Странно работают сайты. [not-a-virus:HEUR:AdWare.Win32.FakeUpd.gen]

[Advisoroleg]

Доброго времени суток.
Недавно обнаружил, что начали странно вести себя некоторые сайты.
Во время написания сообщения, например, в ВК, активное окно сообщения могло сброситься, и чтобы продолжить писать, приходилось повторно кликать на него. Также стали появляться посторонние звуки, будто включается какое-то видео или аудиосообщение, даже загоралась иконка воспроизведения звука на активной вкладке. Один раз была переадресация на сторонний рекламный сайт непонятного содержания.

P.S. Симптомы проявились пару раз даже во время написания этой темы.

[Info_bot]

Уважаемый(ая) Advisoroleg, спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [1] = eav_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [10] = Cezurity_Scanner_Pro_Free.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [11] = Cube.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [2] = avast_free_antivirus_setup_online.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [3] = eis_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [4] = essf_trial_rus.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [5] = hitmanpro_x64.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [6] = ESETOnlineScanner_UKR.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [7] = ESETOnlineScanner_RUS.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [8] = HitmanPro.exe
O7 - Policy: HKCU\..\Policies\Explorer\DisallowRun: [9] = 360TS_Setup_Mini.exe
O7 - Taskbar policy: HKCU\..\Policies\Explorer: [DisallowRun] = 1

Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe:

begin
 QuarantineFile('C:\Programdata\RealtekHD\taskhostw.exe', '');
 QuarantineFile('C:\Users\Oleg\AppData\Local\Browserupdphenix\Browserupdphenix.exe', '');
 QuarantineFileF('c:\programdata\realtekhd', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', false, '', 0 , 0);
 DeleteFile('C:\Programdata\RealtekHD\taskhostw.exe', '64');
 DeleteFile('C:\Users\defaultuser0\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk');
 DeleteFile('C:\Users\Oleg\appdata\local\browserupdphenix\browserupdphenix.exe', '');
 DeleteFile('C:\Users\Oleg\AppData\Local\Browserupdphenix\Browserupdphenix.exe', '64');
 DeleteFileMask('c:\programdata\realtekhd', '*', true);
 DeleteFileMask('c:\users\oleg\appdata\local\browserupdphenix', '*', true);
 DeleteDirectory('c:\programdata\realtekhd');
 DeleteDirectory('c:\users\oleg\appdata\local\browserupdphenix');
 DeleteSchedulerTask('Browserupdphenix');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhost');
 DeleteSchedulerTask('Microsoft\Windows\Wininet\Taskhostw');
 DeleteSchedulerTask('Обновление Браузера Яндекс');
 DeleteSchedulerTask('Обновление Браузера Яндекс.job');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке Прислать запрошенный карантин над над первым сообщением в теме.

Деинсталлируйте программы WebAdvisor от McAfee и Служба автоматического обновления программ.

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[Advisoroleg]

Карантины выслал, архив с отчетами прикрепляю

P.S. На первый взгляд, проблема исчезла. Скажите, пожалуйста, что именно там было?

[Vvvyg]

Adware и хвосты от майнера.
Если в архиваторе использовать сжате, размер архива будет в 4-5 раз меньше

Выделите и скопируйте в буфер обмена следующий код:

Start::
CreateRestorePoint:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\$McRebootA5E6DEAA56$.lnk [2021-02-28]
CHR HKU\S-1-5-21-1765172238-1640792143-2912883862-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
CHR HKLM-x32\...\Chrome\Extension: [hjdkfkdkokphfploiiddakjokndinfgb]
CHR HKLM-x32\...\Chrome\Extension: [iepoegkaoeljnbhagabakjodgpfniimo]
2021-02-08 09:12 - 2021-02-08 09:12 - 000000000 ____H C:\Users\Oleg\Desktop\~WRL0003.tmp
ShellExecuteHooks-x32: Groove GFS Stub Execution Hook - {B5A7F190-DDA6-4420-B3BA-52453494E6CD} - C:\PROGRA~2\MICROS~2\Office14\GROOVEEX.DLL -> Нет файла
HKU\S-1-5-21-1765172238-1640792143-2912883862-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://startmain.ru/
BHO-x32: Groove GFS Browser Helper -> {72853161-30C5-4D22-B7F9-0BBC1D38A37E} -> C:\PROGRA~2\MICROS~2\Office14\GROOVEEX.DLL => Нет файла
FirewallRules: [{71D4D568-2845-4368-B8CC-8AFCB6DD6DEC}] => (Block) LPort=139
FirewallRules: [{0255BB13-2298-4DC6-BFFC-852E1DA548E0}] => (Block) LPort=139
FirewallRules: [{467F0250-7691-48F2-9682-5B67D1E9947D}] => (Block) LPort=445
FirewallRules: [{9518609C-4F54-4771-89D0-D0AA52513D09}] => (Block) LPort=445
FirewallRules: [UDP Query User{5FB07458-0F73-46E7-9575-62FB5C109092}C:\games\steam\steamapps\common\dishonored rhcp\binaries\win32\dishonored.exe] => (Allow) C:\games\steam\steamapps\common\dishonored rhcp\binaries\win32\dishonored.exe => Нет файла
FirewallRules: [TCP Query User{7F3CB774-ACC9-4D67-B513-8CB981903BDB}C:\games\steam\steamapps\common\dishonored rhcp\binaries\win32\dishonored.exe] => (Allow) C:\games\steam\steamapps\common\dishonored rhcp\binaries\win32\dishonored.exe => Нет файла
FirewallRules: [UDP Query User{6F00B9E2-7B5F-488E-BFFC-74DA6E315310}C:\program files\rockstar games\red dead redemption 2\rdr2.exe] => (Allow) C:\program files\rockstar games\red dead redemption 2\rdr2.exe => Нет файла
FirewallRules: [TCP Query User{EF95E67F-544F-40CB-BC81-8084F18271FF}C:\program files\rockstar games\red dead redemption 2\rdr2.exe] => (Allow) C:\program files\rockstar games\red dead redemption 2\rdr2.exe => Нет файла
FirewallRules: [UDP Query User{4C45D2CE-A2CF-4BF8-831D-7ADFAE3FC66D}C:\games\rdr2\red dead redemption 2\rdr2.exe] => (Block) C:\games\rdr2\red dead redemption 2\rdr2.exe => Нет файла
FirewallRules: [TCP Query User{A230F798-EAB1-48CC-86F0-1B9F0E6DD646}C:\games\rdr2\red dead redemption 2\rdr2.exe] => (Block) C:\games\rdr2\red dead redemption 2\rdr2.exe => Нет файла
FirewallRules: [UDP Query User{F1B4954C-CBC9-448F-BEBA-7BBEB935A867}C:\games\bulletstorm\binaries\win32\shippingpc-stormgame.exe] => (Allow) C:\games\bulletstorm\binaries\win32\shippingpc-stormgame.exe => Нет файла
FirewallRules: [TCP Query User{6AC3C891-5F67-45D2-97E4-C3B105F625BB}C:\games\bulletstorm\binaries\win32\shippingpc-stormgame.exe] => (Allow) C:\games\bulletstorm\binaries\win32\shippingpc-stormgame.exe => Нет файла
FirewallRules: [UDP Query User{35CC01F0-2E20-4EC2-8B37-811B5E93E87B}C:\games\the sims 4\game\bin\ts4_x64.exe] => (Allow) C:\games\the sims 4\game\bin\ts4_x64.exe => Нет файла
FirewallRules: [TCP Query User{AA49E190-FA3E-4C1C-B5A1-A63F47C9923D}C:\games\the sims 4\game\bin\ts4_x64.exe] => (Allow) C:\games\the sims 4\game\bin\ts4_x64.exe => Нет файла
FirewallRules: [UDP Query User{ECB622E4-19D5-4F1F-9D94-2E55C4629336}C:\games\far cry primal\bin\fcprimal.exe] => (Allow) C:\games\far cry primal\bin\fcprimal.exe => Нет файла
FirewallRules: [TCP Query User{F925DD00-B2F1-49C6-8497-F2B4E8C75F5D}C:\games\far cry primal\bin\fcprimal.exe] => (Allow) C:\games\far cry primal\bin\fcprimal.exe => Нет файла
FirewallRules: [{DEA7CF6A-0824-478E-AE7B-5AE5B47ACDAE}] => (Allow) C:\Users\Администратор\AppData\Local\Yandex\YandexBrowser\Application\browser.exe => Нет файла
FirewallRules: [{2C46D656-ACED-48C5-9D28-2AD120E9A666}] => (Allow) C:\Games\Steam\bin\cef\cef.win7\steamwebhelper.exe => Нет файла
FirewallRules: [{C010C1B8-3644-42D1-9977-84C2B0679300}] => (Allow) C:\Games\Steam\bin\cef\cef.win7\steamwebhelper.exe => Нет файла
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
Reboot:
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[Advisoroleg]

Прикрепляю файл.

Проблема вернулась под вечер, хотя в течение всего дня даже намеков не было.

[Vvvyg]

Сделайте лог Malwarebytes AdwCleaner.

[Advisoroleg]

Прикрепляю

[Vvvyg]

сли Вы уже закрыли приложение, запустите повторное сканирование в Malwarebytes AdwCleaner, установите в пункте меню "Настройки" (Settings) дополнительно к отмеченным по умолчанию галочку "Сбросить политики Chrome (Reset Chrome Policies".
Затем нажмите Карантин (Quarantine) под списком найденного. Программа может предложить перезагрузить систему, сделайте это.

В меню Файлы журналов программы будет лог очистки, файл AdwCleaner[C01].txt, прикрепите к своему следующему сообщению.

Очистите кеш и cookie:
в Хроме.
Как очистить кэш Firefox.
Удаление недавней истории веб-сёрфинга, поиска и загрузок.

Сообщите, что с проблемой.

[Advisoroleg]

Сделал, как вы сказали, проблема не исчезла, но проявляться стала реже. Сохранились фантомные звуки и сброс написания текста.

Прикрепляю файл, у меня он под номером C02 сохранился.


Еще вопрос. Если у меня остались "хвосты майнеров", то майнер сам собой удалился что ли? Потому что я до обращения на форум проверок не проводил никаких кроме как один раз Кьюритом, который нашел только подозрительный файл hosts.
Почему спрашиваю - я помню, что у меня были странности с компьютером: жужжал без причины куллер, были проблемы с требовательными приложениями и играми, если открыть большое их количество, хотя до того ничего подобного не было, но я значения особо не придавал. По итогу, как было, так и прошло.

- - - - -Добавлено - - - - -

Добавлю. После чистки Куки-файлов проблема себя не проявляла, но после того, как я разрешил одному сайту использовать куки, сразу же появился фантомный звук и все прочие проблемы.

- - - - -Добавлено - - - - -

Добавлю еще. Обратил внимание, что во время сброса окна сообщения происходит переадресация на ютуб(открывается подсказка слева-внизу в Хроме, в которой написано youtube.com), однако непосредственно перехода на вышеуказанный сайт не происходит. В самом же ютубе в окне поиска появляются подсказки: "Казино вулкан", "arizona rp gta 5", "игра в автоматы онлайн казино" и т.д., между которыми несколько пустых строк, будто делали пустой поисковый запрос. Понятное дело, сам я этот бред не искал. Подсказки с определенной периодичностью обновляются.

[Vvvyg]

Если у меня остались "хвосты майнеров", то майнер сам собой удалился что ли? Потому что я до обращения на форум проверок не проводил никаких кроме как один раз Кьюритом, который нашел только подозрительный файл hosts.

Сложно сказать, что там было, но явные признаки порулярного майнера были.

Почему спрашиваю - я помню, что у меня были странности с компьютером: жужжал без причины куллер, были проблемы с требовательными приложениями и играми, если открыть большое их количество, хотя до того ничего подобного не было, но я значения особо не придавал.

Возможно, как раз майнер и работал.

После чистки Куки-файлов проблема себя не проявляла, но после того, как я разрешил одному сайту использовать куки, сразу же появился фантомный звук и все прочие проблемы.

Может, сайт такой нехороший?

Сделайте новый лог Farbar Recovery Scan Tool.

[Advisoroleg]

Сайт сто процентов нормальный.

Архив прикрепляю

[Vvvyg]

Проблема только в хроме, или в других браузерах?

Выделите и скопируйте в буфер обмена следующий код:

Start::
YAN DefaultSearchURL: Default -> hxxp://w10.tupoisk.ru/?q={searchTerms}
ShellExecuteHooks-x32: Нет имени - {B5A7F190-DDA6-4420-B3BA-52453494E6CD} -  -> Нет файла
End::

Запустите FRST.EXE/FRST64.EXE, нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

[Advisoroleg]

Похоже, только в Хроме. В Файрфоксе не проявилась проблема.

[Vvvyg]

Синхронизации с гугл-аккаунтом в Хроме нет?
Отключите ВСЕ расширения, очистите кеш и cookie, сообщите, что с проблемой.

[Advisoroleg]

Гугл аккаунт есть.
Отключил все расширения кроме АД блока и очистил кэш
Тестировал вчера-сегодня, даже после предоставления доступа сайту к печеньям проблема себя не проявила. Странно, но похоже, что всё-таки аддон какой-то мешал, хотя я их давно уже не добавлял.

Спасибо большое за вашу помощь!

[Vvvyg]

Запустите AdwCleaner, меню Параметры - Удалить AdwCleaner (в самом низу) - выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

[CyberHelper]

=D1=F2=E0=F2=E8=F1=F2=E8=EA=E0 =EF=F0=EE=E2=E5=E4=E5=ED=ED=EE=E3=EE =EB=
=E5=F7=E5=ED=E8=FF:

• =CF=EE=EB=F3=F7=E5=ED=EE =EA=E0=F0=E0=ED=F2=E8=ED=EE=E2: 1
• =CE=E1=F0=E0=E1=EE=F2=E0=ED=EE =F4=E0=E9=EB=EE=E2: 1
• =C2 =F5=EE=E4=E5 =EB=E5=F7=E5=ED=E8=FF =EE=E1=ED=E0=F0=F3=E6=E5=ED=FB=
  =E2=F0=E5=E4=EE=ED=EE=F1=ED=FB=E5 =EF=F0=EE=E3=F0=E0=EC=EC=FB:
  
  1. c:\users\oleg\appdata\local\browserupdphenix\brows erupdpheni=
     x.exe - not-a-virus:HEUR:AdWare.Win32.FakeUpd.gen ( AVAST4: Win=
     32:Malware-gen )