Перекидывает из поиска на авито на go mail

[olg1667]

Здравствуйте. Вроде пока замечено только в браузере Chrome, при поиске на сайте Авито сразу же поиск перекидывает на go mail. А если просто нажать на любую  ссылку, то открывается рядом сайт с казино или проститутками. Чистил и adwcleaner и kaspersky virus removal tool, но проблема в браузере осталась. Хотя много с помощью adwcleaner мейловского  вычистил.

CollectionLog-2016.11.02-14.28.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\Program Files (x86)\Common Files\6BEC4B48-4B45-4CD1-A9C0-FECD15F46550\77226E5E-CB81-4274-8626-14E8DAF40F5C.exe','');
 QuarantineFile('C:\Users\1\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 DeleteFile('C:\Program Files (x86)\Common Files\6BEC4B48-4B45-4CD1-A9C0-FECD15F46550\77226E5E-CB81-4274-8626-14E8DAF40F5C.exe','32');
 DeleteFile('C:\Users\1\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','AppDownloads');ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[olg1667]

KLAN-5277990975

повторные логи опять прислать вам?

Начитавшись соседних тем, поочередно отключал расширения и заметил,что при отключении Fri Gate с авито больше не перебрасывает на go mail. Но вот казино открывает даже если нажать случайную  вкладку на вашем форуме,но это не постоянно.

повторные логи

CollectionLog-2016.11.02-16.04.zip

[Sandor]

повторные логи опять прислать вам?

Да, прикрепите к следующему сообщению.

[olg1667]

уже отправил выше.

[Sandor]

Скачайте Farbar Recovery Scan Tool (зеркало) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[olg1667]

готово

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR Extension: (Яндекс) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\laddjijkcfpakbbnnedbhnnciecidncp [2016-09-29]
CHR Extension: (Стартовая — Яндекс) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\lalfiodohdgaejjccfgfmmngggpplmhp [2016-11-02]
CHR Extension: (Mail.ru Checker) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\meffiamonaniekghongncpepaaecfoki [2015-12-29]
CHR Extension: (Smart Browser) - C:\Program Files (x86)\Common Files\{85E5C85F-809D-487C-9582-1B930011CBC7}\0.8 [2016-01-15]
OPR Extension: (HomeShop) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\aeajehgeohhgjbhhbicilpenjfcbfnpg [2016-06-13]
OPR Extension: (Smart Browser™) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhmpnibiagopmobamhlgaghkojlcjnfn [2016-06-06]
OPR Extension: (Smart Browser™) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\gamgcdlfhmmigjmbffodgkpglbnejkjm [2016-04-13]
OPR Extension: (Smart Browser™) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\henmfoppjjkcencpbjaigfahdjlgpegn [2016-03-31]
OPR Extension: (News Tab) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\kjacjjdnoddnpbbcjilcajfhhbdhkpgk [2016-03-31]
OPR Extension: (Smart Browser™) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\mefhakmgclhhfbdadeojlkbllmecialg [2016-04-14]
OPR Extension: (Smart Browser™) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\ocggccaacacpienfcgmgcihoombokbbj [2016-05-31]
Task: {620C2F58-1770-4107-891E-3C1F04CE50AE} - \Microsoft\Windows\A31F0D7BA-6C1B-4DBD-86B4-9DD2E2B3CE80 -> No File <==== ATTENTION
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[olg1667]

Готово. Но сейчас после перезагрузки также перекинуло на мейл при нажатии на вкладку при включенном FriGate.И на авито тоже перекинуло на go mail при включенном Fri Gate. Будет не достаточно его просто удалить? Или причина глубже? 

Fixlog.txt

[Sandor]

достаточно его просто удалить?

Удалите и проверьте. Результат сообщите.

[olg1667]

я же уже писал выше что, начитавшись соседних тем, поочередно отключал расширения и заметил,что при отключении Fri Gate с авито больше не перебрасывает на go mail. Но вот казино открывает даже если нажать случайную  вкладку на вашем форуме,но это не постоянно.

теперь нельзя будет пользоваться Fri gate?

[Sandor]

Расширение было подменено вредоносом. Поэтому его следует удалить. По окончании лечения скачаете и установите заново.

[olg1667]

удалил. больше не перекидывает. 

как лечить дальше?

[Sandor]

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[olg1667]

здравствуйте. лог прикрепил.

SecurityCheck.txt