Пересылает на сторонние сайты

[Danila_12]

При нажатии на ссылку открываются не те сайты. Обычно это регистрация на фейсбук. Вот лог FRST

Desktop.rar

[Sandor]

Здравствуйте!

 

Выполните Порядок оформления запроса о помощи

[Danila_12]

Вот лог из Auto Logger

CollectionLog-2016.04.01-18.39.zip

Изменено 1 апреля, 2016 пользователем Danila_12

[Sandor]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('C:\ProgramData\KRB Updater Utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFileF('C:\Program Files (x86)\Kinoroom Browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFileF('C:\Users\Нота\AppData\Local\SystemDir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\Users\Нота\AppData\Local\SystemDir\nethost.exe', '');
 QuarantineFile('C:\Users\Нота\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFile('C:\Users\Нота\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico', '');
 QuarantineFile('C:\Users\Нота\Favorites\Links\Интернет.url', '');
 ExecuteFile('schtasks.exe', '/delete /TN "KRBLNKRUN" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true);
 DeleteFile('C:\Users\Нота\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
 DeleteFile('C:\Users\Нота\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico');
 DeleteFile('C:\Users\Нота\Favorites\Links\Интернет.url');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\Users\Нота\AppData\Local\SystemDir\nethost.exe', '32');
 DeleteFileMask('C:\ProgramData\KRB Updater Utility', '*', true);
 DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
 DeleteFileMask('C:\Users\Нота\AppData\Local\SystemDir', '*', true);
 DeleteDirectory('C:\ProgramData\KRB Updater Utility');
 DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
 DeleteDirectory('C:\Users\Нота\AppData\Local\SystemDir');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run-','KRB Updater Utility');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Danila_12]

Здравствуйте! Не помогло.Также пересылает и создаёт новые окна. В Internet Explorer такого не наблюдается.

KLAN-4029103156

Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

Вoйти в Интeрнeт.lnk,
Вoйти в Интeрнeт.ico,
Интернет.url

A set of unknown files has been received. They will be sent to the Virus Lab.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700  http://www.kaspersky.com http://www.viruslist.com"


--------------------------------------------------------------------------------
From:
Sent: 4/2/2016 8:55:40 AM
To: newvirus@kaspersky.com
Subject: вирус

 

Сообщение от модератора Mark D. Pearlstone

Адрес почты пользователя удалён.

AdwCleanerS1.txt

[Sandor]

Не помогло.Также пересылает

А мы еще не закончили.

 

1.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню "Options" ("Настройки") отметьте дополнительно:
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

 

 

2.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Danila_12]

В AdwCleaner было 2 файла с буквой С, прикрепил оба. С2 создан последним.

AdwCleanerC1.txt

AdwCleanerC2.txt

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
Toolbar: HKLM - No Name - {50616E10-F51B-4D16-B50B-136715C0A23E} -  No File
Toolbar: HKLM-x32 - No Name - {50616E10-F51B-4D16-B50B-136715C0A23E} -  No File
Task: {6DA85B89-0A9A-4E64-A2F3-330A93148D2E} - \Microsoft\Windows\AE9986ADF-E627-48E1-ACD4-73763E94FF6D -> No File <==== ATTENTION
Task: {B075CE70-C492-4BC9-9839-FBE87984547E} - \Microsoft\extsetup -> No File <==== ATTENTION
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Сообщите что сейчас с проблемой.

Изменено 2 апреля, 2016 пользователем Sandor

[Danila_12]

Большое спасибо! Проблема ушла! А можно ли как то застраховаться от подобного.

Fixlog.txt

[Sandor]

можно ли как то застраховаться от подобного

Для этого проделайте финальные шаги:

1.

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Деинсталлировать).
• Подтвердите удаление, нажав кнопку: Да.

Подробнее читайте в этом руководстве.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj отсюда и сохраните утилиту на Рабочем столе.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Danila_12]

Вот файл от Security Check

SecurityCheck.txt

[Sandor]

------------------------------- [ Windows ] -------------------------------

Service Pack не установлен Внимание! Скачать обновления

^Возможно потребуется повторная активация Windows^

Internet Explorer 8.0.7600.16385 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Автоматическое обновление отключено

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.4.5.41372 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

Shareman, версия 102.3.78.194 v.102.3.78.194 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Reader XI - Russian v.11.0.00 Внимание! Скачать обновления

^Проверьте обновления через меню Справка - Проверить обновления!^

 

 

Прочтите и выполните Рекомендации после удаления вредоносного ПО