Поиск и уничтожение злых баннеров

@NeikoSama · Регистрация: 14.02.2014

Author24 — интернет-сервис помощи студентам

С недавнего времени начали всплывать навязчивые окна, сообщения, баннеры, предложения снять проституток... (тысячи их)
С помощью Hitman PRO и Malawarebytes нашел и ~~расстрелял из реактивного говномёта~~ удалил пару десятков подозрительных файлов. Всё бы было ничего, но какие-то окна всё равно всплывают, не хотят блокироваться AdBlock-ом, да и вообще всплывают во всех браузерах.

Что конкретно я делал:

Почистил кэш, куки, историю, и прочие кренделя.
Удалил всякие подозрительные программки.
Отключил всякие плохие расширения.
Просканировал систему Касперским, который ничего не нашел.

Вот, конкретно, проблема.
А ещё при запуске браузера вместо привычного "Яндекс"-а всплывает сайт, который рекламирует что-то (не углублялся), а при попытке выйти показывает окно: "Подождите! Ведь вы забыли про бла-бла-бла..."
Посмотрел свойства ярлыка - ага! Там есть приписка после пути объекта. При попытке стереть её и сохранится пишет мне о том, что у меня нет доступа. Вотъ.

Кто поможет мне разобраться с этой белибердой получит два чая в подарок!
Лог релейтед. CollectionLog-2014.09.20-17.24.zip

@thyrex · 20.09.2014, 22:10

pennybee
Smally

удалите через Установку программ

Пересоздайте все ярлыки запуска браузеров

Выполните скрипт в AVZ

Код

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SetServiceStart('wpennybeed', 4);
 QuarantineFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','');
 QuarantineFile('C:\PROGRA~3\pennybee\pennybee.exe','');
 QuarantineFile('C:\Users\4\AppData\Roaming\newSI_21591\s_inst.exe','');
 QuarantineFile('C:\Users\4\AppData\Roaming\newSI_2149\s_inst.exe','');
 QuarantineFile('C:\Users\4\AppData\Local\Smally\Smally.exe','');
 QuarantineFile('C:\ProgramData\Schedule\timetasks.exe','');
 QuarantineFile('C:\ProgramData\Program status\scheck.exe','');
 QuarantineFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','');
 QuarantineFile('C:\Program Files\004\rqpbhevlkc32.exe','');
 QuarantineFile('C:\PROGRA~3\pennybee\wpennybeed.exe','');
 DeleteFile('C:\PROGRA~3\pennybee\wpennybeed.exe','32');
 DeleteFile('C:\Program Files\004\rqpbhevlkc32.exe','32');
 DeleteFile('C:\PROGRA~1\SupTab\SEARCH~1.DLL','32');
 DeleteFile('C:\Program Files\Google\chrome.bat','32');
 DeleteFile('C:\ProgramData\Program status\scheck.exe','32');
 DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
 DeleteFile('C:\Users\4\AppData\Local\Smally\Smally.exe','32');
 DeleteFile('C:\Users\4\AppData\Local\amigo.bat','32');
 DeleteFile('C:\iexplore.bat','32');
 DeleteFile('C:\Users\4\AppData\Roaming\newSI_2149\s_inst.exe','32');
 DeleteFile('C:\Users\4\AppData\Roaming\newSI_21591\s_inst.exe','32');
 DeleteFile('C:\Windows\Tasks\pennybee Runner.job','32');
 DeleteFile('C:\Windows\Tasks\newSI_21591.job','32');
 DeleteFile('C:\Windows\Tasks\newSI_2149.job','32');
 DeleteFile('C:\Windows\Tasks\Tempo Runner.job','32');
 DeleteFile('C:\PROGRA~3\pennybee\pennybee.exe','32');
 DeleteFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','32');
 DeleteFile('C:\Windows\system32\Tasks\newSI_2149','32');
 DeleteFile('C:\Windows\system32\Tasks\newSI_21591','32');
 DeleteFile('C:\Windows\system32\Tasks\pennybee Runner','32');
 DeleteFile('C:\Windows\system32\Tasks\Tempo Runner','32');
 DeleteService('wpennybeed');
DeleteService('rqpbhevlkc32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sCloudStatusCheck','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Smally','command');
DeleteFileMask('C:\Users\4\AppData\Local\Smally', '*', true);
DeleteDirectory('C:\Users\4\AppData\Local\Smally');
DeleteFileMask('C:\Users\4\AppData\Roaming\newSI_2149', '*', true);
DeleteDirectory('C:\Users\4\AppData\Roaming\newSI_2149');
DeleteFileMask('C:\Users\4\AppData\Roaming\newSI_21591', '*', true);
DeleteDirectory('C:\Users\4\AppData\Roaming\newSI_21591');
DeleteFileMask('C:\PROGRA~3\pennybee', '*', true);
DeleteDirectory('C:\PROGRA~3\pennybee');
DeleteFileMask('C:\ProgramData\Kbrowser utility', '*', true);
DeleteDirectory('C:\ProgramData\Kbrowser utility');
 DeleteFileMask('C:\ProgramData\Schedule', '*', true);
DeleteDirectory('C:\ProgramData\Schedule');
DeleteFileMask('C:\ProgramData\Program status', '*', true);
DeleteDirectory('C:\ProgramData\Program status');
DeleteFileMask('C:\PROGRA~1\SupTab', '*', true);
DeleteDirectory('C:\PROGRA~1\SupTab');
DeleteFileMask('C:\Program Files\004', '*', true);
DeleteDirectory('C:\Program Files\004');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

Код

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

Отправьте c:\quarantine.zip при помощи этой формы

Сделайте новые логи

Сделайте лог МВАМ

@NeikoSama 0 / 0 / 0 Регистрация: 14.02.2014 Сообщений: 2
		1
	Поиск и уничтожение злых баннеров 20.09.2014, 17:30. Показов 1765. Ответов 1 Метки нет (Все метки) С недавнего времени начали всплывать навязчивые окна, сообщения, баннеры, предложения снять проституток... (тысячи их) С помощью Hitman PRO и Malawarebytes нашел и ~~расстрелял из реактивного говномёта~~ удалил пару десятков подозрительных файлов. Всё бы было ничего, но какие-то окна всё равно всплывают, не хотят блокироваться AdBlock-ом, да и вообще всплывают во всех браузерах. Что конкретно я делал: Почистил кэш, куки, историю, и прочие кренделя. Удалил всякие подозрительные программки. Отключил всякие плохие расширения. Просканировал систему Касперским, который ничего не нашел. Вот, конкретно, проблема. А ещё при запуске браузера вместо привычного "Яндекс"-а всплывает сайт, который рекламирует что-то (не углублялся), а при попытке выйти показывает окно: "Подождите! Ведь вы забыли про бла-бла-бла..." Посмотрел свойства ярлыка - ага! Там есть приписка после пути объекта. При попытке стереть её и сохранится пишет мне о том, что у меня нет доступа. Вотъ. Кто поможет мне разобраться с этой белибердой получит два чая в подарок! Лог релейтед. CollectionLog-2014.09.20-17.24.zip 0

	20.09.2014, 22:10