Перенаправление на www.prizebot.ru во всех браузерах.

[DEVhaoS 0]

Здравствуйте.

На компьютере во всех браузерах (Mozilla, chrome, IE) происходит автозамена адресов на prizebot.ru. Касперский блокирует переход на www.prizebot.ru и открывается страница поисковика YouTube c ошибкой 404 . Полная проверка антивирусом ничего не дала. Проблема появилась после обновления Windows.(может просто совпадение)

 

Вчера на форуме был такой же запрос но разобраться на примере не смог. (Я скопировал тему и тег)

 

Лог-архив прикрепляю к сообщению

 

CollectionLog-2016.12.17-12.20.zip

 

Прошу помощи.

[mike 1 1 093]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 DeleteFile('C:\Users\1\AppData\Roaming\PBot\ml.py','32');
 DeleteFile('C:\Users\1\AppData\Roaming\SafeWeb\python\pythonw.exe','32');
 DeleteFile('C:\Users\1\AppData\Roaming\SafeWeb\ml.py','32');
 DeleteFile('C:\Users\1\AppData\Roaming\swEXT\ml.py','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','swEXT');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SafeWeb');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PBot');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyUpdate','64');
 DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb','64');
 DeleteFile('C:\Windows\system32\Tasks\SafeWeb2','64');
 DeleteFile('C:\Users\1\AppData\Roaming\SafeWeb\updater.py','32');
 DeleteFile('C:\Windows\system32\Tasks\swEXT','64');
 DeleteFile('C:\Windows\system32\Tasks\swEXT2','64');
 DeleteFile('C:\Users\1\AppData\Roaming\swEXT\updater.py','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[DEVhaoS 0]

AdwCleanerS0.txt

[mike 1 1 093]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[DEVhaoS 0]

Отчет после удаления

 

AdwCleanerC0.txt

[mike 1 1 093]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[DEVhaoS 0]

После предыдущих советов автозамена адресов на prizebot.ru исчезла. Но при открытии новой вкладки иногда появляется поисковик ютуба (К сожалению, страница недоступна.Попробуйте выполнить поиск по другому запросу.)

https://www.youtube.com/grredir/?url=%3Chtml%20dir=%22ltr%22%3E%3Chead%3E%3Cmeta%20http-equiv=%27content-type%27%20content=%27text/html;charset=utf-8%27%3E%3Ctitle%3EKaspersky%20Anti-Virus%3C/title%3E%20%20%20%20%3Cstyle%20type=%22text/css%22%3E%20%20%20%20%20%20%20%20html,body{height:100%}%20%20%20%20%20%20%20%20html[dir=%22rtl%22]%20{%20%20%20%20%20%20%20%20%20%20%20%20direction:rtl;%20%20%20%20%20%20%20%20}%20%20%20%20%20%20%20%20.adapt%20{text-align:%20left;}%20%20%20%20%20%20%20%20%20html[dir=%22rtl%22]%20.adapt%20{%20%20%20%20%20%20%20%20%20%20%20%20%20text-align:%20right;%20%20%20%20%20%20%20%20%20}%20%20%20%20%20%20%20%20body{width:100%;min-height:100%;margin:0;padding:0;color:#2C2C2C;font:normal11px tahoma;background:#FFF} form{margin:0} table,input,select{font:normal 100% tahoma} img{border:0;margin:0} table{border-collapse:collapse} a{color:#62707D} .t,tr.t td{vertical-align:top} .m{vertical-align:middle} .b,tr.b td{vertical-align:bottom} tr.t td td,tr.b td td{vertical-align:auto} .l{text-align:left} .c{text-align:center} .r{text-align:right} .nobr{white-space:nowrap} .rel{position:relative} .abs{position:absolute} .fl{float:left} .fr{float:right} .cl{clear:both} .w100{width:100%} .h100{height:100%} big,.big{font-size:125%} small,.small{font-size:95%} .micro{color:#DDD;font:normal 9px tahoma} h1{font:bold 20px arial; margin:0} h4{font:bold 12px arial; margin:0} p{text-align:justify;line-height:1.3;margin:0 0 0.5em 0} .z{border:1px solid red} .h1px{height:1px;font-size:1px;line-height:1px} ul{margin:6px 0 6px 20px;padding:0} ul li{margin:3px 0}    </style></head><body><table class="w100 h100"><tr><td class="c m"><table class="adapt" style="margin:0 auto;border:solid 1px #560000"><tr><td style="padding:1px"><div style="width:346px;background:#E33630"><div style="padding:3px"><div style="background:#BF0A0A;padding:8px;border:solid 1px #FFF;color:#FFF"><h4>Kaspersky</h4><h1>Anti-Virus</h1></div><div class="c" style="font:bold 13px arial;text-transform:uppercase;color:#FFF;padding:8px 0">ДОСТУП ЗАПРЕЩЕН</div><div style="background:#F7F7F7;padding:20px 28px 36px;">Запрашиваемый веб-адрес не может быть предоставлен<br><br> <b>Веб-адрес:</b><br><br><div title="http://prizebot.ru/get_link.php?domain=google.ru">http://prizebot.ru/get_link.php?domain=g<...><br><br> </div><b>Заблокирован Веб-Антивирусом</b><br><br> Причина: опасный веб-адрес <br><br><a href="http://touch.kaspersky.com/kav_cup_f8f731b4-629f-4b7c-923c-495d87bf7e09/1481881299">Нажмите здесь, если считаете, что веб-страница заблокирована ошибочно.</a><br><br>Способ обнаружения: облачная защита</div><div style="background:#F7F7F7;padding:0 2px 2px"><div style="background:#E9E9E9;padding:12px 30px 14px"><b>Сообщение создано: 13:06:56</b><br></div></div></div></div></td></tr></table></td></tr></table></body></html><!-- KL-CF-ResponseTemplate AntiMalwareCloud -->&url=https%3A%2F%2Fwww.google.ru%2F_%2Fchrome%2Fnewtab

 

 

Запрошенные отчеты:

 

FRST.txt

 

Addition.txt

Изменено 18 декабря, 2016 пользователем DEVhaoS

[mike 1 1 093]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

  CreateRestorePoint:
  CloseProcesses:
  Toolbar: HKU\S-1-5-21-3870096742-628117475-836278291-1001 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
  FF SearchEngineOrder.1: Mozilla\Firefox\Profiles\vc64gen8.default -> Безопасный поиск
  CHR Extension: (friGate CDN - доступ к сайтам) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\mbacbcfdfaapbcnlnbmciiaakomhkbkb [2016-02-09]
  CHR HKLM-x32\...\Chrome\Extension: [kifonanmkilecibbfhmdcoeonomahncd] - C:\Program Files (x86)\Crx\Files\kifonanmkilecibbfhmdcoeonomahncd_0.0.3.crx [2013-11-13]
  CHR HKLM-x32\...\Chrome\Extension: [kojodkdnpiidbiicdjbfkoknpekkikpb] - C:\Program Files (x86)\Crx\Files\kojodkdnpiidbiicdjbfkoknpekkikpb_0.0.3.crx [2013-11-13]
  CHR HKLM-x32\...\Chrome\Extension: [ophghbbpfljnihcblbjblolkfeilimpj] - C:\Program Files (x86)\Crx\Files\ophghbbpfljnihcblbjblolkfeilimpj_0.0.1.crx [2013-11-13]
  OPR Extension: (Adobe DTM Switch) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\nlgdemkdapolikbjimjajpmonpbpmipk [2014-11-02]
  OPR Extension: (No Name) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\pbdpajcdgknpendpmecafmopknefafha [2016-12-06]
  2016-12-06 20:14 - 2016-12-06 20:18 - 00000000 ____D C:\Users\1\AppData\LocalLow\Unity
  2016-12-06 20:14 - 2016-12-06 20:18 - 00000000 ____D C:\Users\1\AppData\Local\Unity
  2016-12-06 20:13 - 2016-12-17 15:49 - 00000000 ____D C:\Users\1\AppData\Roaming\swEXT
  2016-12-06 20:13 - 2016-12-06 20:13 - 04200395 _____ C:\Users\1\AppData\Roaming\swEXT.exe
  2016-12-06 20:13 - 2016-12-06 20:13 - 00000040 _____ C:\Users\1\AppData\Roaming\swEXT.exe.sha1
  2016-12-06 20:12 - 2016-12-17 15:49 - 00000000 ____D C:\Users\1\AppData\Roaming\PBot
  2016-12-06 20:12 - 2016-12-06 20:17 - 00000000 ____D C:\Users\1\AppData\Roaming\ArchiverApp
  2013-12-22 19:23 - 2013-12-19 19:14 - 0049664 _____ () C:\Users\1\AppData\Roaming\closer.exe
  2013-11-08 15:40 - 2016-12-04 16:40 - 0000230 _____ () C:\Users\1\AppData\Roaming\WB.CFG
  2013-12-31 16:40 - 2014-01-03 15:42 - 0000005 _____ () C:\Users\1\AppData\Roaming\WBPU-Q5-TTL.DAT
  2013-11-08 15:40 - 2014-01-29 16:40 - 0000005 _____ () C:\Users\1\AppData\Roaming\WBPU-TTL.DAT
  Task: {13220B31-A457-4546-AFFA-09ECB02A8E69} - \SafeWeb -> No File <==== ATTENTION
  Task: {1D70516E-327E-49C3-9A24-58770115E690} - \WPD\SqmUpload_S-1-5-21-3870096742-628117475-836278291-1000 -> No File <==== ATTENTION
  Task: {347B1684-2510-4547-8C39-6CD162C8A3B7} - \PBot -> No File <==== ATTENTION
  Task: {41AE2BA3-9628-4A96-952C-1BAE0343A20F} - \PBot2 -> No File <==== ATTENTION
  Task: {906094DD-BFB6-44C8-A845-10A4184D5CF3} - \swEXT2 -> No File <==== ATTENTION
  Task: {AA9BE9FE-08A4-4D01-A5CF-3FDAD58DF64F} - System32\Tasks\{EF768B80-4C44-4B1D-8DD7-8EF89DC7087C} => Chrome.exe
  Task: {BFE16C18-7FBE-4863-8384-5C4E327D7A57} - System32\Tasks\{9D4F628D-6C64-46DA-A468-C984E7947FB4} => Chrome.exe 
  Task: {C1E8E2F0-FB63-445A-9FF3-5A876AFD2AB3} - \SafeWeb2 -> No File <==== ATTENTION
  Task: {E3CF06E1-BDB7-42FA-A2A2-E4F8E2793200} - \WPD\SqmUpload_S-1-5-21-3870096742-628117475-836278291-500 -> No File <==== ATTENTION
  EmptyTemp:
  

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.
• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[DEVhaoS 0]

Прикрепляю файл

 

Fixlog.txt

 

Никакого архива не появилось. 

[mike 1 1 093]

Что с проблемой?

[DEVhaoS 0]

Очень редко в хроме появляется поисковик ютуба в новой вкладке.

(К сожалению, страница недоступна.Попробуйте выполнить поиск по другому запросу.) 

Я попробовал Mozilla Firefox и Internet Explorer но там все впорядке. Может это уже браузер заглючил и мне его переустановить?

[mike 1 1 093]

Сделайте скриншот ошибки.

 

+

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме

[DEVhaoS 0]

 

SecurityCheck.txt

[mike 1 1 093]

Расширения в браузере попробуйте отключить.

 

Обновите:

 

WinRAR 4.00 (64-разрядная) v.4.00.0 Внимание! Скачать обновления

Microsoft Silverlight v.5.1.50901.0

--------------------------------- [ IM ] ----------------------------------

Skype™ 7.0 v.7.0.102 Внимание! Скачать обновления

^Необязательное обновление.^

Java 8 Update 51 v.8.0.510 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u112-windows-i586.exe)^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 24 ActiveX v.24.0.0.186

Adobe Flash Player 24 NPAPI v.24.0.0.186

Adobe Flash Player 24 PPAPI v.24.0.0.186

Adobe Reader X (10.1.12) - Russian v.10.1.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Reader XI или Adobe Acrobat Reader DC.

------------------------------- [ Browser ] -------------------------------

Mozilla Firefox 46.0.1 (x64 ru) v.46.0.1 Внимание! Скачать обновления

^Проверьте обновления через меню Справка - О Firefox!^

[DEVhaoS 0]

Уважаемый эксперт благодарю Вас за помощь!!!

 

Я отключал расширения но ошибка оставалась. Переустановив хром она исчезла.