Перейти к содержанию
Правила раздела

Реклама с новым окном в браузерах!

Ilnar0202

Автор Ilnar0202
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Ilnar0202

Ilnar0202

Опубликовано
Опубликовано

Здравствуйте!
С момента установки,не помню какого файла,во всех браузерах начала появляться реклама,баннеры и т.д Сидишь на странице бездействия около 15 секунд,и когда нажимаешь на пустое место открывается реклама в новом окне!Пробовал устранить проблему с помощью - "Ccleaner","Hitman pro","Malwarebytes Anti-malware",расширений "AdBlock",но ничего не помогло!Есть подозрение что эта вирус-реклама засела в самом компьютере,причем ее ни как нигде найти!В большинстве случаев когда нажимаешь на баннеры с рекламой на сайтах попадаешь на сайт - "news-тут непонятный номер,и всегда рандомный-latest.kudrafa.ru/" , а затем происходит переадресация,и ты попадаешь на сайт с рекламой!

CollectionLog-2015.01.13-17.39.zip

  • Улыбнуло 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Roman_Five

Roman_Five

Опубликовано
Опубликовано

C:\Program Files\Remote Manipulator System - Host

 

сами ставили?


---

 

 

Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Ильнар\AppData\Roaming\MJDEFUB.exe', '');
 QuarantineFile('C:\Users\Ильнар\AppData\Local\Microsoft\Windows\system.exe', '');
 DeleteFile('C:\Users\Ильнар\AppData\Local\Microsoft\Windows\system.exe', '32');
 DeleteFile('C:\Users\Ильнар\AppData\Roaming\MJDEFUB.exe', '32');
 DeleteFile('C:\Windows\Tasks\MJDEFUB.job', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SystemScript', 'command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
begin
CreateQurantineArchive(GetAVZDirectory + 'Qurantine.zip');
end.
Отправьте на проверку файл  Quarantine.zip из папки AVZ через данную форму или через личный кабинет (если являетесь пользователем продуктов Лаборатории Касперского и зарегистрированы).
Для получения ответа в более короткий срок отправьте Ваш запрос через Личный кабинет.
В строке "Подробное описание возникшей ситуации:" укажите пароль на архив "virus" (без кавычек).
В строке "Электронный адрес:" укажите адрес своей электронной почты.
Полученный ответ сообщите в этой теме.
 
 
Сделайте новые логи по правилам.
Ссылка на комментарий
Поделиться на другие сайты
Ilnar0202

Ilnar0202

Опубликовано
  • Автор
Опубликовано

Вот 

Вот папка с карантина!

Пароль на архив virus
Электронный адрес - [удалено]


Архив!


Реклама не исчезла!


C:\Program Files\Remote Manipulator System - Host
Сам не ставил!

 

Сообщение от модератора
Почта скрыта. Карантин удален
Ссылка на комментарий
Поделиться на другие сайты
thyrex

thyrex

Опубликовано
Опубликовано
SmartSaver+ 15-->C:\Program Files\SmartSaver+ 15\Uninstall.exe /fcp=1 

mystartsearch uninstall-->C:\Users\Ильнар\AppData\Roaming\mystartsearch\UninstallManager.exe  -ptid=smt

удалите через Установку программ

 

Выполните скрипт в AVZ
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;

QuarantineFile('C:\Users\Ильнар\AppData\Roaming\TornTV.com\TornTV Downloader.exe','');
 QuarantineFile('C:\Users\Ильнар\AppData\Roaming\SLM.exe','');
 QuarantineFile('C:\Users\Ильнар\AppData\Roaming\NBTIVL.exe','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-7.exe','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6.exe','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-5.exe','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-4.exe','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-2.exe','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-10.exe','');
 QuarantineFile('C:\Program Files\XTab\SupTab.dll','');
 DelBHO('{11111111-1111-1111-1111-110611171196}');
 DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
 SetServiceStart('WindowsMangerProtect', 4);
 DeleteService('WindowsMangerProtect');
 QuarantineFile('C:\Users\4138~1\AppData\Local\Temp\nsr206D.tmp\StdUtils.dll','');
 QuarantineFile('C:\Users\4138~1\AppData\Local\Temp\nsr206D.tmp\InstallerUtils.dll','');
 QuarantineFile('C:\Users\4138~1\AppData\Local\Temp\nsc195B.tmp\StdUtils.dll','');
 QuarantineFile('C:\Program Files\SmartSaver+ 15\af28893e-cbeb-4696-afcd-4e1bd1abbbf4.dll','');
 TerminateProcessByName('c:\users\4138~1\appdata\local\temp\s4s15.exe');
 QuarantineFile('c:\users\4138~1\appdata\local\temp\s4s15.exe','');
 TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
 QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
 TerminateProcessByName('c:\program files\xtab\protectservice.exe');
 QuarantineFile('c:\program files\xtab\protectservice.exe','');
 TerminateProcessByName('c:\users\4138~1\appdata\local\temp\nsc195b.tmp\mcehc.exe');
 QuarantineFile('c:\users\4138~1\appdata\local\temp\nsc195b.tmp\mcehc.exe','');
 TerminateProcessByName('c:\users\4138~1\appdata\local\temp\nsu1086.tmp\install62322.exe');
 QuarantineFile('c:\users\4138~1\appdata\local\temp\nsu1086.tmp\install62322.exe','');
 TerminateProcessByName('c:\program files\xtab\cmdshell.exe');
 QuarantineFile('c:\program files\xtab\cmdshell.exe','');
 TerminateProcessByName('c:\program files\smartsaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6.exe');
 QuarantineFile('c:\program files\smartsaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6.exe','');
 DeleteFile('c:\program files\smartsaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6.exe','32');
 DeleteFile('c:\program files\xtab\cmdshell.exe','32');
 DeleteFile('c:\users\4138~1\appdata\local\temp\nsu1086.tmp\install62322.exe','32');
 DeleteFile('c:\users\4138~1\appdata\local\temp\nsc195b.tmp\mcehc.exe','32');
 DeleteFile('c:\program files\xtab\protectservice.exe','32');
 DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
 DeleteFile('c:\users\4138~1\appdata\local\temp\s4s15.exe','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\af28893e-cbeb-4696-afcd-4e1bd1abbbf4.dll','32');
 DeleteFile('C:\Users\4138~1\AppData\Local\Temp\nsc195B.tmp\StdUtils.dll','32');
 DeleteFile('C:\Users\4138~1\AppData\Local\Temp\nsr206D.tmp\InstallerUtils.dll','32');
 DeleteFile('C:\Users\4138~1\AppData\Local\Temp\nsr206D.tmp\StdUtils.dll','32');
 DeleteFile('C:\Program Files\XTab\SupTab.dll','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-10.exe','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-2.exe','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-4.exe','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-5.exe','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6.exe','32');
 DeleteFile('C:\Program Files\SmartSaver+ 15\59c8faf6-57f2-41ad-bcdd-86bf8df23536-7.exe','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-7.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-5_user.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-5.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-4.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-2.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-10_user.job','32');
 DeleteFile('C:\Windows\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-1.job','32');
 DeleteFile('C:\Users\Ильнар\AppData\Roaming\NBTIVL.exe','32');
 DeleteFile('C:\Users\Ильнар\AppData\Roaming\SLM.exe','32');
 DeleteFile('C:\Windows\Tasks\NBTIVL.job','32');
 DeleteFile('C:\Windows\Tasks\SLM.job','32');
 DeleteFile('C:\Windows\system32\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-1','32');
 DeleteFile('C:\Windows\system32\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-2','32');
 DeleteFile('C:\Windows\system32\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-4','32');
 DeleteFile('C:\Windows\system32\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-5','32');
 DeleteFile('C:\Windows\system32\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-6','32');
 DeleteFile('C:\Windows\system32\Tasks\59c8faf6-57f2-41ad-bcdd-86bf8df23536-7','32');
 DeleteFile('C:\Users\Ильнар\AppData\Roaming\TornTV.com\TornTV Downloader.exe','32');

 DeleteFileMask('c:\programdata\windowsmangerprotect', '*', true);
DeleteDirectory('c:\programdata\windowsmangerprotect');

 DeleteFileMask('c:\program files\smartsaver+ 15', '*', true);
DeleteDirectory('c:\program files\smartsaver+ 15');

DeleteFileMask('C:\Program Files\XTab', '*', true);
DeleteDirectory('C:\Program Files\XTab');
DeleteFileMask('C:\Users\Ильнар\AppData\Roaming\TornTV.com', '*', true);
DeleteDirectory('C:\Users\Ильнар\AppData\Roaming\TornTV.com');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
Компьютер перезагрузится.
 
Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Сделайте новые логи
Ссылка на комментарий
Поделиться на другие сайты
Ilnar0202

Ilnar0202

Опубликовано
  • Автор
Опубликовано

Вот карантин,и новые логи!Реклама не исчезла,все выполнял как на инструкции!

 

Сообщение от модератора Mark D. Prarlstone
Вам написали куда отправлять карантин. На форум его выкладывать не нужно. Файл удалён.

CollectionLog-2015.01.19-22.13.zip

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five

Roman_Five

Опубликовано
Опубликовано

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

Распакуйте архив с утилитой в отдельную папку.

Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

 

move.gif
 

Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

Прикрепите этот отчет к своему следующему сообщению.

 


Выполните скрипт в AVZ (AVZ, Меню "Файл - Выполнить скрипт"):
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 SetServiceStart('globalUpdate', 4);
 SetServiceStart('globalUpdatem', 4);
 QuarantineFile('C:\Users\4138~1\AppData\Local\Temp\MSDCSC\msdcsc.exe','');
 QuarantineFile('C:\ProgramData\WindowsMangerPro','');
 QuarantineFile('C:\Program Files\globalUpdate\Update\GoogleUpdate.exe','');
 DeleteFile('C:\Program Files\globalUpdate\Update\GoogleUpdate.exe','32');
 DeleteFile('C:\ProgramData\WindowsMangerPro','32');
 DeleteFile('C:\Users\4138~1\AppData\Local\Temp\MSDCSC\msdcsc.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','32');
 DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MicroUpdate');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\System32\userinit.exe,'); 
DeleteService('globalUpdate');
 DeleteService('globalUpdatem');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится. 
Для создания архива с карантином выполните скрипт:
 
begin
DeleteFile('Qurantine.zip','');
ExecuteFile('7z.exe', 'a -tzip -mx=9 -pinfected Quarantine.zip .\Quarantine\*', 100, 0, true);
end.
 
Отправьте на проверку файл  Quarantine.zip из папки AVZ через портал My Kaspersky (если являетесь пользователем продуктов Лаборатории Касперского и владеете действующим кодом активации одного из продуктов) или через портал Kaspersky Virus Desk.
Для получения ответа в более короткий срок отправьте Ваш запрос через портал My Kaspersky.
 
Порядок действий на портале My Kaspersky::

1) Пройдите авторизацию в Kaspersky Account, используя адрес электронной почты/логин и пароль. Если Вы ещё не зарегистрированы в Kaspersky Account, выберите Создать Kaspersky Account и следуйте инструкциям. На вкладке Мои коды портала My Kaspersky добавьте действующий код активации используемого Вами продукта;
2) На вкладке Мои запросы выберите Создать запрос и создайте запрос в Вирусную лабораторию;
3) В меню Выберите тип запроса выберите Запрос на исследование вредоносного файла;
4) В окне Опишите проблему укажите: Выполняется запрос консультанта. Пароль на архив - infected;
5) Чтобы прикрепить к запросу архив карантина, установите флажок Я принимаю условия соглашения о загрузке файлов и нажмите на ссылку  Загрузить.
Важно: размер архива не должен превышать 15 МБ;
6) В строке EMail укажите адрес своей электронной почты;
7) Проверьте правильность введенных данных и нажмите на кнопку Отправка запроса.

 
Порядок действий на портале Kaspersky Virus Desk::

1) Установите флажок Я хочу получить результаты проверки по электронной почте и укажите адрес своей электронной почты;
2) Нажмите на ссылку Выбрать файл и прикрепите архив карантина.
Важно: размер архива не должен превышать 12 МБ;
3) Убедившись в наличии строки Я хочу отправить на проверку Quarantine.zip, нажмите повторно на ссылку Выбрать файл.
4) Дождитесь ответа об успешной загрузке карантина.

 
Полученный через электронную почту ответ сообщите в этой теме.
 
Пофиксите в HijackThis (некоторых строк после выполнения первого скрипта AVZ может уже не быть):

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hp&ts=1421422160&from=smt&uid=WDCXWD5000AAKX-001CA0_WD-WMAYU671203512035
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hp&ts=1421422160&from=smt&uid=WDCXWD5000AAKX-001CA0_WD-WMAYU671203512035
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hp&ts=1421422160&from=smt&uid=WDCXWD5000AAKX-001CA0_WD-WMAYU671203512035
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hp&ts=1421422160&from=smt&uid=WDCXWD5000AAKX-001CA0_WD-WMAYU671203512035
F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Users\4138~1\AppData\Local\Temp\MSDCSC\msdcsc.exe
O4 - HKCU\..\Run: [MicroUpdate] C:\Users\4138~1\AppData\Local\Temp\MSDCSC\msdcsc.exe
 
Сделайте новые логи по правилам (только пункт 3).
+
лог MBAM и AdwCleaner
 
 
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Couita
      Реклама
      Автор Couita
      Здравствуйте! Появилось данная плашка, как ее скрыть? раздражает сильно
       

    • korenis
      браузер закрывается сам по себе
      Автор korenis
      Скачал установщик адоб премьера с левого сайта, в итоге появился вирус, который закрывает браузер и устанавливает расширение. Антивирусы удаляют эти расширения, но при следующем запуске браузера всё возвращается. Логи и фото прикрепляю.CollectionLog-2025.07.02-12.07.zip
    • PiGeMa
      Не открывается защищенный режим браузера Firefox
      Автор PiGeMa
      Перестал включаться защищенный режим браузера Firefox. Появляется сообщение "couldn't load xpcom".
    • Alhena
      [РЕШЕНО] В браузере Google самопроизвольно открывается вкладка
      Автор Alhena
      Добрый день. Вчера во время игры (был открыт браузер Google), т.е я в данный момент играли и свернула игру. Заметила что покраснела иконка Кis. ОБыл обнаружен скрипт какого то трояна и архивы с адресом в гугле, все удалила, троян вылечился.  Но сейчас периодически открывается в браузере страница Crosspilot.io с предложением поставитьк какое то расширение для оперы в гугл. Может кто сталкивался и как с этим бороться? Пока поставила тот сайт в блокировку. Не знаю поможет ли.
    • KL FC Bot
      Как реклама с дипфейками в Instagram приводит к потере денег | Блог Касперского
      Автор KL FC Bot
      За X (ex-Twitter) уже давно и прочно закрепилась слава основного источника криптоскама, который активно продвигается в соцсети от лица взломанных или фейковых аккаунтов знаменитостей и крупных компаний. Тем временем платформы Instagram*, Facebook* и WhatsApp, принадлежащие вездесущей Meta**, зарабатывают похожую репутацию в другой категории — инвестиционного мошенничества с дипфейками.
      Преступники активно используют ИИ-инструменты для создания поддельных видео с людьми, которые обладают репутацией в финансовой сфере, — от известных экономистов и телеведущих до глав правительств. Затем злоумышленники продвигают такие видео в соцсетях с помощью рекламы. В этом посте рассказываем, как устроены эти схемы, куда попадают жертвы после просмотра таких видео, какую роль в них играет WhatsApp — и как не попасться на удочку мошенников.
      Instagram*, дипфейки и WhatsApp: инвестиционное мошенничество в Канаде
      Чтобы разобраться в том, как это все работает, мы начнем с недавней мошеннической кампании, нацеленной на клиентов канадских банков. В качестве первого шага злоумышленники запустили рекламу в Instagram* от имени BMO Belski.
      Аббревиатура BMO использована осознанно: у пользователей из Канады она устойчиво ассоциируется со старейшим банком страны, Bank of Montreal (Банк Монреаля). Упоминание фамилии Бельски также неслучайно: Брайан Бельски является главным инвестиционным стратегом BMO и руководителем группы инвестиционной стратегии банка.
      В рекламе от лица BMO Belski демонстрируются сгенерированные ИИ дипфейк‑видео с участием самого Бельски, в которых пользователям предлагают присоединиться к «приватной инвестиционной группе в WhatsApp». Расчет преступников состоит в том, что невнимательный канадский пользователь поверит в то, что ему предлагают получить достоверные финансовые и инвестиционные рекомендации от признанного эксперта, — и побежит общаться с мошенниками в WhatsApp.
      Так выглядит реклама мошеннического инвестиционного клуба с дипфейком Брайана Бельски в Instagram*: пользователей убеждают присоединиться к приватной группе в WhatsApp. Источник
      Интересная деталь — у аккаунта BMO Belski, распространявшего эту рекламу в Instagram*, вообще не было профиля в этой социальной сети. Реклама запускалась через страницу BMO Belski в Facebook* — компания Meta**, владеющая обеими социальными сетями, позволяет запускать рекламу в Instagram*, используя только бизнес‑страницу в Facebook*, без необходимости создавать отдельный аккаунт в Instagram*.
       
      View the full article
×
×
  • Создать...