Самопроизвольный запуск браузера Microsoft Edge с рекламой "Вулкан"

[kossty 0]

При старте системы самопроизвольно запускается Microsoft Edge с открытой вкладкой рекламы "Вулкан", дальше в течении работы периодически также самопроизвольно запускается Microsoft Edge с открытой вкладкой рекламы "Вулкан".

CollectionLog-2016.03.09-20.05.zip

[thyrex 1 468]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\ProgramData\VsXYXSig\wRThTaZ3.bat','');
 DeleteFile('C:\ProgramData\VsXYXSig\wRThTaZ3.bat','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

1. Распакуйте архив с утилитой в отдельную папку.

2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

4. Прикрепите этот отчет к своему следующему сообщению.

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[kossty 0]

получил ответное письмо.

 

 

 

KLAN-3918317298​

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.  

quarantine.zip

Этот файл повреждён.

С уважением, Лаборатория Касперского

ClearLNK-09.03.2016_22-16.log

CollectionLog-2016.03.09-22.48.zip

[thyrex 1 468]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[kossty 0]

Сделано.

FRST_Addition.rar

[thyrex 1 468]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Toolbar: HKLM - No Name - {95B7759C-8C7F-4BF1-B163-73684A933233} -  No File
Toolbar: HKLM-x32 - No Name - {95B7759C-8C7F-4BF1-B163-73684A933233} -  No File
Handler: gopher - {79eac9e4-baf9-11ce-8c82-00aa004ba90b} -  No File
C:\Users\Kostya\AppData\Local\Temp\03jNah.exe
C:\Users\Kostya\AppData\Local\Temp\condefclean.exe
C:\Users\Kostya\AppData\Local\Temp\i4jdel0.exe
Task: {4F88A6D9-53BE-410B-9378-A64A01077593} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {542642DA-27A1-4072-B853-7B9B84A24291} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {773F36E9-CFB0-442A-945C-8AC51AB74DE0} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {7AAD0F2A-068D-4D41-A513-FC5F0B82ABE7} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {8B40DC0C-166C-4CBD-9C90-BA4E2205CAE3} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {9BC4039B-FB8B-45F9-940D-DED94A7C574B} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {A62A73ED-1804-402F-A226-3468C5B8F967} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {BCDC8F72-197A-4271-AF54-C5333D7ABD8D} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {DD7D9EF1-E3BC-4637-8CE5-82CEE46C45EC} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {EEDDD86A-CA8D-443C-A6F8-5D8785E43D16} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {F2F43D0E-8015-4BDD-95A5-9A7C1DA60E8D} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[kossty 0]

Сделано.

 

Проблема осталась.

Fixlog.txt

Изменено 10 марта, 2016 пользователем kossty

[thyrex 1 468]

Сделайте лог полного сканирования МВАМ

[kossty 0]

Сделано.

Malwarebytes_Log.txt

[thyrex 1 468]

Удалите в МВАМ все, кроме

RiskWare.Tool.CK, D:\Soft\Keygen.exe, , [a3ddb4d21287a294847c32f1c04205fb],
RiskWare.CHP, C:\Users\Kostya\AppData\Local\Beeline Network Manager\updater\chp.exe, , [6917e3a361386bcb71586174a2624bb5],
PUP.Optional.OpenCandy, E:\Downloads\ac3filter_2_6_0b.exe, , [95eb582e6f2aa6909ee99e79a45edc24],

[kossty 0]

Сделано.

Проблема осталась.

[thyrex 1 468]

Сделайте лог AdwCleaner

[kossty 0]

Сделано.

AdwCleanerS2.txt

[thyrex 1 468]

Удалите найденную запись.

 

Отключите все установленные расширения для браузеров и проверьте проблему

[kossty 0]

Сделано,

расширения в хроме и опере отключены, (в edge не знаю как отключить, если они вообще есть?)

проблема осталась.