[РЕШЕНО] Dr. Web Cureit. Обнаружил угрозы CHROMIUM:PAGE.MALWARE.URL

[chayagolik]

Здравствуйте, при сканировании Dr Web Cureit обнаружилась угроза CHROMIUM:PAGE.MALWARE.URL.

 

CollectionLog-2024.06.18-10.08.zip

[Sandor]

Здравствуйте!

 

"Пофиксите" в HijackThis только следующее:

O22 - Tasks: \WProxy\WinProxy - C:\Program Files\WProxy\WinProxy\WinProxy.exe (not signed - WProxy - 0BBE19447500840EEE7EB90E990FBD3E236884E9)

 

Перезагрузите компьютер.

 

Дополнительно:

• Скачайте AdwCleaner (by Malwarebytes) (или с зеркала) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Запустить проверку") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.
 

[chayagolik]

O22 - Tasks: \WProxy\WinProxy был пофикшен. ПК перезагрузил.

AdwCleaner[S01].txt

[Sandor]

1.

• Запустите повторно (если уже закрыли) AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Параметры включите дополнительно в разделе Действия по базовому восстановлению:
  
  • Сбросить политики IE
  • Сбросить политики Chrome
    
• Убедитесь, что закрыты все браузеры.
• В меню Информационная панель нажмите Запустить проверку.
• По окончании нажмите кнопку Карантин и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.
• (Обратите внимание - C и S - это разные буквы).

Внимание: Для успешного удаления возможно понадобится перезагрузка компьютера!!!

Подробнее читайте в этом руководстве.
 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[chayagolik]

AdwCleaner[C02].txt FRST.txt Addition.txt

[Sandor]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
  CHR StartupUrls: Default -> "hxxp://ru.msn.com/?pc=UP97&ocid=UP97DHP","hxxps://www.google.com/","hxxps://find-it.pro/?utm_source=distr_m"
  CHR HKU\S-1-5-21-237256667-601505565-1338662780-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ldgpjdiadomhinpimgchmeembbgojnjk]
  CHR HKU\S-1-5-21-237256667-601505565-1338662780-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd]
  AlternateDataStreams: C:\ProgramData\1.txt:CFFE82258F [3450]
  AlternateDataStreams: C:\ProgramData\DP45977C.lfl:677104FCAA [3450]
  AlternateDataStreams: C:\ProgramData\ntuser.pol:95CF30931B [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\desktop.ini:B1DA6C571C [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Access 2016.lnk:B76C4E1157 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Acrobat.lnk:1FA7E99ECA [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AMD Bug Report Tool.lnk:7A182AC2E2 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AMD Software꞉ Adrenalin Edition.lnk:5D6AF36EB4 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AMD Software꞉ PRO Edition.lnk:AC079ECB55 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Asus Device Discovery.lnk:57EFE6D3E6 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DARK SOULS REMASTERED.lnk:9AC30A37E8 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\desktop.ini:41964AA945 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Excel 2016.lnk:F9B57EE960 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\FL Studio 20.lnk:125983FB02 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Genshin Impact.lnk:C4AAA7B6FE [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk:8096E45125 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Honkai Star Rail.lnk:59209A4A31 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Ice Cream Mania.lnk:224F7E5F85 [3450]
  AlternateDataStreams: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\League of Legends.lnk:FE8DD675F3 [3450]
  FirewallRules: [{0FFED4E1-D4C2-4E5E-9628-0370BA4244E9}] => (Allow) C:\Program Files\WProxy\WinProxy\WinProxy.exe => Нет файла
  FirewallRules: [{8F33581B-E1D9-49BB-97ED-337C8BC70B48}] => (Allow) C:\Program Files\WProxy\WinProxy\WinProxy.exe => Нет файла
  FirewallRules: [{185D8D89-0400-4225-BDC7-B62167118AFA}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
  FirewallRules: [{124570A1-24A3-4EA4-9283-78086C8FC390}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  cmd: del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
  cmd: del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Code Cache\Js\*.*"
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[chayagolik]

Fixlog.txt

[Sandor]

Хорошо. Удалите старый отчёт cureit.log, сделайте новую проверку и при наличии обнаружения прикрепите новый отчёт.

[chayagolik]

cureit.rar

[Sandor]

Сделайте сброс настроек браузера Хром.

[chayagolik]

Сброс настроек выполнен. Повторные проверки в Dr. Web Cureit и Malwarebytes угроз не обнаружило.
Большое спасибо за помощь!

 

[Sandor]

Отлично!

 

В завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Параметры прокрутите вниз и выберите Удалить.
  

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.
 

2.

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[chayagolik]

SecurityCheck.txt

[Sandor]

Исправьте по возможности:

 

Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
 

Так ли страшен контроль учетных записей (UAC)?

 

AMD Software v.24.3.1 Внимание! Скачать обновления
WinRAR 6.23 (64-разрядная) v.6.23.0 Внимание! Скачать обновления
Discord v.1.0.9039 Внимание! Скачать обновления
OpenVPN 2.4.6-I602  v.2.4.6-I602 Внимание! Скачать обновления
qBittorrent v.4.6.4 Внимание! Скачать обновления
Adobe Acrobat (64-bit) v.23.008.20555 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
Yandex v.24.6.0.1874 Внимание! Скачать обновления
^Проверьте обновления через меню Дополнительно - О браузере Yandex!^
Google Chrome v.126.0.6478.61 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О браузере Google Chrome!^
 

Читайте Рекомендации после удаления вредоносного ПО

[chayagolik]

Спасибо большое за помощь