При открытии Mozilla вместо домашней страницы появляется реклама казино вулкан

@Michael91 · Регистрация: 17.01.2016

Студворк — интернет-сервис помощи студентам

Здравствуйте. Помогите пожалуйста разобраться. Случайно установил какое-то обновление и после этого появились какие-то программы и ссылки на одноклассники и т.п.
Тут же начал всё это удалять - вроде всё это удалил.
Но при открытии через ярлык Mozilla Firefox на рабочем столе - вместо
домашней страницы начала появляться страница казино вулкан.
Я отключил подозрительные расширения. Затем вообще удалил все расширения. Далее обнаружил, что в свойствах ярлыка Mozilla Firefox на рабочем столе вместо пути к
C:\Program Files (x86)\Mozilla Firefox, там было C:\ProgramData\UwIroh\ruKNxJTloZK4.bat.
Я удалил папку UwIroh со всеми файлами. Удалил ярлык. И создал новый ярлык из C:\Program Files (x86)\Mozilla Firefox. Проверил что в свойствах всё нормально, в смысле правильный путь. Но после перезагрузки компьютера обнаружил что в свойствах ярлыка опять в C:\ProgramData\ появилась какая-то папка с файлами и в том числе с расширением bat. И так после каждой перезагрузки в C:\ProgramData\ появляется новая папка с файлами. Далее создал папку на рабочем столе и положил туда новый ярлык Mozilla. После перезагрузки то же самое. Затем
удалил эту папку и создал новую на диске C:\. И после перезагрузки ярлык остался не поврежденным
и в C:\ProgramData\ новая папка не появилась. Проделал те же действия с Opera - такая же
ситуация. Просканировал компьютер Касперским - всё чисто. DrWeb что-то нашёл и вылечил. Очистил все с CCleaner.
Далее использовал AdwCleaner 5.029 - нашлись проблемы, исправил, но после перезагрузки то же самое.
Далее в автозагрузке отключил сомнительные программы - то же не помогло. Отключать всё подряд опасаюсь.
И мне кажется, что если переустановить Mozilla, то проблема не исчезнет.
Ведь при запуске из Program Files (x86) - проблемы нет. Проблема что что-то после перезагрузке прописывает не правильный путь только в ярлык на рабочем столе, но если
ярлык отсутствует, то всё в порядке. Заранее благодарю за помощь.

@shestale · 17.01.2016, 17:52

Внимание! Рекомендации написаны специально для Michael91. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.
________________________________________ ______________

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Windows Batch file
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('C:\Program Files (x86)\Kinoroom Browser', '"*.exe, *.dll, *.sys, *.bat, *.vbs, *.js", *.com', true, '', 0 ,0);
 QuarantineFileF('C:\ProgramData\KRB Updater Utility', '"*.exe, *.dll, *.sys, *.bat, *.vbs, *.js", *.com', true, '', 0 ,0);
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\ProgramData\tAKOQEDZE\bpUyhVcOCgVZbV5.bat', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 QuarantineFile('C:\Program Files (x86)\Common Files\98EEA4A8-8917-46E5-A667-0C7A3D6730D6\92F5FA38-39D3-4AC1-AC3F-CB68C301C430.exe','');
 DeleteFile('C:\Program Files (x86)\Common Files\98EEA4A8-8917-46E5-A667-0C7A3D6730D6\92F5FA38-39D3-4AC1-AC3F-CB68C301C430.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRBLNKRUN" /F', 0, 15000, true);
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\ProgramData\tAKOQEDZE\bpUyhVcOCgVZbV5.bat', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
 DeleteFileMask('C:\ProgramData\KRB Updater Utility', '*', true);
 DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
 DeleteDirectory('C:\ProgramData\KRB Updater Utility');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','AppDownloads');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Kinoroom Browser','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sntawntvji','command');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:
Windows Batch file
1 2 3
begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью формы, расположенной вверху темы или (если размер архива превышает 16 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Карантин прикреплять к сообщениям на данном форуме ЗАПРЕЩЕНО!!!
Удалите параметры запуска ярлыков.
Подготовьте лог AdwCleaner.

@Michael91 · 17.01.2016, 19:39 **[ТС]**

Oтчет ClearLNK

@Michael91 · 17.01.2016, 19:43 **[ТС]**

Запустил сканирование AdwCleaner 5.029 Portable - он пишет что ничего не обнаружено. Огромное спасибо за помощь! Я так понимаю это ещё не всё, надо подождать ?

@shestale · 17.01.2016, 19:46

Сообщение от Michael91

Запустил сканирование AdwCleaner 5.029 Portable - он пишет что ничего не обнаружено

Сделайте лог обычной версией и выложите лог.

@Michael91 · 17.01.2016, 19:53 **[ТС]**

У меня есть также версия 5.029 не portable - он также мне написал, что вредоносных программ не обнаружено...Или может я не ту версию использую. Тогда скинте мне пожалуйста ссылку нужной версии.

@shestale · 17.01.2016, 19:55

Ссылку я вам дал.
Ну раз чисто, тогда все нормально.
Проблема решена?

@Michael91 · 17.01.2016, 19:56 **[ТС]**

секунду...сейчас проверю...

@Michael91 · 17.01.2016, 20:12 **[ТС]**

Вы знаете, нет. Я перед перезагрузкой проверил ярлык мозиллы - все было чисто, а после перезагрузки опять появилась папка в programdata и всё то же самое. AdvClianer говорит что чисто и я прилагаю отчёт.

@shestale · 17.01.2016, 20:13

Подготовьте логи Farbar Recovery Scan Tool

@Michael91 · 17.01.2016, 20:25 **[ТС]**

Логи FRST: правда мне пришлось их заархивировать потому что они больше 20 Кб

@shestale · 17.01.2016, 20:30

Выполните скрипт в Farbar Recovery Scan Tool

Windows Batch file
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
start
CreateRestorePoint:
Task: {AB87AD2F-28BD-428F-8B42-7DD3F04EF429} - \Microsoft\Windows\AB26008F0-C17F-4A10-B3DB-710026926170 -> No File <==== ATTENTION
Shortcut: C:\Users\Mich\Desktop\firefox.exe.lnk -> C:\ProgramData\AkXheDq\HNIAqRHZ4.bat ()
Shortcut: C:\Users\Mich\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\ProgramData\voZCipEvQXu\eRURiPQBOIBXE5.bat ()
Shortcut: C:\Users\Mich\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Яндекс\Яндекс.Бар\онлайн помощь по яндекс.бару для firefox.lnk -> C:\ProgramData\AkXheDq\HNIAqRHZ4.bat ()
Shortcut: C:\Users\Mich\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (2).lnk -> C:\ProgramData\voZCipEvQXu\eRURiPQBOIBXE5.bat ()
Shortcut: C:\Users\Mich\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (3).lnk -> C:\ProgramData\voZCipEvQXu\eRURiPQBOIBXE5.bat ()
Shortcut: C:\Users\Mich\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\ProgramData\voZCipEvQXu\eRURiPQBOIBXE5.bat ()
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk -> C:\ProgramData\AkXheDq\HNIAqRHZ4.bat ()
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera 34.lnk -> C:\ProgramData\foaPub\kJjWbx3.bat ()
Shortcut: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk -> C:\ProgramData\foaPub\kJjWbx3.bat ()
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A
AlternateDataStreams: C:\ProgramData\TEMP:58A5270D
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51
AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A
AlternateDataStreams: C:\Users\Все пользователи\TEMP:58A5270D
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy-x32: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-1564461168-356145429-1617711264-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-1564461168-356145429-1617711264-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
OPR Session Restore: -> is enabled.
OPR Extension: (Антимат) - C:\Users\Mich\AppData\Roaming\Opera Software\Opera Stable\Extensions\dojgfgknadakhfnaogaipdbdamepeffe [2016-01-16]
OPR Extension: (Netmego) - C:\Users\Mich\AppData\Roaming\Opera Software\Opera Stable\Extensions\emalgedpdlghbkikiaeocoblajamonoh [2016-01-17]
2016-01-17 21:58 - 2016-01-17 21:58 - 00000000 ____D C:\Users\Все пользователи\voZCipEvQXu
2016-01-17 21:58 - 2016-01-17 21:58 - 00000000 ____D C:\Users\Все пользователи\foaPub
2016-01-17 21:58 - 2016-01-17 21:58 - 00000000 ____D C:\Users\Все пользователи\AkXheDq
2016-01-17 21:58 - 2016-01-17 21:58 - 00000000 ____D C:\ProgramData\voZCipEvQXu
2016-01-17 21:58 - 2016-01-17 21:58 - 00000000 ____D C:\ProgramData\foaPub
2016-01-17 21:58 - 2016-01-17 21:58 - 00000000 ____D C:\ProgramData\AkXheDq
2016-01-17 16:59 - 2016-01-17 16:59 - 00000000 ____D C:\Users\Все пользователи\GXHZWMAfrE
2016-01-17 16:59 - 2016-01-17 16:59 - 00000000 ____D C:\ProgramData\GXHZWMAfrE
2016-01-17 13:54 - 2016-01-17 13:54 - 00000000 ____D C:\Users\Все пользователи\PNHTCoeMKhxTgVC
2016-01-17 13:54 - 2016-01-17 13:54 - 00000000 ____D C:\ProgramData\PNHTCoeMKhxTgVC
EmptyTemp:
Reboot:
end

+
Почистите кэш и куки в браузерах.

Проблема решена?

@Michael91 · 17.01.2016, 21:04 **[ТС]**

) нет...опять то же самое...Выполнил скрипт, прикрепляю лог, очистил кэш и куки и потом ещё с помощью ССleaner. Пробовал перезагружать несколько раз.

@Michael91 · 18.01.2016, 02:39 **[ТС]**

Ночью обнаружил что вышла новая версия AdvCleaner 5.030. И она что-то нашла.

@shestale · 18.01.2016, 07:08

Удалите в AdwCleaner все найденные объекты, кроме папок от Yandex и Mail.Ru, если пользуетесь его сервисами, а если не пользуетесь, тогда тоже удалите.
+
Подготовьте лог MBAM.

@Michael91 · 18.01.2016, 17:54 **[ТС]**

Отчёт MBAM

@shestale · 18.01.2016, 18:49

Сообщение от shestale

Удалите в AdwCleaner

Где лог?
+
Удалите в Malwarebytes Anti-Malware все, кроме:

Процессы:
Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, 2064, , [1ffc7bc0e5b41323b60698c30cf43ec2]
Файлы:
Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, , [1ffc7bc0e5b41323b60698c30cf43ec2],
HackTool.Agent, C:\Program Files (x86)\Microsoft Office\activator.exe, , [9f7c24175742c076252d413153ae31cf],
HackTool.Agent, D:\Progs\Windows 7 Loader by Daz 2.0.6\Windows Loader.exe, , [011a99a2c2d73006540e74b1a55c7c84],
RiskWare.Tool.HCK, D:\Torrent\01 rutracker\Kaspersky\Kaspersky Internet Security 2014\Kaspersky Internet Security 2014\ключи\klyuchi ot 12 10 2015.rar, , [aa711b20dabfc76fea9528e820e12ed2],
HackTool.Agent, D:\Torrent\02 NNM\win7\Полная коллекция способов активации Windows 7 [обновляемая]\All activation 7\Activators\Windows 7 Loader v2.2 (Daz)\Windows Loader.exe, , [3be08bb0445579bda5bd73b29071f907],
PUP.Optional.LoadMoney, D:\гаджеты\bbcradio.exe, , [f7244af129705fd72a2952ffd72de51b],

+
Почистите кэш и куки в браузерах.

Что с проблемой?

@Michael91 · 18.01.2016, 18:54 **[ТС]**

Где лог? - вы имеете в виду лог AdwCleaner?

Добавлено через 2 минуты
Скажите пожалуйста а MBAM заново сканирование запускать ?

@shestale · 18.01.2016, 18:55

Да. Читайте по ссылке, там все подробно расписано.

Добавлено через 28 секунд

Сообщение от Michael91

Скажите пожалуйста а MBAM заново сканирование запускать ?

Да. Для ускорения можно только диск С.

@Michael91 · 18.01.2016, 19:02 **[ТС]**

Лог посылаю, и скажите те папки что AdwCleaner нашел я тогда удалю ? и тогда уже запущу MBAM
(это часа 2 займёт)

Новые блоги и статьи Все статьи Все блоги /
SDL3 для Web (WebAssembly): Обработчик клика мыши в браузере ПК и касания экрана в браузере на мобильном устройстве 8Observer8 02.02.2026 Содержание блога Для начала пошагово создадим рабочий пример для подготовки к экспериментам в браузере ПК и в браузере мобильного устройства. Потом напишем обработчик клика мыши и обработчик. . .	Философия технологии iceja 01.02.2026 На мой взгляд у человека в технических проектах остается роль генерального директора. Все остальное нейронки делают уже лучше человека. Они не могут нести предпринимательские риски, не могут. . .	SDL3 для Web (WebAssembly): Вывод текста со шрифтом TTF с помощью SDL3_ttf 8Observer8 01.02.2026 Содержание блога В этой пошаговой инструкции создадим с нуля веб-приложение, которое выводит текст в окне браузера. Запустим на Android на локальном сервере. Загрузим Release на бесплатный. . .	SDL3 для Web (WebAssembly): Сборка C/C++ проекта из консоли 8Observer8 30.01.2026 Содержание блога Если вы откроете примеры для начинающих на официальном репозитории SDL3 в папке: examples, то вы увидите, что все примеры используют следующие четыре обязательные функции, а. . .
SDL3 для Web (WebAssembly): Установка Emscripten SDK (emsdk) и CMake для сборки C и C++ приложений в Wasm 8Observer8 30.01.2026 Содержание блога Для того чтобы скачать Emscripten SDK (emsdk) необходимо сначало скачать и уставить Git: Install for Windows. Следуйте стандартной процедуре установки Git через установщик. . . .	SDL3 для Android: Подключение Box2D v3, физика и отрисовка коллайдеров 8Observer8 29.01.2026 Содержание блога Box2D - это библиотека для 2D физики для анимаций и игр. С её помощью можно определять были ли коллизии между конкретными объектами. Версия v3 была полностью переписана на Си, в. . .	Инструменты COM: Сохранение данный из VARIANT в файл и загрузка из файла в VARIANT bedvit 28.01.2026 Сохранение базовых типов COM и массивов (одномерных или двухмерных) любой вложенности (деревья) в файл, с возможностью выбора алгоритмов сжатия и шифрования. Часть библиотеки BedvitCOM Использованы. . .	SDL3 для Android: Загрузка PNG с альфа-каналом с помощью SDL_LoadPNG (без SDL3_image) 8Observer8 28.01.2026 Содержание блога SDL3 имеет собственные средства для загрузки и отображения PNG-файлов с альфа-каналом и базовой работы с ними. В этой инструкции используется функция SDL_LoadPNG(), которая. . .

@Michael91 0 / 0 / 0 Регистрация: 17.01.2016 Сообщений: 23
	17.01.2016, 19:43 [ТС]
	Запустил сканирование AdwCleaner 5.029 Portable - он пишет что ничего не обнаружено. Огромное спасибо за помощь! Я так понимаю это ещё не всё, надо подождать ? 0

@Michael91 0 / 0 / 0 Регистрация: 17.01.2016 Сообщений: 23
	17.01.2016, 19:53 [ТС]
	У меня есть также версия 5.029 не portable - он также мне написал, что вредоносных программ не обнаружено...Или может я не ту версию использую. Тогда скинте мне пожалуйста ссылку нужной версии. 0

@shestale 8618 / 4187 / 333 Регистрация: 22.02.2011 Сообщений: 13,721
	17.01.2016, 19:55
	Ссылку я вам дал. Ну раз чисто, тогда все нормально. Проблема решена? 0

@Michael91 0 / 0 / 0 Регистрация: 17.01.2016 Сообщений: 23
	17.01.2016, 19:56 [ТС]
	секунду...сейчас проверю... 0

@shestale 8618 / 4187 / 333 Регистрация: 22.02.2011 Сообщений: 13,721
	17.01.2016, 20:13
	Подготовьте логи Farbar Recovery Scan Tool 0

@shestale 8618 / 4187 / 333 Регистрация: 22.02.2011 Сообщений: 13,721
	18.01.2016, 07:08
	Удалите в AdwCleaner все найденные объекты, кроме папок от Yandex и Mail.Ru, если пользуетесь его сервисами, а если не пользуетесь, тогда тоже удалите. + Подготовьте лог MBAM. 0

@Michael91 0 / 0 / 0 Регистрация: 17.01.2016 Сообщений: 23
	18.01.2016, 18:54 [ТС]
	Где лог? - вы имеете в виду лог AdwCleaner? Добавлено через 2 минуты Скажите пожалуйста а MBAM заново сканирование запускать ? 0