ActiveScriptEventConsumer

[MaximalCra3y]

Доброго времени суток! Нахватался по глупости рекламы, почистил вроде бы всё, кроме вот этой пакости (скриншот).
AdwCleaner обнаруживает, но не удаляет её. Разъясните что это и помогите, если возможно. Спасибо!

[Info_bot]

Уважаемый(ая) MaximalCra3y, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Приложите последний лог AdwCleaner.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Dragokas]

Также,
1) скачайте HiJackThis Fork (debug), нажмите "Main menu", "Do a system scan and save a log file".
Отчёт HiJackThis.log прикрепите к своему сообщению.

2) Скачайте архив List_WMI, распакуйте его.
Запустите из распакованной папки Run.bat
Отчёт WMI.log прикрепите к своему сообщению.

[MaximalCra3y]

Вот, пожалуйста

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
ShellExecuteHooks: No Name - {D42B0386-0925-11E7-92D3-64006A5CFC23} -  -> No File
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} =>  -> No File
CHR DefaultProfile: Profile 2
CHR Profile: C:\Users\Dmitry\AppData\Local\Google\Chrome\User Data\ChromeDefaultData2 [2017-03-22] <==== ATTENTION
S2 surfshieldsrv; C:\WINDOWS\SysWOW64\SurfShield.exe [516096 2017-03-22] () [File not signed]
2017-03-22 18:55 - 2017-03-22 18:55 - 00516096 _____ C:\WINDOWS\SysWOW64\SurfShield.exe
Task: {B6D5EFCE-E8E8-46D2-8300-C35D2FC31102} - \{09080847-0E04-0C05-7D11-790B7F0E117F} -> No File <==== ATTENTION
Task: {D2DD4572-2754-417C-BE16-279E1903F654} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe 
Shortcut: C:\Users\Dmitry\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\!Играть в War Thunder.lnk -> C:\Users\Dmitry\AppData\Roaming\MyDesktop\linkme.exe (No File) <===== Cyrillic
Shortcut: C:\Users\Dmitry\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\!Играть в Спарту.lnk -> C:\Users\Dmitry\AppData\Roaming\MyDesktop\linkme.exe (No File) <===== Cyrillic
ShortcutWithArgument: C:\Users\Dmitry\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  --load-extension="C:\Users\Dmitry\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://qtipr.com/
ShortcutWithArgument: C:\Users\Dmitry\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://qtipr.com/
ShortcutWithArgument: C:\Users\Public\Desktop\Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) ->  --load-extension="C:\Users\Dmitry\AppData\Local\kemgadeojglibflomicgnfeopkdfflnk" hxxp://qtipr.com/
FirewallRules: [{4BE6E7A1-9D4A-43E5-8BA5-B8E1DF08DA9C}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{15DF4B98-DDE5-41B2-9A01-0AF5B0E3D080}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{3CA7DC83-C235-4789-9078-74E1FA92E081}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{07C3638D-EB39-45FF-9AA9-ED6321356349}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{CBB1A724-D947-48B2-8F58-C62ED813DE69}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{800A3B55-01E1-4B3F-8BCC-D99BE645BAC1}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{C57D9A14-516D-4F5A-9693-322A27EB1385}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
FirewallRules: [{0E161DD7-B7C9-41D2-8F29-2012E94EA312}] => (Allow) C:\WINDOWS\SysWOW64\SurfShield.exe
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[MaximalCra3y]

Сделал всё по инструкции, проблема не ушла, AdwCleaner также обнаруживает ActiveScriptEventConsumer.
Вот фикс-лог FRST:

[Vvvyg]

Прикрепите последний лог очистки Adwcleaner, с буквой C вместо S в имени.

Такой fixlist.txt примените в FRST:

WMI_ActiveScriptEventConsumer_ASEC: <===== ATTENTION

Fixlog.txt прикрепите к своему сообщению.

[MaximalCra3y]

Вот, пожалуйста:

P.S. После последнего фикса, проблема ушла, AdwCleaner больше не обнаруживает угроз.

[Vvvyg]

Проблема решена?

[MaximalCra3y]

Теперь всплыла новая, при каждом открытии Chrome появляются вот такие гадости:

P.S. Очистка AdwCleaner'ом не даёт результата, при последующем открытии браузера они появляются вновь.
P.P.S. При использовании IExplorer заражения не наблюдается.

[Vvvyg]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[MaximalCra3y]

Вот, пожалуйста:

[Vvvyg]

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

delref HTTP://OVGORSKIY.RU
delref HTTP://ISTART.WEBSSEARCHES.COM/?TYPE=HP&TS=1422782854&FROM=KEY7&UID=HGSTXHTS545050A7E380_TM85014C0TS3HL0TS3HLX
delref HTTP://MAIL.RU/CNT/10445?GP=811036
delref HTTP://MAIL.RU/CNT/10445?GP=820321
delref HTTP://MAIL.RU/CNT/10445?GP=832066
delref HTTP://WWW.YOUNDOO.COM/?Z=59F45FA9739F79C960CAFFFG0Z5T5E4GCM2OFCAO3O&FROM=3GS&UID=HGSTXHTS545050A7E380_TM85014C0TS3HL0TS3HLX&TYPE=HP
delref C:\PROGRAMDATA\7DC8B0A9-00C1-1\7DC8B0A9-00C1-1.D
delref C:\PROGRAMDATA\7DC8B0A9-7167-0\7DC8B0A9-7167-0.D
deltmp
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

[MaximalCra3y]

Готово:

[Vvvyg]

Что с проблемой?

[MaximalCra3y]

Проблема к сожалению осталась. AdwCleaner обнаруживает те же самые угрозы.

[Vvvyg]

Новые логи FRST сделайте.