14 ответов в этой теме

[DirDonBin]

Доброго времени суток. В браузере, каждые 20 - 30 минут, открывается "advancednews.net/justs" в новой вкладке и перенаправляет на сайт с рекламой. Avast ничего не видит, Dr.Web Cureit нашел 10 угроз, исправил их и больше ничего не находит.

Прикрепленные файлы:

•  Doctor Web.rar   4,68Мб   14 Скачано раз

Сообщение было изменено DirDonBin: 26 Февраль 2017 - 12:37

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

- попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
- детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
- дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена коммерческая лицензия Dr.Web Security Space не ниже версии 9.0, Антивирус Dr.Web для Windows не ниже версии 9.0 или Dr.Web Enterprise Security Suite не ниже версии 6.0. подробнее.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];


4. При возникновении проблем с интернетом, таких как "не открываются сайты", в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа "Содержание сайта заблокировано" и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig


Для этого проделайте следующее:

• Зайдите в меню Пуск на Рабочем столе, вызовите в нем окно команды Выполнить...
• В появившемся окне наберите cmd и нажмите клавишу <Enter>. Появится черное окно консоли (интерпретатора команд).
• Напишите в этом черном окне команду ipconfig /all>"%userprofile%\ipc.log" и нажмите клавишу <Enter>, затем наберите там же команду explorer.exe /select,"%userprofile%\ipc.log" и нажмите клавишу <Enter>, нужный файл будет показан в Проводнике Windows.
• Приложите этот файл к своему сообщению на форуме.

Чтобы не сделать ошибок в написании команд, можно скопировать эти команды отсюда и последовательно вставлять в черное окно консоли путем выбора пункта Вставить из меню, появляющегося при нажатии правой кнопки мыши в черном окне консоли.

[Dmitry_rus]

Не ленитесь использовать поиск. Похожие проблемы уже неоднократно обсуждались. И ждем дополнительных логов по правилам.

Проверить планировщик заданий (Библиотека планировщика). Зачастую именно в нем прописывается периодический запуск браузера с рекламными вкладками. Обратить внимание на новые записи в нем.
Напомню, что планировщик заданий - это не диспетчер задач.

Проверить свойства ярлыков запуска браузеров. После *.exe не должно быть ничего. А если там не *.exe, а какоe-то другое расширение - удалить такой ярлык и создать заново, уже правильный.
Проверить настройку стартовых страниц и поисковых систем в браузерах, адрес прокси.
Смотреть, что в автозагрузке (Пуск - msconfig).
Отключить/удалить расширения браузера.
Обратить внимание на программы, которые вы вряд ли устанавливали (Панель управления - Программы и компоненты (или Установка и удаление программ на ХР), отсортировать по дате для удобства).

[DirDonBin]

В планировщике задач ничего необычного не вижу. 

 Снимок.PNG   253,56К   0 Скачано раз

 

В автозагрузке также.

 Снимок1.PNG   43,04К   0 Скачано раз

 

Программы только те, что я устанавливал. Расширения отключил, но реклама все равно открылась.в свойствах ярлыка ничего не приписано. 

 

 

Проверить настройку стартовых страниц и поисковых систем в браузерах, адрес прокси.

Все так же как и было установлено.

И спасибо за помощь.

Сообщение было изменено DirDonBin: 26 Февраль 2017 - 14:57

[Dmitry_rus]

Если ПК не трогать и браузер закрыть, то все равно открывается спустя определенное (всегда одно и то же) время?

[DirDonBin]

Да, все равно открывает браузер с рекламой, но не всегда через определенное время, за 1 час может открыться 2 - 5 реклам. Так же замечал, что иногда, при открытии рекламы, все окна сворачиваются, кроме браузера, при этом браузер как будто не отвечает (не реагирует на нажатия), правда это было всего 2 раза.

Сообщение было изменено DirDonBin: 26 Февраль 2017 - 15:52

[Dmitry_rus]

При выполнении т.н. "чистой загрузки" ситуация воспроизводится? См. ЛС.

[Dmitry Shutov]

а в каком браузере открывается реклама?

 

Вот это как то странно...Хром себе и Хром ...но зачем ChromeAutoLaunch

 

O4 - HKCU\..\Run: [GoogleChromeAutoLaunch_C08B38C952798844734D6E962BC1D20B] "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --no-startup-window /prefetch:5

[DirDonBin]

При выполнении т.н. "чистой загрузки" ситуация воспроизводится? См. ЛС.

при "чистой загрузке" рекламы небыло

 

а в каком браузере открывается реклама?

 

Вот это как то странно...Хром себе и Хром ...но зачем ChromeAutoLaunch

 

O4 - HKCU\..\Run: [GoogleChromeAutoLaunch_C08B38C952798844734D6E962BC1D20B] "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --no-startup-window /prefetch:5

открывается в хроме (установлен как браузер по умолчанию)

[Dmitry Shutov]

 

При выполнении т.н. "чистой загрузки" ситуация воспроизводится? См. ЛС.

при "чистой загрузке" рекламы небыло

 

а в каком браузере открывается реклама?

 

Вот это как то странно...Хром себе и Хром ...но зачем ChromeAutoLaunch

 

O4 - HKCU\..\Run: [GoogleChromeAutoLaunch_C08B38C952798844734D6E962BC1D20B] "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --no-startup-window /prefetch:5

открывается в хроме (установлен как браузер по умолчанию)

 

 

Все же по фиксите в Хайджеке (Fix) эту строчку O4 - HKCU\..\Run: [GoogleChromeAutoLaunch_C08B38C952798844734D6E962BC1D20B] "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --no-startup-window /prefetch:5

 

И по наблюдайте, и еще раз проверьте левые расширения в браузере (в Хроме).

[DirDonBin]

Проблема пока что не наблюдается, не знаю, что именно помогло adwcleaner или фикс строчки, но спасибо вам за помощь

[Dmitry Shutov]

Проблема пока что не наблюдается, не знаю, что именно помогло adwcleaner или фикс строчки, но спасибо вам за помощь

А не могли бы запаковать папку с логоми и карантином от adwareclener и выложить тут или на какой либо файлообменник .

[DirDonBin]

Вот логи AdwCleaner, а карантин пуст

Прикрепленные файлы:

•  Логи.rar   5,22К   5 Скачано раз

Сообщение было изменено DirDonBin: 26 Февраль 2017 - 21:46

[olcik]

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 14:02:41, on 08.03.2017
Platform: Windows 7  (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)


Boot mode: Normal

Running processes:
C:\Program Files (x86)\NVIDIA Corporation\NvContainer\nvcontainer.exe
C:\Program Files (x86)\Skype\Phone\Skype.exe
C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe
C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe
C:\Program Files (x86)\NVIDIA Corporation\NvNode\NVIDIA Web Helper.exe
C:\Program Files (x86)\Skype\Browser\SkypeBrowserHost.exe
D:\Fraps\fraps.exe
D:\Steam\steam.exe
D:\Steam\bin\cef\cef.win7\steamwebhelper.exe
D:\[R.G. Mechanics] Grand Theft Auto V\setup.exe
C:\Users\Oleg\AppData\Local\Temp\is-6EL43.tmp\setup.tmp
C:\Users\Oleg\AppData\Local\Temp\is-ARUT6.tmp\precomp.exe
C:\Users\Oleg\Downloads\HijackThis_2.0.5.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Users\Oleg\AppData\Local\Opera Software\Opera Neon\Application\neon.exe
C:\Windows\SysWOW64\DllHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~2\Office14\GROOVEEX.DLL
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~2\MICROS~2\Office14\URLREDIR.DLL
O4 - HKLM\..\Run: [IAStorIcon] C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe
O4 - HKLM\..\Run: [IMSS] "C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\IMSS\PIconStartup.exe"
O4 - HKLM\..\Run: [NUSB3MON] "C:\Program Files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"
O4 - HKLM\..\Run: [SwitchBoard] C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files (x86)\Skype\Phone\Skype.exe" /minimized /regrun
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
O8 - Extra context menu item: &Експорт до Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office14\EXCEL.EXE/3000
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: Send to &Bluetooth Device... - C:\Program Files (x86)\D-Link\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: На&діслати до OneNote - res://C:\PROGRA~1\MICROS~2\Office14\ONBttnIE.dll/105
O9 - Extra button: Надіслати до OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: На&діслати до OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: &Зв'язані нотатки OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: &Зв'язані нотатки OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: Adobe Genuine Software Integrity Service (AGSService) - Adobe Systems, Incorporated - C:\Program Files (x86)\Common Files\Adobe\AdobeGCClient\AGSService.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: CyberGhost 6 Service (CG6Service) - CyberGhost S.R.L - C:\Program Files\CyberGhost 6\CyberGhost.Service.exe
O23 - Service: Coupons Browser Update Service - Unknown owner - C:\Program Files (x86)\Ultimate-Discounter Browser\udservice.exe
O23 - Service: Intel(R) Content Protection HECI Service (cphs) - Intel Corporation - C:\Windows\SysWow64\IntelCpHeciSvc.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Служба Оновлення Google (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Служба Оновлення Google (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Intel(R) Rapid Storage Technology (IAStorDataMgrSvc) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe
O23 - Service: Intel® PROSet Monitoring Service - Unknown owner - C:\Windows\system32\IProsetMonitor.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Intel(R) Management and Security Application Local Management Service (LMS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NVIDIA LocalSystem Container (NvContainerLocalSystem) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NvContainer\nvcontainer.exe
O23 - Service: NVIDIA NetworkService Container (NvContainerNetworkService) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NvContainer\nvcontainer.exe
O23 - Service: NVIDIA Display Container LS (NVDisplay.ContainerLocalSystem) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\Display.NvContainer\NVDisplay.Container.exe
O23 - Service: NVIDIA Telemetry Container (NvTelemetryContainer) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\NvTelemetry\NvTelemetryContainer.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Program Files (x86)\Skype\Updater\Updater.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe
O23 - Service: SwitchBoard - Adobe Systems Incorporated - C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: Intel(R) Management and Security Application User Notification Service (UNS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 10444 bytes

Помогите пожалуйста, вот логи HJ. Проблема: раз в час выскакивает реклама в браузере по умолчанию.

[Dmitry_rus]

Проблема топикстартера решена. Тема закрыта.

Если приведенный выше совет (про Планировщик и т.п.) не помог - создайте свою тему с приложением всех необходимых логов по правилам.