Вирус, показывающий рекламу в Google Chrome

[laudaxx 0]

Доброго времени суток. Вчера после установки exe-шного файла (был скачан на компьютер) подхватил вирус, выводящий рекламу в браузере в виде баннеров, тизеров, тизерных блоков в основном гэмблингового содержания.Прошу содействия в решении проблемы. 

CollectionLog-2019.03.12-13.10.zip

[Sandor 1 253]

Здравствуйте!

 

Настройки прокси меняли самостоятельно?

Internet Settings: [AutoConfigURL] = https://config.anticenz.org/proxy.pac

[laudaxx 0]

Нет. Вообще не трогал ничего подобного.

расширение стоит frigate

[Sandor 1 253]

"Пофиксите" в HijackThis:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [AutoConfigURL] = https://config.anticenz.org/proxy.pac
R1 - HKLM\System\CurrentControlSet\services\NlaSvc\Parameters\Internet\ManualProxies: (default) = 0https://config.anticenz.org/proxy.pac

Далее:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[laudaxx 0]

AdwCleaner

AdwCleanerS01.txt

[Sandor 1 253]

Отчёт об очистке AdwCleaner[C00].txt тоже покажите.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[laudaxx 0]

 

Файлы

AdwCleanerC00.txt

FRST.txt

Addition.txt

[Sandor 1 253]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  GroupPolicy: Restriction ? <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  FF user.js: detected! => C:\Users\sancho\AppData\Roaming\Mozilla\Firefox\Profiles\wovt2hc8.default\user.js [2017-07-12]
  CHR StartupUrls: Default -> 
  CHR Extension: (No Name) - C:\Users\sancho\AppData\Local\Google\Chrome\User Data\System Profile\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-12-06]
  CHR HKLM\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [lhemechcanjmilllmccjbjldonmnnjjj] - hxxps://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [pkijdmeepjhpenmighhaodgfoogncnlk] - C:\Program Files\Offline Explorer Enterprise\mpoe.crx [2016-02-13]
  CHR HKU\S-1-5-21-3974331004-1504228598-2743864104-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gkdkfnbddpdpidbpnljcocpjeaafngdb] - hxxp://clients2.google.com/service/update2/crx
  2019-03-11 12:57 - 2019-03-11 12:57 - 000002361 ____C C:\Users\sancho\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Good Chrome.lnk
  2019-03-12 12:37 - 2014-10-25 12:59 - 000000000 ___DC C:\Users\sancho\AppData\Roaming\IObit
  2019-03-12 12:37 - 2014-10-25 12:59 - 000000000 ___DC C:\Users\sancho\AppData\LocalLow\IObit
  2019-03-12 12:37 - 2014-10-25 12:59 - 000000000 ___DC C:\ProgramData\IObit
  ShortcutWithArgument: C:\Users\sancho\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> "hxxp://pzemisa.ru/?utm_source=startlink03&utm_content=736921f4e59eac7fe759af5a765d3686&utm_term=429A844D491D28D7258622821131E4B5&utm_d=20160915"
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[laudaxx 0]

А скопированный код я куда должен был вставить?

я понял, сейчас заново сделаю

Fixlog.txt

[Sandor 1 253]

Что сейчас с проблемой?

[laudaxx 0]

Fixlog

Fixlog.txt

[Sandor 1 253]

Скрипт отработал и в первый раз.

 

Что сейчас с проблемой?

[laudaxx 0]

По -прежнему

[Sandor 1 253]

Только в Хроме? Если да, отключите в нём все расширения, в т.ч. стандартные. Пропадет - включайте по одному, пока не найдете виновника. Название сообщите.

[laudaxx 0]

Да, вот оно https://prnt.sc/mwt502

Спасибо Вам! Только в хроме. Непонятно, почему к этому расширению цепляется