Автозапуск браузера

[kulin]

Здравствуйте. Периодически запускается Google Chrome с сайтом. Сканировал несколькими утилитами ничего не помогло. Спасибо за помощь.

CollectionLog-2021.02.16-23.12.zip

[Sandor]

Здравствуйте!

 

"Пофиксите" в HijackThis:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Start Page] = https://mail.ru/cnt/10445?gp=812208
O2-32 - HKLM\..\BHO: MRSearchPlugin - {8E8F97CD-60B5-456F-A201-73065652D099} - C:\Users\Starokon\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll (file missing)
O4 - HKCU\..\Run: [Starokon] = C:\WINDOWS\explorer.exe http://exinariuminix.info
O22 - Task: Browserupdphenix - C:\Users\Starokon\AppData\Local\Browserupdphenix\Browserupdphenix.exe --s=F0C71AB3B6CED107FEBD79A037CF8B52EF64B839745771706606F9734FAFA95D46DF21E5528F9011C51FC18935 --id=1 --sub-id=636 (file missing)
O22 - Task: Starokon - C:\WINDOWS\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Starokon /t REG_SZ /d "explorer.exe http://exinariuminix.info"

 

Перезагрузите компьютер вручную. Затем:

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Запустить проверку") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.
 

[kulin]

Проблема решена. Спасибо. Лог прикрепил.

 

AdwCleaner[S03].txt

[Sandor]

Кое-что ещё дочистим:

 

1.

• Запустите повторно (если уже закрыли) AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Параметры включите дополнительно в разделе Действия по базовому восстановлению:
  
  • Сбросить политики IE
  • Сбросить политики Chrome
    
• В меню Информационная панель нажмите Запустить проверку.
• По окончании нажмите кнопку Карантин и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.
• (Обратите внимание - C и S - это разные буквы).

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!

Подробнее читайте в этом руководстве.
 

2.

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

[kulin]

Все действия выполнил. Логи прикрепил.

 

AdwCleaner[S04].txt Addition.txt FRST.txt

[Sandor]

18.02.2021 в 08:10, Sandor сказал:

Обратите внимание - C и S - это разные буквы

Не обратили внимания

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
  HKU\S-1-5-21-1398479034-270700933-1813581037-1001\...\MountPoints2: {20cc5d8e-648b-11e9-a2f8-0019dbe6404c} - "G:\HiSuiteDownLoader.exe" 
  GroupPolicy: Restriction ? <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
  CHR StartupUrls: Default -> "hxxps://mail.ru/cnt/10445?gp=812205"
  2021-02-16 04:22 - 2021-02-16 04:22 - 000000000 ____D C:\Users\Starokon\AppData\Local\Browserupdphenix
  AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [223]
  AlternateDataStreams: C:\ProgramData\TEMP:E965A533 [322]
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.