От
Sapsan932
Всем желаю здравствовать! )
Браузеры на ноутбуке открывались самопроизвольно при старте системы с псевдо-поисковиком smartinf.ru. Ничего не мог поделать, убрать и идентифицировать проблему не получалось. Будучи обычным неискушенным пользователем - реально был под гнётом от этой проблемы не один месяц. Сегодня устранил. Но времени, которого не вернуть, убил немеряно. Хочу поделиться опытом. Всё, что ниже - написано в помощь и ориентирована исключительно на таких же, как и я обычных пользователей, которые, возможно, сталкиваются с аналогичной проблемой и не знают, как от неё избавиться.
Итак. При старте системы браузер запускается по умолчанию с http://smartinf.ru/?utm_source=uoua03&utm_content=41e0287530e854f62a1033bfaead446e&utm_term=C0BBEB51F5E22C738A3ED6700B2B1AEB&utm_d=none
Идентифицировать проблему оказалось не просто: запускается во всех браузерах. Изменение домашней страницы не помогает. Переустановка браузеров не помогает. В обычной автозагрузке через msconfig (чтобы отключить) его не видно. В свойствах ярлыка браузера никаких левых URL в поле объект не наблюдается. Adblock проблему не решает. Через поиск на компе smartinf-ru – ничего не находится. Очищение папки AppData/Lokal/Temp (может из неё что подгружается) результата не даёт. (В планировщике заданий на вкладке «действия» и нет ничего, что подгружалось бы из папки Temp).
Такое антивирусное ПО, как KIS 2016, Kaspersky Virus Removal Tool, DrWeb Curelt, Norton Power Eraser, Spybot-S&D и т.д. – проблему не решают. Чистильщики типа Norton Utilites16, ССleaner и аналогичные - эту дрянь автоматом тоже не видят и, соответственно, не вычищают.
Если зайти regedit вручную, то через поиск в реестре по smartinf находится ровно ноль.
В реестр в автозапуске в папке HKEY_LOKAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run ничего похожего на smartinf-ru тоже нет. Кроме того, в этой папке также нет никакого другого веб адреса, если это перенаправление с другого сайта (а очень на это похоже). Снёс полностью хром, мозиллу, оперу… Оставив лишь IE, который стал тоже самопроизвольно запускаться при старте показывая smartinf.ru.
ЛЕЧЕНИЕ
Стал искать ресурс, откуда осуществляется редирект. После перезагрузки системы если успеть нажать Esc в момент самопроизвольного старта браузера, то можно на мгновение мельком увидеть реальный веб-адрес перед открытием smartinf. Запомнил - хорошо. Если не запомнил, то:
Чтобы поймать исходный адрес – нужно перезагрузиться с отключенным интернетом, браузер запуститься автоматом и зависнет с реальным адресом.
У меня это оказалось: http://ryulano.ru/?utm_source=uoua03&utm_content=41e0287530e854f62a1033bfaead446e&utm_term=C0BBEB51F5E22C738A3ED6700B2B1AEB (У кого-то, возможно, это может быть любой другой сайт, не обязательно ryulano.ru). В ин-те можно найти, что под smartinf.ru запускаются foretuned.com, mandami.ru, simsimotkroysia.ru, manlucky.ru, bearblack.ru, ivasta.ru, fmav.ru, mipres.ru, windowsmac.ru, ryadcara.ru, ognime.ru, owebty.ru, staneni.ru
Идентифицировав, наконец, угрозу (а это оказалось самое трудное) её можно найти и удалить:
В ручную через поиск в реестре: regidit - Правка - Найти - ryulano.ru (находит программу в разделе реестра HKCU:Run под диким названием aosiihzefp). Удаляем запись. (Название программы может быть и иное. Например, попадалось в ин-те инф-ия, что под smartinf.ru был маскировщик bwdxzmdvna).
Или же (если у кого установлен CCleaner), то заходим в нём на вкладку Сервис (Tools) – автозагрузка – находим строку с программой aosiihzefp – жмакаем «удалить». Или нажимаем правой кнопкой на строке aosiihzefp - открыть RegEdit – снова попадаем в п.1. – удаляем вручную. Эту штуку можно также просто отключить из автозапуска. Например, у меня угроза идентифицировалась Norton Utilities 16 (доступна на оф. сайте с беспл. пробным периодом 30 дней). На вкладке Perfomance в разделе Boost Your Windows Startup находим следующий Path: explorer "http://ryulano.ru/?utm_source=uoua03&utm_content=... - Напротив него - Applikation Name - видим имя зловредной проги: aosiihzefp. Выключаем из автозагрузки. Проблема с открытием браузера при старте уйдёт. Но для реального удаления из реестра - используем всё же пп. 1, 2.
Просканировал после этого еще прогой для удаления рекламного ПО Malwarebytes AdwCleaner v. 6.041, чтоб быть увереным наверняка, что эта дрянь больше нигде не прописалась. (К слову, adguardInstaller.exe который был в нагрузку с AdwCleaner – я бы лично не рекомендовал ставить). Как по мне - удобство данной утилиты в том, что она очень лёгкая, не требует установки, запускается моментом и сразу показывает путь в реестре, где лежит рекламная дрянь. Мне нашло аж 38 штук типа Kometa, Solvusoft, UBar, TorrentSearch, SlimDrivers и т.д., (треть из которых я был твёрдо уверен, что расправился ранее в свое время безвозвратно удалив).
Вот и всё. Надеюсь, что обычным пользователям, столкнувшимся с аналогичной проблемой smartinf.ru и редиректа - вышеописанный личный опыт в устранении этой угрозы может оказаться полезным и сэкономит им время.
P.S. Ну и напоследок про антирекламный софт. Поставил временно Malwarebytes 3.0.5 – (чисто потестить ноут на возможное наличие аналогичных вещей и для интереса - понять разницу по эффективности между Malwarebytes и AdwCleaner 6… Раньше их не использовал). На 14 дней им можно бесплатно лечить ноут Premium версией. Прога зависла после первого сканирования так, что пришлось принудительно перезапускать ноут. По эффективности найденных угроз: Malwarebytes после AdwCleaner нашел еще дополнительно 6 записей: 3 записи и три раздела в реестре типа: PUP.Optional.StartPage, HKU\S-1-5-21-3703156616-2932603758-3660034294-1001\SOFTWARE\START PAGE|START PAGE (переместил в карантин) и два файла типа PUP.Optional.Spigot находящихся в C:\USERS\... \ROAMING\MOZILLA\FIREFOX\PROFILES\XT64D5K4.DEFAULT-1450609439914\PREFS.JS, которые он не смог ни переместить в карантин ни удалить. Так что, Malwarebytes 3.0.5 можно смело сносить, прирост КПД у него практически нулевой по сравнению с утилитой AdwCleaner, ИМХО, которую можно запускать когда нужно, а эффект тот же. )
От Sapsan932
От zyablik
Рекомендуемые сообщения
Присоединяйтесь к обсуждению
Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.