Атака вируса greenade.men

[4a6kin]

Уважаемые товарищи!
Прошу оказать содействие в восстановлении работоспособности системы. Работа в браузере стала невозможной в виду постоянного автозапуска вредоносной ПО "greenade.men".
Не так часто, но с завидным постоянством, при работе в chrome всплывают окна с рекламой в виде видео файлов с озвучкой. Пока не закроешь страничку будет орать.
Кроме того, имел неосторожность удалить папку temp на системном диске после чего всплывающие окна типа "не найден htpp://google.ru..." и подобные окна стали постоянной проблемой.

Надеюсь на помощь.

С уважением, Максим.

[Info_bot]

Уважаемый(ая) 4a6kin, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[4a6kin]

Выручайте, злодей вообще в инет не дает выйти.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll', '');
 QuarantineFile('C:\Users\max\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFile('C:\Users\max\AppData\LocalLow\SearchGo\searchgo.dll', '');
 QuarantineFile('C:\Users\max\AppData\Roaming\Microsoft\msi.exe', '');
 QuarantineFile('C:\Users\max\AppData\Roaming\SETUPS~1\ml.py', '');
 QuarantineFile('C:\Users\max\AppData\Roaming\SETUPS~1\python\pythonw.exe', '');
 QuarantineFile('C:\Users\max\AppData\Roaming\setupsk\ml.py', '');
 QuarantineFile('C:\Users\max\AppData\Roaming\setupsk\python\pythonw.exe', '');
 DeleteFile('C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll', '32');
 DeleteFile('C:\Users\max\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
 DeleteFile('C:\Users\max\AppData\Local\SearchGo\searchgo.exe', '32');
 DeleteFile('C:\Users\max\AppData\LocalLow\SearchGo\searchgo.dll', '32');
 DeleteFile('C:\Users\max\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk');
 DeleteFile('C:\Users\max\AppData\Roaming\Microsoft\msi.exe', '32');
 DeleteFile('C:\Users\max\AppData\Roaming\SETUPS~1\ml.py', '32');
 DeleteFile('C:\Users\max\AppData\Roaming\SETUPS~1\python\pythonw.exe', '32');
 DeleteFile('C:\Users\max\AppData\Roaming\setupsk\ml.py', '32');
 DeleteFile('C:\Users\max\AppData\Roaming\setupsk\python\pythonw.exe', '32');
 DeleteFile('C:\Users\max\Favorites\Links\Интернет.url');
 ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "setupsk" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "setupsk_upd" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "StartMenuCache" /F', 0, 15000, true);
 DeleteFileMask('c:\program files (x86)\juqgehuwuk cache', '*', true);
 DeleteFileMask('c:\users\max\appdata\local\searchgo', '*', true);
 DeleteFileMask('c:\users\max\appdata\locallow\searchgo', '*', true);
 DeleteFileMask('c:\users\max\appdata\roaming\setups~1', '*', true);
 DeleteFileMask('c:\users\max\appdata\roaming\setupsk', '*', true);
 DeleteDirectory('c:\program files (x86)\juqgehuwuk cache');
 DeleteDirectory('c:\users\max\appdata\local\searchgo');
 DeleteDirectory('c:\users\max\appdata\locallow\searchgo');
 DeleteDirectory('c:\users\max\appdata\roaming\setups~1');
 DeleteDirectory('c:\users\max\appdata\roaming\setupsk');
 DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Browser Manager');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'forjtietpj');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteRepair(23);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{089680CB-B4FB-4165-90C8-65A5916A5A35} [URL] = http://pelyena.ru/search?q={searchTerms} - WSearch
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{A06ED961-D98F-4CF9-A89B-80AB11DB149C} [URL] = http://pelyena.ru/search?q={searchTerms} - WSearch
O21 - ShellExecuteHooks: (no name) - {7FBEA058-DE40-11E6-83E9-64006A5CFC23} - C:\Users\max\AppData\Roaming\Kowelystzother\Shuquty.dll (file missing) (disabled)

Сделайте новый лог такой версией Autologger.

Сделайте лог Malwarebytes AdwCleaner.

[4a6kin]

Уважаемый Хелпер!
К сожалению отправить карантин через ссылку не удалось, по ранее описанным в личном сообщении обстоятельствам, поэтому прикрепляю этот файл (карантин) в числе остальных, Вами запрошенных.
Заранее благодарен
С уважением, Максим

[Vvvyg]

Не надо крепить карантин к сообщению, это запрещено правилами, он либо содержит вирусы, либо пуст, как в Вашем случае.

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

- [HTTP][MASK][h][s] "C:\Users\max\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk"        -> ["C:\Windows\explorer.exe"  =>> "hxxp://bidonti.ru/?utm_source=startlink03&utm_content=eb665dd90f9cf4c3bc745836cd68616f&utm_term=8D9907B91747DFBFBF48F9A43FF3CAC6&utm_d=20170507"]
- [HTTP][MASK][h][s] "C:\Users\max\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk"    -> ["C:\Windows\explorer.exe"  =>> "hxxp://bidonti.ru/?utm_source=startlink03&utm_content=eb665dd90f9cf4c3bc745836cd68616f&utm_term=8D9907B91747DFBFBF48F9A43FF3CAC6&utm_d=20170507"]
- "C:\Users\max\Favorites\Links\Интернет.url"  ->                  hxxp://bidonti.ru/?utm_source=favorites03&utm_content=07f10acfdd595fd238ff18cc26437193&utm_term=8D9907B91747DFBFBF48F9A43FF3CAC6&utm_d=20170507

Отчёт о работе прикрепите.

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

[4a6kin]

Все сделал согласно Вашей инструкции. Какие мои дальнейшие действия?

[Vvvyg]

Вы сделали не очистку, а ещё одно сканирование в adwcleaner.

[4a6kin]

Прошу прощения на буковки в конце не обратил внимания (Scan, Clean).

[Vvvyg]

Проблема решена?

[4a6kin]

к сожалению нет

- - - - -Добавлено - - - - -

всплывает тоже окно grenade.men

[Vvvyg]

Отключите все расширения в Chrome, если пропадёт реклама - подключайте по одному, проверяйте эффект.
Сообщите результат.

[4a6kin]

как это сделать? алгоритм

[Vvvyg]

https://support.google.com/chromeboo.../2589434?hl=ru

[4a6kin]

Спасибо. Проблемы больше нет. Расширение Документы гугл удалил.

[Vvvyg]

Запустите AdwCleaner и нажмите Файл (File) -> Деинсталлировать (Uninstall).

Выполните рекомендации после лечения.