После перезагрузки компьютера слетает AdBlock и появляется ClickPlus в Chrome. [not-a-virus:Downloader.NSIS.Agent.afp ]

**romikovich** · 16.05.2016, 21:19

Недавно прорвало компьютер на нежелательные программы: посыпались навязчивые расширения для браузеров, бары на рабочий стол, левые браузеры и т.д. Почистил это все добро CCleaner'ом, удалил расширения, проверил компьютер Avast'ом и AVPTool, которые нашли по вирусу, я их удалил и успокоился. Но вот теперь после перезагрузки компьютера каждый раз слетает Adblock и появляется расширение ClickPlus (это все в Chrome). Все время его удаляю и ставлю Adblock, но со следующим запуском компа все заново. Похоже осталась какая-то вирусня. Логи прикладываю.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 16.05.2016, 21:20

Уважаемый(ая) romikovich, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 17.05.2016, 19:29

Выполните скрипт в AVZ:

Код:

begin
 QuarantineFile('C:\Users\Roman\AppData\Local\Microsoft\Macromed\Flash Player\Updater Startup Utility\43D96326-984D-4F75-A99F-00EB10993A12.exe', '');
 QuarantineFile('C:\Users\Roman\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
 DeleteFile('C:\Users\Roman\AppData\Local\Microsoft\Macromed\Flash Player\Updater Startup Utility\43D96326-984D-4F75-A99F-00EB10993A12.exe', '32');
 DeleteFile('C:\Users\Roman\AppData\Local\Microsoft\Extensions\extsetup.exe', '32');
 DeleteFileMask('c:\users\roman\appdata\local\microsoft\macromed\flash player\updater startup utility', '*', true);
 DeleteFileMask('c:\users\roman\appdata\local\microsoft\extensions', '*', true);
 DeleteDirectory('c:\users\roman\appdata\local\microsoft\macromed\flash player\updater startup utility');
 ExecuteFile('schtasks.exe', '/delete /TN "extsetup" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SafeBrowser" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "AE67E1240-B09C-413F-B167-AD07053D84C1" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'E67E1240-B09C-413F-B167-AD07053D84C1');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'SafeBrowser');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**romikovich** · 18.05.2016, 19:47

Карантин прислал, результаты сканирования Farbar прикрепляю в архиве.

**Vvvyg** · 18.05.2016, 20:12

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
CHR HomePage: Default -> mail.ru/cnt/11956636?gp=801406
FF SelectedSearchEngine: Поиск@Mail.Ru
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}&fr=chxtn7.0.2__PARAM__
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
CHR HKLM-x32\...\Chrome\Extension: [palmggefdfeikonghaeongkabmgcagco] - hxxps://clients2.google.com/service/update2/crx
2016-05-11 08:55 - 2016-05-11 19:05 - 00000000 ____D C:\Users\Roman\AppData\Local\Kometa
2016-05-11 08:55 - 2016-05-11 19:05 - 00000000 ____D C:\Users\Roman\AppData\Local\Amigo
2016-05-06 20:24 - 2016-05-07 15:00 - 00000000 ____D C:\Users\Roman\AppData\Roaming\Microsoft\Windows\Start Menu\Боковая панель - Комета
2016-05-06 20:24 - 2016-05-06 20:28 - 00000000 ____D C:\Users\Roman\AppData\Local\NetBoxLogs
2016-05-06 20:22 - 2016-05-06 20:22 - 00000000 ____D C:\Users\Roman\AppData\Local\Вoйти в Интeрнет
2016-05-06 20:19 - 2016-05-06 20:19 - 00000000 ____D C:\Users\Roman\AppData\Local\Macromedia
2016-05-06 20:18 - 2016-05-06 22:13 - 00000000 __SHD C:\ProgramData\KRB Updater Utility
2016-05-06 20:18 - 2016-05-06 20:18 - 00000000 ____D C:\Users\Roman\AppData\Roaming\Awesomium
2016-05-06 20:18 - 2016-05-06 20:18 - 00000000 ____D C:\Users\Roman\AppData\Local\Поиcк в Интeрнете
Task: {8617875B-26DD-44F2-AB52-CF6FB8848F91} - \Microsoft\KRBUUS\KRBLNKRUN -> No File <==== ATTENTION
Task: {B61EF600-A1EC-44B7-AB16-E511C84D656A} - \Microsoft\KRBUUS\KRB Updater Utility Service -> No File <==== ATTENTION
Task: {D56A1E53-9A52-4D3D-B203-21D18E925788} - System32\Tasks\Microsoft\Windows\extsetup => C:\Users\Roman\AppData\Local\Microsoft\Extensions\extsetup.exe
Task: {DA883230-99FF-4F49-8743-02391D646EC0} - System32\Tasks\Microsoft\Windows\SafeBrowser => C:\Users\Roman\AppData\Local\Microsoft\Extensions\extsetup.exe
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

**romikovich** · 18.05.2016, 21:12

После перезагрузки зашел в Хром и увидел, что все расширения, которые были кроме Adblock'a, удалились, и стоит только этот ClickPlus. Плюс пароли слетели со страниц. Fixlog приложил.

**Vvvyg** · 18.05.2016, 21:22

Расширения фиксом не удалялись. Удалите ClickPlus, по логам его не видно, установите нужные.

**romikovich** · 18.05.2016, 21:33

Все сделал. Нужные расширение поставил, ClickPlus удалил. Перезагрузился, все расширения на месте, все работают, но ClickPlus все равно появляется.

**Vvvyg** · 18.05.2016, 21:38

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

**romikovich** · 18.05.2016, 22:04

Сделано.

**Vvvyg** · 18.05.2016, 22:56

Отключите до перезагрузки все экраны Avast и выполните скрипт в uVS:

Код:

;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
OFFSGNSAVE
delref %SystemDrive%\USERS\ROMAN\APPDATA\LOCAL\MICROSOFT\MACROMED\FLASH PLAYER\UPDATER STARTUP UTILITY\43D96326-984D-4F75-A99F-00EB10993A12.EXE
delref %SystemDrive%\USERS\ROMAN\APPDATA\LOCAL\MICROSOFT\EXTENSIONS\EXTSETUP.EXE
delref HTTP://BASADY.RU/?UTM_SOURCE=STARTPAGE03&UTM_CONTENT=7CB2125CE908F003E959EA6AE2E2CE37&UTM_TERM=B9927B1996BEF8F3EFF00BFFDD2A3841&UTM_D=20160506
delref BOOSTSPEED.EXE
deltmp
restart

Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Привязка к учётке Google в Хроме есть?

**romikovich** · 18.05.2016, 23:23

Сделал. Да, привязка в Хроме есть.

**Vvvyg** · 18.05.2016, 23:42

Уберите и проверьте, что с этим расширением.

**romikovich** · 18.05.2016, 23:52

Убрал, перезагрузил, все равно появляется CickPlus. Тогда снова убрал привязку, удалил расширение, удалил браузер, опять установил браузер, снова привязал аккаунт Гугл, перезагрузил компьютер и вроде все, ClickPlus не появился. Думаю помогло, спасибо.

**Vvvyg** · 19.05.2016, 08:38

В Avast: Настойки -> Антивирусная защита -> Экран файловой системы -> чувствительность -> поставить галку на "Искать потенциально нежелательные программы (ПНП)".
Убедитесь также, что включены в разделе настройки -> Антивирус DeepScreen и Усиленный режим хотя бы как "Умеренный". Это хоть как-то оградит от запуска разных мусорных программ.

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

**CyberHelper** · 19.05.2016, 08:48

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\users\roman\appdata\local\microsoft\macromed\fl ash player\updater startup utility\43d96326-984d-4f75-a99f-00eb10993a12.exe - not-a-virus:Downloader.NSIS.Agent.afp