Р*екламные сайты РІ браузере [not-a-virus:HEUR:AdWare.Win32.Generic]

[loyaute_au]

Здравствуйте. Сегодня с глупой надеждой скачала файл с предполагаемой программой с сайта не надо рекламировать плохие сайты. После запуска установки открылась папка где-то на диске С (не запомнила и не нашла еще сейчас), в ней начали появляться непонятные иконки новых файлов. Компьютер выключила. После перезагрузки в Google Chrome каждые минуту-две автоматически открывается вкладка на сайты 1xdlu.host, noty.info, screenwatch.yournewtab.com и другие, некоторые из них блокирует uBlock (go.onclasrv.com). В диспетчере задач висят программы 2z4h, yOHXYPmA_V, может быть, что-то еще подозрительное, но не могу вычленить. Если закрыть эти две через диспетчер, вкладки перестают открываться. Avast не реагирует.

[Info_bot]

Уважаемый(ая) loyaute_au, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\program files (x86)\vtgterredie\cszgcaytlk.exe');
 TerminateProcessByName('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe');
 TerminateProcessByName('C:\Users\Ksju\AppData\Local\Temp\F6J9VQPED1\8MY9.exe');
 TerminateProcessByName('C:\Windows\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.277.811.0.exe');
 StopService('nfstat');
 QuarantineFile('C:\Program Files (x86)\deoRkBcMU\iUkxJV.dll', '');
 QuarantineFile('C:\Program Files (x86)\MOLP\6260339.exe', '');
 QuarantineFile('C:\Program Files (x86)\Multitimer\Multitimer.exe', '');
 QuarantineFile('C:\Program Files (x86)\NOOfCcUskYMcdeyIflR\fvYHRME.dll', '');
 QuarantineFile('C:\Program Files (x86)\pObWEjsjndqU2\yiVURkjxwJMVs.dll', '');
 QuarantineFile('c:\program files (x86)\vtgterredie\cszgcaytlk.exe', '');
 QuarantineFile('C:\Program Files (x86)\vTGTErrEdIE\HiaJ7v.dll', '');
 QuarantineFile('C:\Program Files (x86)\vTGTErrEdIE\kqh6KABq.dll', '');
 QuarantineFile('C:\Program Files (x86)\YaNQOzjyhjQoC\zwixAfy.dll', '');
 QuarantineFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\p7uUQP_cKa.exe', '');
 QuarantineFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe', '');
 QuarantineFile('C:\ProgramData\CvclQZOtucyvVSVB\JdHsSsk.wsf', '');
 QuarantineFile('C:\Users\Ksju\AppData\Local\Temp\F6J9VQPED1\8MY9.exe', '');
 QuarantineFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python3.dll', '');
 QuarantineFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python37.dll', '');
 QuarantineFile('C:\Windows\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.277.811.0.exe', '');
 QuarantineFile('C:\WINDOWS\System32\drivers\nfstat.sys', '');
 DeleteFile('C:\Program Files (x86)\deoRkBcMU\iUkxJV.dll', '');
 DeleteFile('C:\Program Files (x86)\MOLP\6260339.exe', '64');
 DeleteFile('C:\Program Files (x86)\Multitimer\Multitimer.exe', '32');
 DeleteFile('C:\Program Files (x86)\NOOfCcUskYMcdeyIflR\fvYHRME.dll', '');
 DeleteFile('C:\Program Files (x86)\pObWEjsjndqU2\yiVURkjxwJMVs.dll', '');
 DeleteFile('c:\program files (x86)\vtgterredie\cszgcaytlk.exe', '');
 DeleteFile('C:\Program Files (x86)\vTGTErrEdIE\HiaJ7v.dll', '');
 DeleteFile('C:\Program Files (x86)\vTGTErrEdIE\kqh6KABq.dll', '');
 DeleteFile('C:\Program Files (x86)\YaNQOzjyhjQoC\zwixAfy.dll', '');
 DeleteFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\p7uUQP_cKa.exe', '64');
 DeleteFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe', '');
 DeleteFile('C:\Program Files\WindowsPowerShell\CQHA6LBNJ39XVZPATG2FVPHN90YF63DWRHF3QN\yOHXYPmA_V.exe', '32');
 DeleteFile('C:\ProgramData\CvclQZOtucyvVSVB\JdHsSsk.wsf', '');
 DeleteFile('C:\Users\Ksju\AppData\Local\Temp\F6J9VQPED1\8MY9.exe', '');
 DeleteFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python3.dll', '');
 DeleteFile('C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python37.dll', '');
 DeleteFile('C:\Windows\SoftwareDistribution\Download\Install\AM_Delta_Patch_1.277.811.0.exe', '');
 DeleteFile('C:\WINDOWS\System32\drivers\nfstat.sys', '');
 ExecuteFile('schtasks.exe', '/delete /TN "GItHvXoKUgtwAW" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "LgUiZWCNTEYJs2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "qZkEPNCGHOoYARSao2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "RzmVfSQvlkpVqKr2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "zkqtSUqvflBJtZIfTnB2" /F', 0, 15000, true);
 DeleteService('nfstat');
 DeleteFileMask('c:\program files (x86)\deorkbcmu', '*', true);
 DeleteFileMask('c:\program files (x86)\multitimer', '*', true);
 DeleteFileMask('c:\program files (x86)\noofccuskymcdeyiflr', '*', true);
 DeleteFileMask('c:\program files (x86)\pobwejsjndqu2', '*', true);
 DeleteFileMask('c:\program files (x86)\vtgterredie', '*', true);
 DeleteFileMask('c:\program files (x86)\yanqozjyhjqoc', '*', true);
 DeleteFileMask('c:\program files\windowspowershell\cqha6lbnj39xvzpatg2fvphn90yf63dwrhf3qn', '*', true);
 DeleteFileMask('c:\programdata\cvclqzotucyvvsvb', '*', true);
 DeleteFileMask('c:\users\ksju\appdata\local\temp\f6j9vqped1', '*', true);
 DeleteDirectory('c:\program files (x86)\deorkbcmu');
 DeleteDirectory('c:\program files (x86)\multitimer');
 DeleteDirectory('c:\program files (x86)\noofccuskymcdeyiflr');
 DeleteDirectory('c:\program files (x86)\pobwejsjndqu2');
 DeleteDirectory('c:\program files (x86)\vtgterredie');
 DeleteDirectory('c:\program files (x86)\yanqozjyhjqoc');
 DeleteDirectory('c:\program files\windowspowershell\cqha6lbnj39xvzpatg2fvphn90yf63dwrhf3qn');
 DeleteDirectory('c:\programdata\cvclqzotucyvvsvb');
 DeleteDirectory('c:\users\ksju\appdata\local\temp\f6j9vqped1');
 DelBHO('{4380B7D5-B068-48A8-9012-70B2490292FB}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'yOHXYPmA_V.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Multitimer');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'OMEWPRODUCT_');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'rwzue5lldol');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог такой версией Autologger.

[loyaute_au]

Прикрепляю новый лог.
После выполнения скрипта в AVZ выпадает окно с сообщением о поврежденной корзине.

[Vvvyg]

Долечим - починим.

Выполните скрипт в AVZ:

begin
ClearQuarantine;
 TerminateProcessByName('C:\Program Files (x86)\MR\1674716.exe');
 QuarantineFile('C:\Program Files (x86)\MR\1674716.exe', '');
 QuarantineFile('C:\Program Files (x86)\vTGTErrEdIE\tyD47Yk6.dll', '');
 DeleteFile('C:\Program Files (x86)\MR\1674716.exe', '64');
 DeleteFileMask('C:\Program Files (x86)\MR', '*', true);
 DeleteFileMask('c:\program files (x86)\vtgterredie', '*', true);
 DeleteDirectory('C:\Program Files (x86)\MR');
 DeleteDirectory('c:\program files (x86)\vtgterredie');
 DelBHO('{4380B7D5-B068-48A8-9012-70B2490292FB}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'qixmweankpy', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[loyaute_au]

Результаты сканирования.

[Vvvyg]

Удалите программу YoutubeAdBlock, это adware.

Сделайте лог Malwarebytes AdwCleaner.

Скачайте Windows Repair (All In One), распакуйте, запустите, "Jump To Repairs", "Open Repairs", отметьте только пункт 33.01 "Repair Recycle Bin C:" и нажмите "Start Repairs".

После перезагрузки сообщите, что с проблемами.

[loyaute_au]

YoutubeAdBlock в панели управления не нашла, из подозрительного там NetMeterX.
Сообщение о поврежденной корзине больше не выпадает.
Если открывать YouTube, то все еще выпадает предложение включить уведомления и всплывающее окно. Новые вкладки беспорядочно больше не открываются.

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[loyaute_au]

Прикрепляю отчеты.

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
(Python Software Foundation) C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\python.exe
(Python Software Foundation) C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd\python\python.exe
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
BHO: YoutubeAdBlock -> {4380B7D5-B068-48A8-9012-70B2490292FB} -> C:\Program Files (x86)\vTGTErrEdIE\tyD47Yk6.dll => No File
CHR HomePage: Default -> hxxp://mail.ru/cnt/10445?gp=blackbear5
CHR HKU\S-1-5-21-544854241-4235299067-3513153598-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-544854241-4235299067-3513153598-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Блокировщик Рекламы Для Ютуба™) - C:\Users\Ksju\AppData\Roaming\Opera Software\Opera Stable\Extensions\dlcmabphabemcibpinmdkmojaofogdee [2018-10-10]
2018-10-12 19:23 - 2018-10-13 17:49 - 000000000 ____D C:\AdwCleaner
2018-10-10 12:23 - 2018-10-10 12:23 - 000000000 ____D C:\Users\Ksju\AppData\LocalLow\XHuouyYfKSUmU
2018-10-10 12:03 - 2018-10-10 19:13 - 000000000 ____D C:\Program Files (x86)\DdJDUMRiVWUn
2018-10-10 12:01 - 2018-10-10 19:10 - 000000000 ____D C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd
2018-10-10 12:01 - 2018-10-10 12:01 - 000003966 _____ C:\WINDOWS\System32\Tasks\YoutubeDownloader_upd
2018-10-10 12:01 - 2018-10-10 12:01 - 000003496 _____ C:\WINDOWS\System32\Tasks\YoutubeDownloader
2018-10-10 11:50 - 2018-10-11 11:15 - 000000000 ____D C:\Program Files (x86)\MOLP
Task: {F9D2FB2B-BA02-4D42-89A9-ED5690101A71} - System32\Tasks\YoutubeDownloader => C:\Users\Ksju\AppData\Roaming\YoutubeDownloader\python\pythonw.exe [2018-05-02] (Python Software Foundation) <==== ATTENTION
C:\Users\Ksju\AppData\Roaming\YoutubeDownloader
Task: {740E7702-776B-467F-9175-06C174DA08E7} - System32\Tasks\YoutubeDownloader_upd => C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd\python\pythonw.exe [2018-05-02] (Python Software Foundation) <==== ATTENTION
C:\Users\Ksju\AppData\Roaming\YoutubeDownloader_upd
FirewallRules: [TCP Query User{7B2E0FC8-BBAF-4495-8964-D25EB70CE137}C:\users\ksju\appdata\roaming\haiyuinst\plugins\download\minithunderplatform.exe] => (Allow) C:\users\ksju\appdata\roaming\haiyuinst\plugins\download\minithunderplatform.exe
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры,
Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[loyaute_au]

Возможно, поторопилась - нашла до последнего ответа то расширение "для youtube" и удалила в двух браузерах.
После опции Fix в FRST и очистки истории/кэша браузеров больше не выпадало предложений включить уведомления и дополнительных окон.

[Vvvyg]

Т. е. проблема решена?
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

[loyaute_au]

Да, проблема решена, спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\molp\6260339.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Adware-gen [Adw] )
  2. c:\program files (x86)\mr\1674716.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  3. c:\program files (x86)\vtgterredie\kqh6kabq.dll - not-a-virus:AdWare.Win32.Neoreklami.ohj ( AVAST4: Win32:Adware-gen [Adw] )
  4. c:\program files\windowspowershell\cqha6lbnj39xvzpatg2fvphn90 yf63dwrhf3qn\yohxypma_v.exe - HEUR:Trojan-Clicker.MSIL.Agent.gen ( AVAST4: Win32:Malware-gen )
  5. c:\users\ksju\appdata\local\temp\f6j9vqped1\8my9.e xe - HEUR:Trojan.Win32.Generic ( BitDefender: Gen:Variant.Barys.52678, AVAST4: Win32:Adware-gen [Adw] )