Браузер Chrome с рекламой вулкан

[insane77]

Здравствуйте! При загрузке windows запускается гугл хром с рекламой "вулкан", после закрытия открывается с периодичностью примерно раз в час. Проверял Касперским IS, Drweb cureit, Hitman Pro, Kaspersky Removal Tool. Файл virusinfo_syscheck.zip к сожалению не создается в папке log, пробовал два раза от имени администратораhijackthis.logvirusinfo_syscure.zip

[Info_bot]

Уважаемый(ая) insane77, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('C:\Windows\system32\searchprotectservice.exe');
 TerminateProcessByName('C:\Windows\syswow64\searchprotectservice.exe');
 QuarantineFile('C:\ProgramData\VorCXCdcFo\AMCZYGdHQ0.bat', '');
 QuarantineFile('C:\ProgramData\OAfkEpz\jiphnhSW5.bat', '');
 QuarantineFile('C:\Users\admin\AppData\Local\GUadpZKX\FBUINIs1.bat', '');
 QuarantineFile('C:\Windows\system32\searchprotectservice.exe', '');
 QuarantineFile('C:\Windows\syswow64\searchprotectservice.exe', '');
 DeleteFile('C:\ProgramData\VorCXCdcFo\AMCZYGdHQ0.bat', '32');
 DeleteFile('C:\ProgramData\OAfkEpz\jiphnhSW5.bat', '32');
 DeleteFile('C:\Users\admin\AppData\Local\GUadpZKX\FBUINIs1.bat', '32');
 DeleteFile('C:\Windows\system32\searchprotectservice.exe');
 DeleteFile('C:\Windows\syswow64\searchprotectservice.exe');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteRepair(1);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- сделайте лог Check Browsers' LNK by Dragokas & regist.

[insane77]

http://virusinfo.info/virusdetector/...8F3F6FD8F22387 ссылка на карантин

[regist]

Программы от Mail.ru сами ставили?

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехplоrеr.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Панель запуска приложений Сhrоmе.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome\панель запуска приложений chrome.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome\Панель запуска приложений Сhrоmе.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Chrome\Удаленный рабочий стол Сhrоmе.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Chrome\АRС Wеldеr (1).lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Chrome\АRС Wеldеr.lnk', '');
 QuarantineFile('C:\ProgramData\VorCXCdcFo\AMCZYGdHQ0.bat', '');
 QuarantineFile('C:\ProgramData\OAfkEpz\jiphnhSW5.bat', '');
 QuarantineFile('C:\Users\admin\AppData\Local\GUadpZKX\FBUINIs1.bat', '');
 QuarantineFile('C:\ProgramData\XjAXEEOnK\lctTSVnveq4.bat', '');
 QuarantineFileF('C:\ProgramData\VorCXCdcFo', '*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\OAfkEpz', '*', true, '', 0, 0);
 QuarantineFileF('C:\Users\admin\AppData\Local\GUadpZKX', '*', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\XjAXEEOnK', '*', true, '', 0, 0);
 DeleteFile('C:\ProgramData\VorCXCdcFo\AMCZYGdHQ0.bat', '');
 DeleteFile('C:\ProgramData\OAfkEpz\jiphnhSW5.bat', '');
 DeleteFile('C:\Users\admin\AppData\Local\GUadpZKX\FBUINIs1.bat', '');
 DeleteFile('C:\ProgramData\XjAXEEOnK\lctTSVnveq4.bat', '');
 DeleteFileMask('C:\ProgramData\VorCXCdcFo', '*', true);
 DeleteFileMask('C:\ProgramData\OAfkEpz', '*', true);
 DeleteFileMask('C:\Users\admin\AppData\Local\GUadpZKX', '*', true);
 DeleteFileMask('C:\ProgramData\XjAXEEOnK', '*', true);
 DeleteDirectory('C:\ProgramData\VorCXCdcFo');
 DeleteDirectory('C:\ProgramData\OAfkEpz');
 DeleteDirectory('C:\Users\admin\AppData\Local\GUadpZKX');
 DeleteDirectory('C:\ProgramData\XjAXEEOnK');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.


Zona - деинсталируйте.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

[insane77]

Программы от майл.ру я уже давно презираю, реклама начала вылетать вместе с кучей майловского софта, его я удалял из панели управления.
Зона удалена.

Скрипт выполнил, карантин загрузил(Файл сохранён как 160318_200002_quarantine_56ec3412ede8d.zip
Размер файла 35779
MD5 33ac10b61917a28549d2dfa2481eb47

[regist]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки отметьте:
  
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

[insane77]

В предыдущем сканировании Adwcleaner было три угрозы, после скана я почистил с перезагрузкой,
Возможно, помогут источники заразы, ребенок отключил Касперского, скачали запустил один из "этих" файлов,приложу скриншот и адрес страницы.
Сейчас Adwcleaner при сканировании с вашими рекомендациями ничего не нашел. Симптомы все те же.

(http://forum.alkad.org/index.php?thr...-03-2016.1197/)
Screenshot_1.png

[regist]

Сделайте свежий лог AdwCleaner-а.

[insane77]

Санов уже много, прилагаю последние

[regist]

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Деинсталлировать).
• Подтвердите удаление нажав кнопку: Да.

что с проблемой?

[insane77]

Произвел деинсталяцию, проблема сохранилась

[regist]

Подробней напишите, какие проблемы остались.

[insane77]

При запуске открывается гугл хром с этой ссылкой (удалено), далее с периодичностью примерное раз в час с той же ссылкой, хром установлен по умолчанию

[regist]

При запуске компьютера или при запуске Хрома?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[insane77]

При запуске Виндовс, логи прикладываю.

[regist]

Chrome: 
=======
CHR HomePage: Default -> hxxps://www.google.ru/
CHR DefaultSearchURL: Default -> hxxp://yandex.ru/{yandex:searchPath}?text={searchTerms}
CHR DefaultSearchKeyword: Default -> yandex.ru
CHR DefaultNewTabURL: Default -> hxxps://www.yandex.ru/chrome/newtab
CHR DefaultSuggestURL: Default -> hxxps://api.browser.yandex.ru/suggest/get?part={searchTerms}
CHR Profile: C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default
CHR Extension: (Google Презентации) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-10-11]
CHR Extension: (Документы Google) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-10-11]
CHR Extension: (Диск Google) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (YouTube) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-10-11]
CHR Extension: (Adblock Plus) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2016-03-08]
CHR Extension: (Google Search) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (Kaspersky Protection) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\eahebamiopdhefndnmappcihfajigkka [2015-12-09]
CHR Extension: (Google Таблицы) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-10-11]
CHR Extension: (Google*Документы офлайн) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-03-16]
CHR Extension: (AdBlock) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\gighmmpiobklfepjocnamgkkbiglidom [2016-03-18]
CHR Extension: (Color Picker) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcmgligingjhdnhdhgepemlckgcgmgaj [2015-10-11]
CHR Extension: (Codeanywhere) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jdofbmaiblhheoneemdjccjeeihbiabl [2015-10-11]
CHR Extension: (Google RU) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\kbjopffcocgcnkigpnnmpcoimhjbjmba [2015-10-11]
CHR Extension: (Закладки сервисов Google) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\kcaffnbidpkidalidcbejnhkeklodplg [2015-10-11]
CHR Extension: (Поиск на Яндекс.Маркет) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\kcajglmkmpjbgmhkndelbkljpffblood [2015-10-11]
CHR Extension: (WordPress.com) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\khjnjifipfkgglficmipimgjpbmlbemd [2015-10-11]
CHR Extension: (WordPress Website Email Signature - by WiseStamp) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\mpjpbilonjhogoojceicmdljmpdokdea [2015-10-11]
CHR Extension: (Google Docs to WordPress) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nbljnjmeckdecofjohdobgmleppiikll [2015-10-11]
CHR Extension: (Яндекс) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nfmgmaabaleaeklhidjdacacebdkopec [2015-11-28]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-10-11]
CHR Extension: (Визуальные закладки) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pchfckkccldkbclgdepkaonamkignanh [2016-03-12]
CHR Extension: (Линейка для измерения) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pemefhlbiinkcopbapnfghcnjhlgceof [2015-10-11]
CHR Extension: (Gmail) - C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-10-11]
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx

Эти расширения сами ставили?


ComboFix зачем запускали?
Лог его работы C:\ComboFix.txt покажите.

- - - - -Добавлено - - - - -

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
HKU\S-1-5-21-3063634758-4172785801-1914592345-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-3063634758-4172785801-1914592345-1000 -> DefaultScope {5CE25775-92B7-477d-9603-852F0B34D8B0} URL = hxxps://www.sogou.com/sogou?query={searchTerms}&pid=sogou-wsse-91e50fe1e39af286
SearchScopes: HKU\S-1-5-21-3063634758-4172785801-1914592345-1000 -> {5CE25775-92B7-477d-9603-852F0B34D8B0} URL = hxxps://www.sogou.com/sogou?query={searchTerms}&pid=sogou-wsse-91e50fe1e39af286
FF Keyword.URL: hxxp://go.mail.ru/search?fr=ntg&q=
Task: {C633D12B-45C3-4359-B4EC-1BDD22709B5B} - \Обновление Браузера Яндекс  -> No File <==== ATTENTION
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

сделайте лог HiJackThis 2.0.6 Alfa 1.5

[insane77]

Расширениями давно пользуюсь этими, если есть какие то опасные, подскажите, я удалю

[regist]

ComboFix вам AdBlock снёс. Так что AdBlock лучше переустановите.

Профиксите в HijackThis

O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - (no file)
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O2 - BHO: SafeMon Class - {B69F34DD-F0F9-42DC-9EDD-957187DA688D} - (no file)
O4 - MSConfig..HKLM: 2015/11/03 [PC Suite Tray] "C:\Program Files (x86)\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray (no file)
O4 - MSConfig..HKLM: 2015/11/03 [Zona] C:\Program Files (x86)\Zona\Zona.exe /MINIMIZED (no file)
O4 - MSConfig..HKLM: 2016/02/23 [NSU_agent] "C:\Program Files (x86)\Nokia\Nokia Software Updater\nsu3ui_agent.exe" (no file)

Удалите ComboFix

отпишитесь, какие проблемы остались?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 48
• В ходе лечения вредоносные программы в карантинах не обнаружены