Реклама в браузере

[Роман Сымошкин]

Здравствуйте, ситуация в следующем при клике мыши в браузере открывается реклама.

CollectionLog-2016.09.02-16.35.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~3\589ac014\5abe8364.dll','');
 QuarantineFile('C:\Users\111\AppData\Local\Video4you\perfchecker.exe','');
 DeleteFile('C:\Users\111\AppData\Local\Video4you\perfchecker.exe','32');
 DeleteFile('C:\Program Files (x86)\Lphatheied\RdnCldGht.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Reading Cloud','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\Wininet\PerfChecker','64');
 DeleteFile('C:\Users\111\AppData\Roaming\SyManager\updater\python\pythonw.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\SyManager','64');
 DeleteFile('C:\PROGRA~3\589ac014\5abe8364.dll','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\{71A3F4EB-1B46-2093-6B99-C42F8A1A1B43}','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\{CC8772CB-E639-4DBF-85BE-1F7DB2E96290}','64');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\Uninst.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[Роман Сымошкин]

KLAN-4954219156

Проблема решена.

CollectionLog-2016.09.03-17.24.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Роман Сымошкин]

Вот файлы

Addition.txt

FRST.txt

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\Parameters: [NameServer] 82.163.143.176 82.163.142.178
FF Extension: (No Name) - C:\Users\111\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\iobitascsurfingprotection@iobit.com [not found]
OPR Extension: (No Name) - C:\Users\111\AppData\Roaming\Opera Software\Opera Stable\Extensions\ggmhognecmdcfkbcofenogmgmpgcbjlc [2016-07-18]
OPR Extension: (No Name) - C:\Users\111\AppData\Roaming\Opera Software\Opera Stable\Extensions\leenkjhmbcgekojlkimcbodmniopgfnp [2016-07-18]
2016-07-27 23:05 - 2016-07-27 23:26 - 00002259 _____ C:\Users\111\Desktop\brоwsеr - Яpлык.lnk
2016-07-27 23:05 - 2016-07-27 23:11 - 00002031 _____ C:\Users\111\Desktop\Sеm - Сhrоmе.lnk
2016-07-27 22:40 - 2016-07-27 22:48 - 00000000 ____D C:\Program Files\Wuzpuvaeseil
2016-07-27 22:29 - 2016-07-27 22:36 - 00000000 ____D C:\Users\111\AppData\Local\hiwalyjutivesp
2016-07-27 22:26 - 2016-08-21 16:30 - 00000000 ____D C:\Users\111\AppData\Local\Video4you
2016-07-19 09:36 - 2016-07-19 12:29 - 00000000 ____D C:\Users\111\AppData\Roaming\prof2you
2016-07-18 01:26 - 2016-07-27 22:25 - 00000000 ____D C:\Users\Все пользователи\InstallChecker
2016-07-18 01:26 - 2016-07-27 22:25 - 00000000 ____D C:\ProgramData\InstallChecker
C:\Users\111\AppData\Local\Temp\2RtkczxmFP4B.exe
C:\Users\111\AppData\Local\Temp\33zdr0EOFVAv.exe
C:\Users\111\AppData\Local\Temp\5iJUwbQx0jAy.exe
C:\Users\111\AppData\Local\Temp\6h9WbfpVYQoR.exe
C:\Users\111\AppData\Local\Temp\7FA7.tmp.exe
C:\Users\111\AppData\Local\Temp\9cFizHMyWYFB.exe
C:\Users\111\AppData\Local\Temp\AmigoDistrib.exe
C:\Users\111\AppData\Local\Temp\bM6rHbYTfaDp.exe
C:\Users\111\AppData\Local\Temp\Browser_V5.6.14087.7_f_4730_(Build1607010949).exe
C:\Users\111\AppData\Local\Temp\DHt3glRPbxea.exe
C:\Users\111\AppData\Local\Temp\Drnwrs9QY7Lj.exe
C:\Users\111\AppData\Local\Temp\ExfMRP5SwYMp.exe
C:\Users\111\AppData\Local\Temp\f8dd6fb6-76ce-478d-8901-610e1db1bdcb.exe
C:\Users\111\AppData\Local\Temp\gh7Aa2BM0Mpu.exe
C:\Users\111\AppData\Local\Temp\hcv_mailruhomesearch (1).exe
C:\Users\111\AppData\Local\Temp\hcv_mailruhomesearch (2).exe
C:\Users\111\AppData\Local\Temp\hcv_mailruhomesearch.exe
C:\Users\111\AppData\Local\Temp\hfdiw1Lrx0qq.exe
C:\Users\111\AppData\Local\Temp\i9PXqkdQ8HTS.exe
C:\Users\111\AppData\Local\Temp\ICReinstall_7FA7.tmp.exe
C:\Users\111\AppData\Local\Temp\inst_1.exe
C:\Users\111\AppData\Local\Temp\inst_2.exe
C:\Users\111\AppData\Local\Temp\inst_4.exe
C:\Users\111\AppData\Local\Temp\iyNScXJnds5V.exe
C:\Users\111\AppData\Local\Temp\libeay32.dll
C:\Users\111\AppData\Local\Temp\M9lbzbpnrHYK.exe
C:\Users\111\AppData\Local\Temp\mailruhomesearch.exe
C:\Users\111\AppData\Local\Temp\MailRuUpdater.exe
C:\Users\111\AppData\Local\Temp\msvcr120.dll
C:\Users\111\AppData\Local\Temp\nsy5184.tmp.exe
C:\Users\111\AppData\Local\Temp\NXoVfmtyogEA.exe
C:\Users\111\AppData\Local\Temp\pH8ZqRm4TBoM.exe
C:\Users\111\AppData\Local\Temp\qfEFQZF02ImB.exe
C:\Users\111\AppData\Local\Temp\qPI4zDGH4gtH.exe
C:\Users\111\AppData\Local\Temp\setup.exe
C:\Users\111\AppData\Local\Temp\setup_759.exe
C:\Users\111\AppData\Local\Temp\sqlite3.dll
C:\Users\111\AppData\Local\Temp\SyManager.exe
C:\Users\111\AppData\Local\Temp\tDXi2N6KJLXW.exe
C:\Users\111\AppData\Local\Temp\TtBkM415aAWx.exe
C:\Users\111\AppData\Local\Temp\update.exe
C:\Users\111\AppData\Local\Temp\V21noKdBdBQd.exe
C:\Users\111\AppData\Local\Temp\x78s0z3U7ryH.exe
C:\Users\111\AppData\Local\Temp\xMUHOUTFUZRD.exe
C:\Users\111\AppData\Local\Temp\XOb0ZSh1RYaV.exe
Task: {1763C4F9-B682-457A-B7D5-C893E97AD29C} - \Microsoft\Windows\Wininet\PerfChecker -> No File <==== ATTENTION
Task: {17DE3B73-99A1-42B8-AF5C-70F3BA412928} - \{71A3F4EB-1B46-2093-6B99-C42F8A1A1B43} -> No File <==== ATTENTION
Task: {301E60BF-3521-48A0-988D-499079B7AD40} - \LaunchSignup -> No File <==== ATTENTION
Task: {3BBCD808-F9FA-4FF5-8992-80CEAC7987F9} - \PC Performer Scheduled Scan -> No File <==== ATTENTION
Task: {6AE5DB29-8358-4217-9902-2377E76749A2} - \PC Performer Logon Scan -> No File <==== ATTENTION
Task: {7CB7DA1F-23A8-4CCE-8A6A-5ACC293F2D53} - \{CC8772CB-E639-4DBF-85BE-1F7DB2E96290} -> No File <==== ATTENTION
Task: {8DFD9BB2-D97F-4480-8F35-E7A41CD05CEB} - \Reading Cloud -> No File <==== ATTENTION
Task: {A4AB4CBB-4493-458A-885C-359AAB03B7D8} - \SyManager -> No File <==== ATTENTION
Task: {BE9222BD-FFE7-40C4-8D31-3993987659BC} - \Microsoft\Windows\Apps\UpService -> No File <==== ATTENTION
C:\Users\111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\WarThunder\WаrТhundеr.lnk
C:\Users\111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk
C:\Users\111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\brоwsеr - Ярлык.lnk
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[Роман Сымошкин]

Вот

Fixlog.txt

[thyrex]

Проблема решена?

[Роман Сымошкин]

Да, огромное спасибо.