В google chrome поисковик перенаправляет на mail.ru [Trojan-Downloader.Win32.Adload.jyrq ]

**Evgesha-174** · 01.11.2016, 09:26

После установки фотошопа (скаченного из интернета) стали появляться ярлыки на рабочем столе. В браузере google chrome (по умолчанию стоит поисковик google) при запросе переходит на поисковик mail.ru, помимо этого в браузере открываются сами по себе рекламные вкладки и на страницах таких как vk.com появилось очень много рекламы. Расширений в браузере лишних нет, не знаю что делать. Помогите пожалуйста

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 01.11.2016, 09:27

Уважаемый(ая) Evgesha-174, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 01.11.2016, 15:45

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files (x86)\screenup\future_helper.exe');
 TerminateProcessByName('c:\users\Евгений\appdata\local\filterstart\filterstart.exe');
 QuarantineFile('c:\users\Евгений\appdata\local\filterstart\filterstart.exe', '');
 QuarantineFileF('C:\Program Files (x86)\Youtube AdBlock\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Евгений\AppData\LocalLow\SearchGo\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Евгений\AppData\Local\FilterStart', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Евгений\AppData\Local\FileSystemDriver', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Евгений\AppData\Local\fupdate\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe', '');
 QuarantineFileF('C:\Program Files (x86)\ScreenUp', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('c:\users\Евгений\appdata\local\filterstart\filterstart.exe', '32');
 DeleteFile('c:\program files (x86)\screenup\future_helper.exe', '32');
 DeleteFile('C:\Windows\Tasks\Update Service for Youtube AdBlock.job', '32');
 DeleteFile('C:\Windows\Tasks\Update Service for Youtube AdBlock2.job', '32');
 DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe');
 ExecuteFile('schtasks.exe', '/delete /TN "Additional RunTime Mgr" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "FileSystemDriver" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Language Custom Mgr" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "PC Manifest Mgr" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Update Service for Youtube AdBlock" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Update Service for Youtube AdBlock2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{8ADF8F70-17D3-4093-85CB-547B5B117EC5}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{B02A40C0-D6D4-4671-8F93-D4FC51680700}" /F', 0, 15000, true);
 DeleteFileMask('C:\Program Files (x86)\Youtube AdBlock\', '*', true);
 DeleteFileMask('C:\Users\Евгений\AppData\LocalLow\SearchGo\', '*', true);
 DeleteFileMask('C:\Users\Евгений\AppData\Local\FilterStart', '*', true);
 DeleteFileMask('C:\Users\Евгений\AppData\Local\FileSystemDriver', '*', true);
 DeleteFileMask('C:\Users\Евгений\AppData\Local\fupdate\', '*', true);
 DeleteDirectory('C:\Program Files (x86)\Youtube AdBlock\');
 DeleteDirectory('C:\Users\Евгений\AppData\LocalLow\SearchGo\');
 DeleteDirectory('C:\Users\Евгений\AppData\Local\FilterStart');
 DeleteDirectory('C:\Users\Евгений\AppData\Local\FileSystemDriver');
 DeleteDirectory('C:\Users\Евгений\AppData\Local\fupdate\');
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
 DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
ExecuteSysClean;
 ExecuteRepair(1);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

**Evgesha-174** · 06.11.2016, 10:55

Все сделал как Вы сказали

**regist** · 06.11.2016, 11:08

Расширения Поиск, Стартовая от Mail.ru и Yandex сами ставили?

**Evgesha-174** · 06.11.2016, 11:14

нет, в том то и дело, это все появилось после установки фотошопа

- - - - -Добавлено - - - - -

в настройках браузера этих расширений нет

**regist** · 06.11.2016, 11:32

Выполните скрипт в uVS и пришлите карантин

Код:

;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
dirzoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\VALIDATELIFE
dirzooex %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\LASTNEWS
dirzooex %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\IMMEDIATEHELP
dirzooex %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\TESTMENU
deldir %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\VALIDATELIFE
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\LASTNEWS\REGCHECK.VBS
bl 54E3A82208F75FDF5E09D32BDA2854DF 420
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\LASTNEWS\REGCHECK.VBS
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\IMMEDIATEHELP\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\IMMEDIATEHELP\REGCHECK.VBS
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\TESTMENU\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\TESTMENU\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\7.0.30_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CCFIFBOJENKENPKMNBNNDEADPFDIFFOF\11.0.26_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
dirzooex %SystemDrive%\PROGRAM FILES (X86)\SCREENUP
zoo %SystemDrive%\PROGRAM FILES (X86)\SCREENUP\NFAPI.DLL
bl BA65137DB6866A73E3C7B649E04F3AFE 141824
delall %SystemDrive%\PROGRAM FILES (X86)\SCREENUP\NFAPI.DLL
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\PC MANIFEST MGR.EXE
bl 44F4FD2545372EB4918AF95670BAC1F8 13312
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\PC MANIFEST MGR.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GTA SAN ANDREAS\SAMPARC.DLL
delall HTTP:\\WWW.MAIL.RU\CNT\20775012?GP=811008
delall HTTP:\\RIGNEDA.RU\?UTM_SOURCE=STARTLINK03&UTM_CONTENT=ADBF052057E305ED7ECCE74202676864&UTM_TERM=7351F7B90BA768A54788753AFCEFB6EE&UTM_D=20161031
delall HTTP://MAIL.RU/CNT/10445?GP=818407
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\FILESYSTEMOPTIONS\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\FILESYSTEMOPTIONS\REGCHECK.VBS
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\DATEOPTION\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\DATEOPTION\REGCHECK.VBS
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\RIGHTCHOSE\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\RIGHTCHOSE\REGCHECK.VBS
zoo %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\FILTEROPTIONS\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\FILTEROPTIONS\REGCHECK.VBS
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCALLOW\SEARCHGO\SEARCHGO.DLL
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JDFONANKHFNHIHDCPAAGPABBAOCLNJFP\1.2.0.1_0\ПОИСК  ЯНДЕКСA
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_0\ПОИСК MAIL.RU
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BHJCGOMKANPKPBLOKEBECKNHAHGKCMOO\1.2.0.4_0\ПОИСК И СТАРТОВАЯ  – ЯНДЕКС
delall %SystemDrive%\USERS\ЕВГЕНИЙ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK\1.2.0.4_0\СТАРТОВАЯ — ЯНДЕКС
delall HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBHJCGOMKANPKPBLOKEBECKNHAHGKCMOO%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCPEGCOPCFAJIIIBIDLAELHJJBLPEFBJK%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDFONANKHFNHIHDCPAAGPABBAOCLNJFP%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC
czoo
restart

Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
В меню Tools ->Options (Инструменты ->Настройки) отметьте:
- Сброс политик IE
- Сброс политик Chrome
Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

**Evgesha-174** · 06.11.2016, 11:51

Вот

**regist** · 06.11.2016, 15:11

Сделайте свежий образ автозапуска в uVS.

**Evgesha-174** · 06.11.2016, 18:18

Не могу прикрепить файл, так как не могу его загрузить с помощью Управления вложениями

**regist** · 06.11.2016, 18:51

закачайте архив на любой файлообменник, не требующий ввода капчи (например: Zippyshare, My-Files.RU) оставьте здесь ссылку на скачивание.

**Evgesha-174** · 06.11.2016, 19:29

http://www119.zippyshare.com/v/LbQFPjC8/file.html

**regist** · 06.11.2016, 21:00

Выполните скрипт в uVS

Код:

;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
uidel  C:\Program Files (x86)\ScreenUp\uninst.exe
zoo %SystemDrive%\PROGRAM FILES (X86)\SCREENUP\UNINST.EXE
bl E1C11E25E5AB9D4C5941ED6EEE6BD3B3 22528
delall %SystemDrive%\PROGRAM FILES (X86)\SCREENUP\UNINST.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\YOUTUBE ADBLOCK\IEEF\DZRRMV.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\SCREENUP
delall HTTP://GO.MAIL.RU/DISTIB/EP/?PRODUCT_ID=%7BC9108527-EEEB-48ED-8E8A-594227CAAC06%7D&GP=811014
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
czoo
restart

что с проблемой?

**Evgesha-174** · 07.11.2016, 08:15

Все сделал как сказали, проблема не исчезла
все так же когда пишу в поисковике гугл, меня перенаправляет на майл
searche-engine.ru/?ref=aoy67&q=привет&subId=
вот такая ссылка появляется, а потом майл

**regist** · 07.11.2016, 08:36

скачайте отсюда Оперу и проверьте проблему в ней.

**Evgesha-174** · 07.11.2016, 09:00

в опере все нормально, попробовать переустановить хром?

**regist** · 07.11.2016, 09:33

Отключите все расширения в браузере и проверяйте проблему.

**Evgesha-174** · 07.11.2016, 09:48

Спасибо, проблема исчезла, только этот фотошоп никак не могу удалить

**regist** · 07.11.2016, 18:03

Попробуйте включить только расширение Документы Google и ещё раз проверьте проблему.

Если не проявится, то включайте по одному и смотрите после какого появится.

**CyberHelper** · 07.11.2016, 18:13

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 81
В ходе лечения обнаружены вредоносные программы:
1. \pc manifest mgr.exe._dbd39bacfd2155d0b294aa40cac93a7dd4a6413a - Trojan-Downloader.Win32.Adload.jyrq

В google chrome поисковик перенаправляет на mail.ru [Trojan-Downloader.Win32.Adload.jyrq ] (заявка № 205399)

Опции темы