Назойливая реклама и нежелательные уведомления

[Павел Чередниченко]

На компьютере постоянно всплывают уведомления с назойливой рекламой. Чистки реестра и удаление всех подозрительных программ успеха не принесли. Прошу помощи! 

CollectionLog-2019.03.07-14.26.zip

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteRepair(21);
RebootWindows(false);
end.

Компьютер перезагрузится.

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

[Павел Чередниченко]

@Sandor,Выполнено. Новый лог прилагается

CollectionLog-2019.03.07-14.47.zip

[Sandor]

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Павел Чередниченко]

@Sandor, Сделано

AdwCleanerS01.txt

[Sandor]

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки включите дополнительно в разделе Базовые действия:
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Панель управления нажмите Сканировать.
• По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

[Павел Чередниченко]

@Sandor, Готово

AdwCleanerC02.txt

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Павел Чередниченко]

Sandor,

Сделано, оба лога прикреплены

Addition.txt

FRST.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM\ DisallowedCertificates: 3353EA609334A9F23A701B9159E30CB6C22D4C59 (Webroot Inc.) <==== ATTENTION
  HKLM\ DisallowedCertificates: 4C0AF5719009B7C9D85C5EAEDFA3B7F090FE5FFF (Emsisoft Ltd) <==== ATTENTION
  HKLM\ DisallowedCertificates: 7457A3793086DBB58B3858D6476889E3311E550E (K7 Computing Pvt Ltd) <==== ATTENTION
  HKLM\ DisallowedCertificates: 9132E8B079D080E01D52631690BE18EBC2347C1E (Adaware Software) <==== ATTENTION
  HKLM\ DisallowedCertificates: A5341949ABE1407DD7BF7DFE75460D9608FBC309 (BullGuard Ltd) <==== ATTENTION
  HKLM\ DisallowedCertificates: AD4C5429E10F4FF6C01840C20ABA344D7401209F (Avast Antivirus/Software) <==== ATTENTION
  GroupPolicy: Restriction - Chrome <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  FF Homepage: Mozilla\Firefox\Profiles\dgqdgagq.default -> hxxp://hao.007qu.com/ff.html
  FF NewTab: Mozilla\Firefox\Profiles\dgqdgagq.default -> C:\\ProgramData\\Plusdaxs\\ff.NT
  CHR HKU\S-1-5-21-3214212528-1847813815-3547011016-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [aeppgfljjlhcnnbddcccndljodpdkpdh] -  <not found>
  CHR HKU\S-1-5-21-3214212528-1847813815-3547011016-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [epgjfmblhacacphaljkdcjllkomdcjpc] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [indjgiebmakhmnaplnlnanodkfiejfjd] - hxxps://clients2.google.com/service/update2/crx
  2017-07-24 01:21 - 2017-07-24 01:21 - 007324160 _____ () C:\Users\User\AppData\Local\agent.dat
  2017-07-24 01:21 - 2017-07-24 01:21 - 000070800 _____ () C:\Users\User\AppData\Local\Config.xml
  2017-07-24 01:19 - 2017-07-24 01:19 - 000140800 _____ () C:\Users\User\AppData\Local\installer.dat
  2017-07-24 01:21 - 2017-07-24 01:21 - 000005568 _____ () C:\Users\User\AppData\Local\md.xml
  2017-07-24 01:21 - 2017-07-24 01:21 - 000126464 _____ () C:\Users\User\AppData\Local\noah.dat
  2017-07-24 01:21 - 2017-07-24 01:21 - 001899067 _____ () C:\Users\User\AppData\Local\Warmzap.tst
  Task: {26978118-34F1-44BE-99FF-AA45B9AFACAE} - \60BFFED8-3450-6A77-C8D0-FB94F94B8A42 -> No File <==== ATTENTION
  Task: {B4CFB9C2-2A6B-4662-B278-14F72D625676} - \{BFD090EC-087B-2747-31E6-F2CBC078E60F} -> No File <==== ATTENTION
  Task: {BD4FBFA0-25A2-49DA-AE9F-C3DA9C11FB3E} - \{0B7F0947-097D-0404-7811-0409780E1105} -> No File <==== ATTENTION
  Task: {F85312A0-D767-447D-A2D8-9461FC462962} - \{5C7A588D-85D2-9F30-6D98-20ADCAE6675F} -> No File <==== ATTENTION
  WMI:subscription\__FilterToConsumerBinding->\\.\root\subscription:ActiveScriptEventConsumer.Name=\"ASEC\"",Filter="\\.\root\subscription:__EventFilter.Name=\"EventFilter sethomePage2\":: <==== ATTENTION
  WMI:subscription\__TimerInstruction->SethomePage Interval Timer:: <==== ATTENTION
  WMI:subscription\__IntervalTimerInstruction->SethomePage Interval Timer:: <==== ATTENTION
  WMI:subscription\__EventFilter->EventFilter sethomePage2::[Query => Select * From __timerevent Where TimerId = "SethomePage Interval Timer"] <==== ATTENTION
  FirewallRules: [{F727CBBC-45DB-4458-AD9A-698E21391EFC}] => (Allow) C:\Users\User\AppData\Local\Temp\RarSFX0\InstallationPackage\Install\x64\InstallGui.exe No File
  FirewallRules: [{E70FCB46-1DCD-4F19-A55C-3D72C6CD2B62}] => (Allow) C:\Users\User\AppData\Local\Temp\RarSFX0\InstallationPackage\Install\x64\InstallGui.exe No File
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Павел Чередниченко]

@Sandor, Сделано

Fixlog.txt

[Sandor]

Что с проблемой?

[Павел Чередниченко]

@Sandor,Спасибо! 

[Sandor]

Если всё в порядке, в завершение:

1.

• Пожалуйста, запустите adwcleaner.exe
• В меню Настройки - Удалить AdwCleaner - выберите Удалить.
• Подтвердите удаление, нажав кнопку: Да.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.

Компьютер перезагрузится.

 

Остальные утилиты лечения и папки можно просто удалить.

 

2.

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.