Удалить угонщик браузеров smartsputnik

[zyablik]

Ноутбуку 2 года. Активно работает в Сети. Ко мне попал вчера. Сидел весь вечер в Интернете. Поисковик не понравился сразу. Вручную запускал google.ru. А сегодня сразу же после включения Касперский (Endpoint Sec.10) нашел активное заражение. Но после (или, может быть, и до) перезагрузки Хром и Опера перестали загружаться (типа какие-то bat'ы отсутствуют типа). Хром переустановил. ADWCleaner скачал, что-то много всего нашел (протокол есть). Теперь в принципе всё работает, вроде, но с поиском прежняя фигня. Например, при вводе "ррр" в адресную строку и нажатии Enter возникает строка smartsputnik..., которая вначале меняется на http://go.mail.ru/search?q=%D1%80%D1%80%D1%80&gp=789108&frc=789108, а затем также автоматически на 
http://searchtds.ru/?ref=w60qh&q=%D1%80%D1%80%D1%80 -- и видим результаты Поиска@Mail.Ru, что меня никак не устраивает.
В Сети советов по этому поводу много. Но Вам я как-то привык доверять больше.

Спасибо.CollectionLog-2015.10.06-14.23.zip

 

Дополнение. Касперский находил вот это:

троянская программа Trojan.BAT.StartPage.nw            C:\ProgramData\Browsers\browser4.bat

Изменено 6 октября, 2015 пользователем zyablik

[Sandor]

Здравствуйте!
 
Через Панель управления - Удаление программ - удалите нежелательное ПО:

application extension version 1.5
GamesDesktop 033.025010061
Software Updater

 
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
 
Выполните скрипт в AVZ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('F:\autorun.inf', '');
 QuarantineFile('C:\ProgramData\Browsers\browser0.bat','');
 DeleteFile('C:\ProgramData\Browsers\browser0.bat','32');
 DeleteFile('C:\iexplore.bat', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
 

 
Компьютер перезагрузится.

 
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com
 
Полученный ответ сообщите здесь (с указанием номера KLAN)
 

Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.



Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[zyablik]

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

application extension version 1.5

GamesDesktop 033.025010061

Software Updater

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\iexplore.bat', '');
 QuarantineFile('F:\autorun.inf', '');
 QuarantineFile('C:\ProgramData\Browsers\browser0.bat','');
 DeleteFile('C:\ProgramData\Browsers\browser0.bat','32');
 DeleteFile('C:\iexplore.bat', '32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.
 

 

Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Файл CheckBrowserLnk.log

из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.

 

 

Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Ответ ЛК:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

 

autorun.inf

 

Вредоносный код в файле не обнаружен.

 

С уважением, Лаборатория Касперского

 

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ruhttp://www.viruslist.ru"

 

-----------

ADWCleaner сказал, что ничего нет

----------

ClearLNK-06.10.2015_16-16.log

----------

Приложения удалил, кроме Software Updater (он от SEIKO EPSON -- пока думаю, что оно принтеровское). Или нет?

----------

Скрипт AVZ, разумеется, выполнил.

Изменено 6 октября, 2015 пользователем zyablik

[Sandor]

 

 

ADWCleaner сказал, что ничего нет

Отчет все же приложите.

 

p.s. Не нужно цитировать все предыдущее сообщение, используйте "Быстрый ответ".

 

 

кроме Software Updater (он от SEIKO EPSON -- пока думаю, что оно принтеровское)

Да, виноват, это я пропустил.

[zyablik]

Да, извините за оверквотинг.
Отчет, оказывается, есть. Я-то думал, раз нет ничего, то и отчета нет. AdwCleanerS3.txt

 

А фокус в том, что как поиск угонялся, так и угоняется на Mail.Ru. Только что проверил. И главное ведь (как и прежде): в настройках поисковых систем в Хроме нельзя удалить этот smartsputnik!
 

В реестре (HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome) ничего не изменилось.

 

[Sandor]

Вы торопите события)) Показали третий запуск, а важно было увидеть первый. Да и очистка могла быть немного другой.

 

Продолжим:

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочками также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[zyablik]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочками также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

FRST.txt

Addition.txt

Shortcut.txt

Изменено 6 октября, 2015 пользователем zyablik

[Sandor]

Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.

start
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF Extension: No Name - C:\Program Files (x86)\WebexpEnhancedV1\WebexpEnhancedV1alpha113\ff [not found]
CHR HKLM-x32\...\Chrome\Extension: [mknfjmmpkmaaoclldkbmamilgpkebggh] - C:\Program Files (x86)\WebexpEnhancedV1\WebexpEnhancedV1alpha113\ch\WebexpEnhancedV1alpha113.crx <not found>
OPR Extension: (SuperMegaBest.com) - C:\Users\Альбина\AppData\Roaming\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2014-04-15]
OPR Extension: (Переводчик для Chrome 2) - C:\Users\Альбина\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcnhkahnjcbndmmehfkdnkjomaanaooo [2014-10-26]
OPR Extension: (Quick Searcher) - C:\Users\Альбина\AppData\Roaming\Opera Software\Opera Stable\Extensions\mbacbcfdfaapbcnlnbmciiaakomhkbkb [2015-08-15]
S1 BAPIDRV; system32\DRIVERS\BAPIDRV64.sys [X]
2015-09-19 09:19 - 2015-09-19 09:19 - 00000000 ____D C:\Users\Альбина\Downloads\Torrentex
AlternateDataStreams: C:\Users\Альбина\OneDrive:ms-properties
FirewallRules: [{D00AB889-BAFF-4EDA-90BE-D2AB2818EACE}] => (Allow) C:\Program Files (x86)\AVG\AVG2014\avgnsa.exe
FirewallRules: [{B6D358F0-A24F-4DF6-99DA-968D7A35CF42}] => (Allow) C:\Program Files (x86)\AVG\AVG2014\avgnsa.exe
FirewallRules: [{5F12F607-C294-435F-B0CE-DC7AB42F524E}] => (Allow) C:\Program Files (x86)\AVG\AVG2014\avgdiagex.exe
FirewallRules: [{A2E0F9A0-A671-4608-8527-6C10A106734C}] => (Allow) C:\Program Files (x86)\AVG\AVG2014\avgdiagex.exe
FirewallRules: [{FC1F7423-8E65-45A4-9026-1A82FA03E236}] => (Allow) C:\Program Files (x86)\AVG\AVG2014\avgemca.exe
FirewallRules: [{A534B15E-70D0-46A2-930C-686BB47DCF23}] => (Allow) C:\Program Files (x86)\AVG\AVG2014\avgemca.exe
FirewallRules: [{F0F6830B-4C89-4394-A2E5-B916FE1D6E8F}] => (Allow) C:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{BB056F88-AEFC-4128-9F15-C24EDDE8A8D8}] => (Allow) C:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{A89BC952-CA0C-492C-92CC-2F054FAB11D8}] => (Allow) C:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{9A857313-4CFC-431D-9F49-5E34296CD4AC}] => (Allow) C:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{B45A4F5C-483D-419F-86EA-6656F2CC6B05}] => (Allow) C:\Torrentex\Torrentex.exe
FirewallRules: [{CEEA516E-AD31-43CA-A909-D34B044C7B05}] => (Allow) C:\Torrentex\Torrentex.exe
EmptyTemp:
Reboot:
end

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.

 

 

Сообщите что с проблемой.

[zyablik]

Спасибо, Sandor!

Проблема решена: стало возможным удаление этого левого поисковика в настройках браузера. Поиск напрямую с адресной строки идет Гуглом, что и надо было.

Ну, и соответственно, в реестре эта ветка совсем исчезла.

Изменено 6 октября, 2015 пользователем zyablik

[Sandor]

 

 

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Все-таки покажите

 

В завершение:

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.

Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)

Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.

Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;

Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

Прикрепите этот файл к своему следующему сообщению.

[zyablik]

Все-таки покажите Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Забыл. Потом долго ноутбук был не у меня.

Fixlog.txt

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.

• Прикрепите файл SecurityCheck.txt к своему следующему сообщению.

SecurityCheck.txt

Изменено 12 октября, 2015 пользователем zyablik

[Sandor]

--------------------------- [ OtherUtilities ] ----------------------------
Microsoft Silverlight v.5.1.30514.0 Внимание! Скачать обновления
TeamViewer 8 v.8.0.17396 Внимание! Скачать обновления
^Необязательное обновление.^
VLC media player 2.0.5 v.2.0.5 Внимание! Скачать обновления
--------------------------------- [ IM ] ----------------------------------
Skype™ 7.6 v.7.6.105 Внимание! Скачать обновления
^Необязательное обновление.^
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.4.5.41202 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 16 NPAPI v.16.0.0.235 Внимание! Скачать обновления
Adobe Reader XI (11.0.09) - Russian v.11.0.09 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
---------------------------- [ UnwantedApps ] -----------------------------
Skype Click to Call v.7.4.0.9058 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.

Если программа

Supdater v.1.1.0.52

не известна, удалите через Удаление программ в Панели управления.

Прочтите и выполните Рекомендации после удаления вредоносного ПО