Расширение для хрома Fast Search и поиск через маил ру.

[Live Whisper]

очень нужна помощь. использовал различные утилиты. но не помогает. каждый раз при перезапуске гугл хрома включается расширение Fast Search, из-за которого поиск через гугл ищет через майл ру. После его удаления всё вроде нормально , но после перезапуска браузера оно снова на месте. очень нужна помощь. скину логи и всё необходимое. Без имени-2.jpg

[Info_bot]

Уважаемый(ая) Live Whisper, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Live Whisper]

прикрепил логи

[mrak74]

Здравствуйте !!!

отключите антивирусную программу

Выполните скрипт в AVZ:(в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Live Whisper]

сделал

[mrak74]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Live Whisper]

готово. расширение для хрома всё ещё возвращается после удаления

[mrak74]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  
  

  CreateRestorePoint:
  CloseProcesses:
  HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {bfeea836-1273-11e5-8edc-a9a99950ba79} - G:\.\StartModem.exe
  HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {ccb998a4-462d-11e5-95ce-f09af6ecd964} - G:\LGAutoRun.exe
  HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {d0b47630-3f3d-11e4-8cfa-485ab66ca384} - G:\AutoRun.exe
  HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {e1c73bc9-6666-11e5-8410-c0b33aed5de8} - H:\LGAutoRun.exe
  HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {eeb06e4d-ee5d-11e3-9238-485ab66ca384} - F:\RunThis.exe
  HKU\S-1-5-21-3154799819-4227965079-1599027789-1000\...\MountPoints2: {f4ee7335-5ba4-11e5-bbd6-ef846676b446} - G:\AutoRun.exe
  AppInit_DLLs: C:\Windows\system32\nvinitx.dll => C:\Windows\system32\nvinitx.dll [181488 2016-08-26] (NVIDIA Corporation)
  AppInit_DLLs-x32: C:\Windows\SysWOW64\nvinit.dll => C:\Windows\SysWOW64\nvinit.dll [159352 2016-08-26] (NVIDIA Corporation)
  Startup: C:\Users\MegaKomp\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\USB Disk Security.lnk [2014-06-07]
  ShortcutTarget: USB Disk Security.lnk -> C:\Program Files (x86)\USB Disk Security\USBGuard.exe (No File)
  GroupPolicy: Restriction <======= ATTENTION
  GroupPolicy\User: Restriction <======= ATTENTION
  GroupPolicyScripts: Restriction <======= ATTENTION
  FF Plugin: @esn/npbattlelog,version=2.5.1 -> C:\Program Files (x86)\Battlelog Web Plugins\2.5.1\npbattlelogx64.dll [No File]
  FF Plugin-x32: @adobe.com/AuthorwarePlayer -> C:\Windows\system32\Macromed\AUTHORWA\np32asw.dll [No File]
  FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\system32\Adobe\Director\np32dsw_1207148.dll [No File]
  FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/vnd.fdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
  FF Plugin-x32: pmang.jp/pmangdiagnostic-1 -> D:\Games\GameOn\BlackDesert_live\Common files\nppmangdiagnostic.dll [No File]
  FF Plugin-x32: pmang.jp/pmangsupport-1 -> D:\Games\GameOn\BlackDesert_live\Common files\nppmangsupport.dll [No File]
  FF Plugin HKU\S-1-5-21-3154799819-4227965079-1599027789-1000: @nsroblox.roblox.com/launcher -> C:\Program Files (x86)\Roblox\Versions\version-f7131a583a8d4ea7\\NPRobloxProxy.dll [No File]
  FF Plugin HKU\S-1-5-21-3154799819-4227965079-1599027789-1000: @nsroblox.roblox.com/launcher64 -> C:\Program Files (x86)\Roblox\Versions\version-f7131a583a8d4ea7\\NPRobloxProxy64.dll [No File]
  FF Plugin-x32: @esn/npbattlelog,version=2.4.0 -> C:\Program Files (x86)\Battlelog Web Plugins\2.4.0\npbattlelog.dll [No File]
  FF Plugin-x32: @esn/npbattlelog,version=2.5.1 -> C:\Program Files (x86)\Battlelog Web Plugins\2.5.1\npbattlelog.dll [No File]
  FF Plugin-x32: @foxitsoftware.com/Foxit Reader Plugin,version=1.0,application/pdf -> C:\Program Files (x86)\Foxit Software\Foxit Reader\plugins\npFoxitReaderPlugin.dll [No File]
  CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\Default\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
  CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\Guest Profile\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
  CHR Extension: (Fast search) - C:\Users\MegaKomp\AppData\Local\Google\Chrome\User Data\System Profile\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-11-25]
  CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
  OPR Extension: (VK-Download) - C:\Users\MegaKomp\AppData\Roaming\Opera Software\Opera Stable\Extensions\ildkkhljjpmpfhdfielmpmjhdnfkcnog [2014-08-30]
  OPR Extension: (zheka-mastero) - C:\Users\MegaKomp\AppData\Roaming\Opera Software\Opera Stable\Extensions\ipkdhmegpdbbckflpmokchoeajfngbad [2014-06-08]
  2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\Users\Все пользователи\ntuser.pol
  2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\ProgramData\ntuser.pol2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\Users\Все пользователи\ntuser.pol
  2016-11-12 15:39 - 2016-11-25 18:03 - 00000398 __RSH C:\ProgramData\ntuser.pol
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Live Whisper]

сделано. может нужна информация об этом расширении? может поможет что-нибудь? Могу сделать скриншоты и т.д.

[mrak74]

Могу сделать скриншоты и т.д.

Скриншот всех расширений в Google Chrome.

[Live Whisper]

вот оно. злоБез имени-1.jpg

[mrak74]

Сделайте полный образ автозапуска uVS

[Live Whisper]

сделал но прислать не могу. т.к. лимит сайт
а по вложениям превышен

- - - - -Добавлено - - - - -

вот

[mrak74]

Выполните скрипт в uVS Как выполнить скрипт в uVS

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
delref %SystemDrive%\PROGRAMDATA\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\54.0.2840.99\CHROME.DLL
delref D:\GAMES\SAINT ROW\DOWNLOAD MORE GAMES.URL
delref %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\BROWSERS\EXE.REHCNUAL.BAT
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDMPOJJILDDEFGNHIICJCMHBKJGBBCLOB%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\INTERNET EXPLORER (2).LNK
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\GUEST PROFILE\EXTENSIONS
delref %SystemDrive%\USERS\MEGAKOMP\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\SYSTEM PROFILE\EXTENSIONS
delref %SystemDrive%\PROGRAM FILES (X86)\OPERA\LAUNCHER.EXE
delref %SystemDrive%\USERS\MEGAKOMP\DESKTOP\TUNNGLE_SETUP_V5.8.4.EXE
delref D:\DOWNLOADS\CHROMEINSTALL-8U45.EXE
regt 29
regt 28
delnfr
restart
czoo

[Live Whisper]

выполнил. расширение всё равно появляется и включается после перезапуска хрома. лаадно. спасибо за помощь. я смирюсь, наверное. если его просто отключить не удаляя то оно и не включается после перезапуска браузера.

[mrak74]

тут два варианта, либо на компьютере стоит программа из недавно установленных с которой установилось это расширение и через неё же оно восстанавливается, через логи я это не могу определить, не видно. Второй вариант, если расширение восстанавливается после входа в аккаунт Google, то восстанавливается оно через синхронизацию настроек аккауната, временно можно попробовать отключить синхронизацию, смысла нет если Вы не заходили в аккаунт, это не оно, опять же я этого не вижу в логах.

- - - - -Добавлено - - - - -

P.S. http://virusinfo.info/showthread.php...l=1#post897827

6. Зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2012-08-21_20-05-27.7z) если архив отсутствует, то заархивруйте папку ZOO в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)

Вы не прислали папку ZOO, в ней должен быть файл:

%SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\54.0.2840.99\CHROME.DLL

, у него отсутствует цифровая подпись Googlle и контрольные суммы не похожи на те которые должны быть, возможно он модифицирован (заражен), проверьте его на https://virustotal.com/

[Live Whisper]

сайт показал что файл чист. не могу прикрепить так как максимальный размер вложений уже забит. а удалить предыдущие не получается.

- - - - -Добавлено - - - - -

Сообщите мне если что-нибудь получится узнать. расширение Fast Search. но так же оно называется Tab Hibernation. могу оставить мэйл или же следить дальше за этой темой
http://images.vfl.ru/ii/1480346406/a...3/15133204.jpg так оно выглядит при поиске в магазине расширений.

[mrak74]

Установил себе это расширение, после установки предложило войти в аккаунт Google для синхронизации расширений, в акаунт я не заходил, синхронизацию не делал, удалилось без проблем, после перезапуска браузера не появляется.

[Live Whisper]

хммм. я менял пользователя и тогда оно его находило и был вариант не устанавливать. но всё равно. оно вообще было в архиве с кучей майл шттук поэтому возможно всё же его что-то запускает.

- - - - -Добавлено - - - - -

http://images.vfl.ru/ii/1480354586/3...e/15134953.jpg убрал все синхронизации. отключил расширение , удалил. зашёл с пустого хрома. оно всегда справа в углу отображено вот так, когда включено

Нашёл папку с расширением этим. удалить не могу, пишет сперва закрыть файл и т.д. хотя хром выключен.

Нашёл с чем связано. с процессом Internet Explore.exe при завершении этого процесса он вновь открывается.
успел удалить папку с эти расширением в промкжутке пока эксплорер не включился- он включился и папка появилась
. вот. зависит от Эксплорера. жду дальнейших указаний, надеюсь эта информация поможет устранить проблему

[mrak74]

Сделайте логи RSIT.

Сделайте лог полного сканирования MBAM

И новый FRST, буду сравнивать изменения.

- - - - -Добавлено - - - - -

Нашёл папку с расширением этим.

Какой к нему путь ?