Проблема с автозапуском Мозиллы и вредоносным ПО

**Merzav4ik** · 14.12.2018, 21:11

Буквально пару дней назад подцепил где-то вредоносное ПО.
Заметил, когда Файрфокс сам стал запускаться , открывая http://gmaegames.pro/redirect-from-banner.html
+ во время работы мелькает окно типа командной строки (как дос), как будто что-то левое запускается-выполняется.
Кроме того - в игре пару раз ловил зависания и один раз БСоД, хотя до этого система вроде не страдала таким (полагаю, причина все в том же вирусе, что подцепил)
Извините, что так сумбурно, пытался покороче.
Буду благодарен за помощь.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 14.12.2018, 21:12

Уважаемый(ая) Merzav4ik, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 15.12.2018, 12:02

Запустите HijackThis, расположенный в папке Autologger (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора))и пофиксите только эти строки :

Код:

O4 - HKCU\..\Run: [Gosha] = C:\Windows\system32\cmd.exe /c start www.dipladoks.org

Сообщите, что с проблемой.

**Merzav4ik** · 15.12.2018, 12:25

Сделал.
После перезагруза - автозапуска браузера с соотв. сайтом нет, так что, по крайней мере, видимая часть проблемы ушла.

**Vvvyg** · 15.12.2018, 13:22

Сделайте лог Malwarebytes AdwCleaner.

**Merzav4ik** · 15.12.2018, 13:34

вот

**Vvvyg** · 15.12.2018, 15:47

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

**Merzav4ik** · 15.12.2018, 19:06

Простите, я почему-то никак не мог залогиниться...
По сабжу - после удаления программой найденного и перезагрузки - проблема вернулась как и было описано изначально+ то что я писал про мелькающие на долю секунды окна (типа досовских, но не факт) - такое впечатление, что сторонний софт запускается или что...
После очистки кеша-куки и повторной перезагрузки - опять автозапуск и описанные выше проблемы.

**Vvvyg** · 15.12.2018, 19:18

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

**Merzav4ik** · 15.12.2018, 19:30

вот

**Vvvyg** · 15.12.2018, 19:44

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
HKU\S-1-5-21-72599857-2925139496-3829971474-1003\...\Run: [Gosha] => cmd.exe /c start www.dipladoks.org
2018-02-02 14:23 - 2018-02-02 14:31 - 000108144 _____ (Sony DADC Austria AG.) C:\Users\Gosha\AppData\Local\Temp\CmdLineExt.dll
2018-02-02 14:23 - 2018-02-02 14:33 - 000065536 _____ (Sony DADC Austria AG) C:\Users\Gosha\AppData\Local\Temp\drm_dialogs.dll
2017-12-13 17:37 - 2018-07-30 19:50 - 000395656 _____ (NVIDIA Corporation) C:\Users\Gosha\AppData\Local\Temp\nvStInst.exe
2018-05-06 18:52 - 2018-06-20 14:07 - 063222472 _____ (Skype Technologies S.A.) C:\Users\Gosha\AppData\Local\Temp\SkypeSetup.exe
2017-09-24 00:50 - 2017-09-24 00:51 - 027536744 _____ (Disc Soft Ltd) C:\Users\Гоша\AppData\Local\Temp\DTLite1060-0283.exe
2017-09-24 01:01 - 2017-09-24 01:01 - 001005568 _____ (Microsoft Corporation) C:\Users\Гоша\AppData\Local\Temp\dt_97EC.tmp.exe
2017-09-24 00:39 - 2017-09-24 00:39 - 014456872 _____ (Microsoft Corporation) C:\Users\Гоша\AppData\Local\Temp\vc_redist.x86.exe
Task: {62292051-2B0F-4117-9346-DA5B015F3F21} - System32\Tasks\Gosha => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Gosha /t REG_SZ /d "cmd.exe /c start www.dipladoks.org"
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры,
Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

**Merzav4ik** · 15.12.2018, 20:23

вот

**Vvvyg** · 15.12.2018, 20:38

Проблема с автозапуском браузера решена, в остальном тоже относительный порядок.

Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

**Merzav4ik** · 15.12.2018, 20:51

Сделал. Это все или ещё что-то?

- - - - -Добавлено - - - - -

Правда AdwCleaner я удалить не могу - кнопку удалить жму, но прога остается - может виной тому что он не на рабочем столе а в папке?

**Vvvyg** · 15.12.2018, 21:28

Не должно влиять. Тем более, AdwCleaner зачищает при удалении эту папку. Попробуйте ещё раз после перезагрузки.

**Merzav4ik** · 15.12.2018, 21:38

Попробовал - и прога и содержимое папки на месте)

**Vvvyg** · 15.12.2018, 23:46

Примените такой fixlist.txt в FRST:

Код:

2018-12-15 14:57 - 2018-12-15 14:58 - 000000000 ____D C:\AdwCleaner
C:\Users\Gosha\Desktop\adwcleaner_7.2.5.0.exe
Reboot:

Новый Fixlog.txt приложите.

**Merzav4ik** · 16.12.2018, 01:57

Проблема в том что вторая чась ваших указаний
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
успешно завершена.
Сейчас скачаю-установлю по новой))

- - - - -Добавлено - - - - -

Можете расписать процедуру что после установки, я немного путаюсь?(

- - - - -Добавлено - - - - -

Попытался всё сделать как в инструкции раньше...

**Vvvyg** · 16.12.2018, 11:02

Насколько вижу по логу, AdwCleaner полностью зачищен.

**Merzav4ik** · 16.12.2018, 12:05

Интересно - учитывая, что из папки он никуда не пропадал и спокойно запускается)))
Тогда что - повторить процедуру с FRST и потереть всю папку?

Проблема с автозапуском Мозиллы и вредоносным ПО (заявка № 221123)

Опции темы