Kb-ribaki и zodiac-games

[Всеволод Коровушкин 0]

Здравствуйте, собственно проблема заключается в том, что при запуске системы запускается сайт zodiac-games, через реестр узнал, что перенаправление идет c kb-ribaki.org.
Пробовал чистить различными cleaner'ами, результать один, либо после первой же перезагрузки, либо со второй история повторяется.

CollectionLog-2016.07.14-23.51.zip

[thyrex 1 468]

Выполните скрипт в AVZ

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Всеволод');
 DeleteFile('C:\Windows\system32\Tasks\Всеволод','64');
ExecuteSysClean;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[Всеволод Коровушкин 0]

Выполнил.

CollectionLog-2016.07.15-00.47.zip

[thyrex 1 468]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

6. Логи, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Всеволод Коровушкин 0]

Готово.

Логи.zip

[thyrex 1 468]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKU\S-1-5-21-3674923765-1911423655-1043645846-1001\...\Run: [**A52>;>4<*>] => explorer.exe hxxp://kb-ribaki.org <===== ATTENTION (Value Name with invalid characters)
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[Всеволод Коровушкин 0]

Есть.

Fixlog.txt

[thyrex 1 468]

Проблема решена?

[Всеволод Коровушкин 0]

@thyrex, 

Нет, первые два перезапуска все нормально было. А сейчас для проверки снова перезагрузил и все также, да и в автозапуск эта дрянь снова прописалась.
UPD: Только что заметил, что на миллисекунду выскакивает командная строка и тут же пропадает.

Изменено 15 июля, 2016 пользователем Всеволод Коровушкин

[thyrex 1 468]

Сделайте лог полного сканирования МВАМ

[Всеволод Коровушкин 0]

@thyrex, Что ж это за дрянь-то такая которую ни один антивирус обнаружить не может?

UPD: поубивал я этот сайт в реестре, с четырех перезагрузок вроде ничего пока нет, подожду, если что-то опять будет отпишу.

UPD2: спустя 15 минут опять прописалась.

Логи.txt

Изменено 15 июля, 2016 пользователем Всеволод Коровушкин

[thyrex 1 468]

Сделайте лог AdwCleaner

[Всеволод Коровушкин 0]

@thyrex,

Тоже ничего... 

AdwCleanerS1.txt

[thyrex 1 468]

Тогда, как вариант, переустановка браузеров (или как минимум отключение всех используемых в них расширений). После этого проследите за проблемой

[Всеволод Коровушкин 0]

Тогда, как вариант, переустановка браузеров (или как минимум отключение всех используемых в них расширений). После этого проследите за проблемой

А поможет ли? с учетом того, что прописывается он в explorer.exe, а не в какой-либо бразуер

UPD: Удалил Chrome, начал запускаться EDGE... Не знаю даже что делать, Винду переустанавливать не очень хочется, столько всего уже настроено и скачано, не хочется на это время тратить снова...

Изменено 15 июля, 2016 пользователем Всеволод Коровушкин