Что-то подозрительное...

[Sapfira]

Сегодня, при первом запуске браузера (Firefox 107) сама по себе открылась вкладка с каким-то сайтом знакомств. Также, в последнее время перестала блокироваться реклама на Дзене (не на главной странице, а когда откроешь какую-нибудь статью), хотя ранее всё нормально блокировалось. Причем, на каких-то каналах мало рекламы или вообще нет, а на каких-то много.

 

Просканировала AdwCleaner, нашёл 2 объекта в реестре.

1. HKLM\SOFTWARE\WOW6432Node\Microsoft\MediaPlayer\ShimInclusionList\browser.exe

2. HKCU\Software\AppHelper

Кинула их в карантин.

 

Проверилась ещё Dr.Web Cureit, он выдал типо программа CPU-Z является трояном. На Вирустотале все, кроме "Доктора" говорят, что файл чистый.

Больше ничего не нашлось.

 

CollectionLog-2022.11.25-22.27.zip

 

[Sandor]

Здравствуйте!

 

21 час назад, Sapfira сказал:

AdwCleaner, нашёл 2 объекта в реестре

Его отчёт об очистке покажите, пожалуйста.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

[Sapfira]

52 минуты назад, Sandor сказал:

Его отчёт об очистке покажите, пожалуйста.

На всякий случай 2 отчета прикреплю, до очистки и после.

AdwCleaner[S11].txt   AdwCleaner[C11].txt

 

53 минуты назад, Sandor сказал:

отчеты FRST.txt, Addition.txt

FRST.txt     Addition.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  FF Extension: (Стартовая — Яндекс) - C:\Users\ROYU\AppData\Roaming\Mozilla\Firefox\Profiles\y6n4m5c8.default-1625226008331\Extensions\homeutil@yandex.ru.xpi [2021-07-04]
  FF NetworkProxy: Mozilla\Firefox\Profiles\dv9tdo8r.default-release -> http", "124.88.67.31"
  FF Extension: (Стартовая — Яндекс) - C:\Users\ROYU\AppData\Roaming\Mozilla\Firefox\Profiles\dv9tdo8r.default-release\Extensions\homeutil@yandex.ru.xpi [2017-12-07]
  FF Extension: (Поиск Яндексa) - C:\Users\ROYU\AppData\Roaming\Mozilla\Firefox\Profiles\dv9tdo8r.default-release\Extensions\quicksearch@yandex.ru.xpi [2018-02-13]
  FF Extension: (Ghostery – Конфиденциальный Блокировщик Рекламы) - C:\Users\ROYU\AppData\Roaming\Mozilla\Firefox\Profiles\dv9tdo8r.default-release\Extensions\firefox@ghostery.com.xpi [2022-11-24]
  AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [146]
  AlternateDataStreams: C:\Users\ROYU\Local Settings:String [148]
  AlternateDataStreams: C:\Users\ROYU\AppData\Local:String [148]
  AlternateDataStreams: C:\Users\ROYU\AppData\Local\Application Data:String [148]
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Sapfira]

Готово.

Fixlog.txt

[Sandor]

Проблема сохраняется?

[Sapfira]

4 часа назад, Sandor сказал:

Проблема сохраняется?

Вроде бы нет. Реклама стала блокироваться, а "левая" вкладка после того раза, больше не появлялась.

[Sandor]

Отлично!

 

Завершающие шаги:

• Пожалуйста, запустите adwcleaner.exe
• В меню Параметры прокрутите вниз и выберите Удалить.
  

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

+

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора.
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[Sapfira]

В итоге, была какая-то зараза или нет?

SecurityCheck.txt

 

 

 

 

 

[Sandor]

Было несколько "левых" расширений" (видно в скрипте).

 

---------------------------- [ UnwantedApps ] -----------------------------
Autorun Organizer, версия 5.19 v.5.19 Внимание! Подозрение на демо-версию антишпионской программы, программу для обновления драйверов, программу-оптимизатор или программу очистки реестра. Рекомендуется деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware. Возможно Вы стали жертвой обмана или социальной инженерии. Компьютерные эксперты не рекомендуют использовать такие программы.
Кнопка "Яндекс" на панели задач v.2.2.1.54 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Голосовой помощник Алиса v.5.0.0.1903 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
 

Перечисленное желательно исправить.

На заметку - Рекомендации после удаления вредоносного ПО

[Sapfira]

1 час назад, Sandor сказал:

Перечисленное желательно исправить.

Понятно, это удалю. Благодарю за помощь.

[Sapfira]

Сегодня опять какая-то страница сама пыталась открыться, но блокировщик не дал.

[Sandor]

У вас в FF огромное количество расширений. Попробуйте отключить все, понаблюдать, затем включать по одному и таким образом определить виновника.

[Sapfira]

Ясно. Тогда попробую сначала отключить расширение, которое было установлено последним. Как раз через несколько дней после его установки началась проблема. Все остальные давно стоят.

[Sandor]

Хорошо, результат сообщите, пожалуйста.