{D790D3FB-670B-6EF4-3686-4CB69E4ADE96}" /f /reg:32
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{12DA0E6F-5543-440C-BAA2-28BF01070AFA}{e47f97f2}" /f /reg:32
CMD: ripconfig /flushdns
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[dmitriyyas]

Рекламы пока нигде нет. Спасибо что помогли, год с вирусами сидел. В заявке забыл написать, что два раза мне в браузерах попадались два баннера, где было сказано, что надо заплатить штраф за рассылку каких-то порнографических файлов, хотя этого не делал. И если я не заплачу в течении 12 часов то моя windows и все файлы удалятся. Я просто перезагружал комп и удалял браузер. Пытался переустановить, но там сохранялись эти баннеры. Надеюсь теперь что этой проблемы тоже не будет

- - - - -Добавлено - - - - -

Но карантин почему-то всё ещё не может отправиться, мне пишут как будто данный файл уже был загружен

[Vvvyg]

Но карантин почему-то всё ещё не может отправиться, мне пишут как будто данный файл уже был загружен

Значит, он пустой, не нужно пытаться.

AV: Kaspersky Internet Security (Enabled - Out of date)

Судя по логам, антивирус не обновлён. Какие-то проблемы?

Загрузите SecurityCheck by glax24 отсюда и сохраните на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[dmitriyyas]

Антивирус обновил. Судя по всему, у меня куча всего не обновлено, но это мне никогда не мешало.

[Vvvyg]

Но и не помогало

Про обновление системы даже и упоминать лишний раз не хочу. А Java и продукты Adobe надо обновлятьобязательно (или не использовать вообще), лучше автоматически, критические дыры, используемые для взлома системы в них находят постоянно.


Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[dmitriyyas]

Ещё раз спасибо! Ну что ж, пойду обновлять программы! А с couponcheapchea что делать, если она не удаляется?

[Vvvyg]

Ничего не делать. Или в CCleaner добейте.