Screen Up, а также перенаправление на https://www.youtube.com/grredir/ во всех браузерах

@Indzag · Регистрация: 16.02.2017

Студворк — интернет-сервис помощи студентам

Добрый день уважаемые специалисты!
Проблема наверно изъезжена, хром открывает вкладки, показывает 2 блока рекламы почти на каждой странице + сегодня начался принудительный редирект на youtube.com/grredir
Также в диспетчере задач загрузка диска почти всегда 100%, сильно виснет компьютер

Логи вложил.

@severnyj · 18.02.2017, 17:09

Деинсталлируйте следующее ПО:

ScreenUp [2016/11/16 22:15:44]-->C:\Program Files (x86)\ScreenUp\uninst.exe

Если не удаляется стандартно, используйте Geek Uninstaller

Выполните скрипт в AVZ

Code
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\program files (x86)\screenup\future_helper.exe');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\FilterStart\FilterStart.exe', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\rightchose\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\DateOption\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\ValidateLife\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\LastNews\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\ImmediateHelp\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\TestMenu\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\FileSystemOptions\regCheck.vbs', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Roaming\PBot\launchall.py', '');
 QuarantineFile('C:\ProgramData\hdtask\hdtask.exe', '');
 QuarantineFile('C:\Users\vitaliy\AppData\Local\FilterOptions\regCheck.vbs', '');
 QuarantineFile('C:\Program Files (x86)\ScreenUp\ProtocolFilters.dll', '');
 QuarantineFile('C:\Program Files (x86)\ScreenUp\nfapi.dll', '');
 QuarantineFile('c:\program files\ncalayer\ncalayer.exe', '');
 QuarantineFile('c:\program files (x86)\screenup\future_helper.exe', '');
 DeleteFile('C:\Program Files (x86)\ScreenUp\nfapi.dll', '32');
 DeleteFile('C:\Program Files (x86)\ScreenUp\ProtocolFilters.dll', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\FilterOptions\regCheck.vbs', '32');
 DeleteFile('C:\ProgramData\hdtask\hdtask.exe', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Roaming\PBot\launchall.py', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\FileSystemOptions\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\TestMenu\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\ImmediateHelp\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\LastNews\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\ValidateLife\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\DateOption\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\rightchose\regCheck.vbs', '32');
 DeleteFile('C:\Users\vitaliy\AppData\Local\FilterStart\FilterStart.exe', '32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Command Line Helper', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Line Request Mgr', '64');
 DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe', '32');
 DeleteFile('C:\WINDOWS\system32\Tasks\RunTime Command Mgr', '64');
 DeleteFileMask('C:\Program Files (x86)\ScreenUp\', '*.*', true);
 DeleteDirectory('C:\Program Files (x86)\ScreenUp\');
 DeleteFileMask('C:\Users\vitaliy\AppData\Roaming\PBot\', '*.*', true);
 DeleteDirectory('C:\Users\vitaliy\AppData\Roaming\PBot\');
 DeleteFileMask('C:\ProgramData\hdtask\', '*.*', true);
 DeleteDirectory('C:\ProgramData\hdtask\');
 ExecuteFile('schtasks.exe', '/delete /TN "Command Line Helper" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Line Request Mgr" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "RunTime Command Mgr" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "PBot" /F', 0, 15000, true);
 DelBHO('{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA}');
 DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'FilterOptions');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'hdtask');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'PBot');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'FileSystemOptions');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'TestMenu');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'ImmediateHelp');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'LastNews');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'ValidateLife');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'DateOption');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Code
begin
CreateQurantineArchive('c:\quarantine.zip');
end.

Отправьте c:\quarantine.zip на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
Карантин прикреплять к сообщениям на данном форуме ЗАПРЕЩЕНО!!!

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

@Indzag · 19.02.2017, 13:58 **[ТС]**

Сделал. Письмо отправил.

@severnyj · 19.02.2017, 16:39

Подготовьте лог JRT: https://www.cyberforum.ru/viru... 05776.html

Затем подготовьте лог AdwCleaner: https://www.cyberforum.ru/post6500078.html

@Indzag · 19.02.2017, 17:36 **[ТС]**

Готово.

@severnyj · 19.02.2017, 18:08

Удалите все найденное в AdwCleaner: https://www.cyberforum.ru/post6500085.html
Лог после удаления C:\AdwCleaner\AdwCleaner[Cxxx].txt прикрепите.

Подготовьте логи FRST: https://www.cyberforum.ru/post7151340.html

@Indzag · 20.02.2017, 23:37 **[ТС]**

Готово. Компьютер по прежнему дико тормозит, реклама пропала.

@severnyj · 20.02.2017, 23:45

Прочитайте внимательно инструкцию, как удалять файлы в AdwCleaner, приложите нужный лог после удаления.

Затем удалите старые и подготовьте новые логи FRST

@Indzag · 21.02.2017, 22:09 **[ТС]**

Перепутал файл при вложении в предыдущий архив.
Сделал заного сканирование и удаление awd, затем логи frst.

@severnyj · 21.02.2017, 22:24

Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool.

Cкопируйте в него текст из окна "winbatch" ниже и сохраните.

Windows Batch file
start
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\nahd6ha2.default -> Поиск@Mail.Ru
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\vitaliy\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-11-15]
FF Extension: (Поиск@Mail.Ru) - C:\Users\vitaliy\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2016-11-15]
FF HKU\S-1-5-21-4221074292-2554850642-1230731359-1001\...\Firefox\Extensions: [acewebextension_unlisted@acestream.org] - C:\Users\vitaliy\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi => not found
CHR Extension: (Tampermonkey) - C:\Users\vitaliy\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhdgffkkebhmkfjojejmpbldmpobfkfo [2016-12-14]
CHR HKLM-x32\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (Tampermonkey) - C:\Users\vitaliy\AppData\Roaming\Opera Software\Opera Stable\Extensions\dhdgffkkebhmkfjojejmpbldmpobfkfo [2016-11-20]
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [282]
FirewallRules: [{5E87BCD6-92AB-42C8-89A4-176C7051B06C}] => (Allow) C:\Users\vitaliy\AppData\Local\Amigo\Application\amigo.exe
FirewallRules: [{2DD66111-6852-4A7A-9A6C-41F4EFD72200}] => (Allow) C:\Program Files\UBar\ubar.exe
C:\Users\vitaliy\AppData\Local\Amigo\
C:\Program Files\UBar\
 
CMD: ipconfig /flushdns
CMD: IPCONFIG /release
CMD: IPCONFIG /renew
CMD: RD /S /Q %WinDir%\System32\GroupPolicyUsers
CMD: RD /S /Q %WinDir%\System32\GroupPolicy
CMD: RD /S /Q %WinDir%\SysWOW64\GroupPolicyUsers
CMD: RD /S /Q %WinDir%\SysWOW64\GroupPolicy
CMD: RD /S /Q %WinDir%\SysNative\GroupPolicyUsers
CMD: RD /S /Q %WinDir%\SysNative\GroupPolicy
CMD: gpupdate /force
CMD: bitsadmin /reset /allusers
EmptyTemp:
Reboot:
end

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически

@Indzag · 21.02.2017, 23:36 **[ТС]**

Готово. Компьютер по-прежнему адово тормозит при стартовой загрузке(

@severnyj · 22.02.2017, 00:16

Попробуйте чистую загрузку: https://support.microsoft.com/... in-windows

Новые блоги и статьи Все статьи Все блоги /
SDL3 для Web (WebAssembly): Реализация движения на Box2D v3 - трение и коллизии с повёрнутыми стенами 8Observer8 20.02.2026 Содержание блога Box2D позволяет легко создать главного героя, который не проходит сквозь стены и перемещается с заданным трением о препятствия, которые можно располагать под углом, как верхнее. . .	Конвертировать закладки radiotray-ng в m3u-плейлист damix 19.02.2026 Это можно сделать скриптом для PowerShell. Использование . \СonvertRadiotrayToM3U. ps1 <path_to_bookmarks. json> Рядом с файлом bookmarks. json появится файл bookmarks. m3u с результатом. # Check if. . .	Семь CDC на одном интерфейсе: 5 U[S]ARTов, 1 CAN и 1 SSI Eddy_Em 18.02.2026 Постепенно допиливаю свою "многоинтерфейсную плату". Выглядит вот так: https:/ / www. cyberforum. ru/ blog_attachment. php?attachmentid=11617&stc=1&d=1771445347 Основана на STM32F303RBT6. На борту пять. . .	Камера Toupcam IUA500KMA Eddy_Em 12.02.2026 Т. к. у всяких "хикроботов" слишком уж мелкий пиксель, для подсмотра в ESPriF они вообще плохо годятся: уже 14 величину можно рассмотреть еле-еле лишь на экспозициях под 3 секунды (а то и больше),. . .
И ясному Солнцу zbw 12.02.2026 И ясному Солнцу, и светлой Луне. В мире покоя нет и люди не могут жить в тишине. А жить им немного лет.	«Знание-Сила» zbw 12.02.2026 «Знание-Сила» «Время-Деньги» «Деньги -Пуля»	SDL3 для Web (WebAssembly): Подключение Box2D v3, физика и отрисовка коллайдеров 8Observer8 12.02.2026 Содержание блога Box2D - это библиотека для 2D физики для анимаций и игр. С её помощью можно определять были ли коллизии между конкретными объектами и вызывать обработчики событий столкновения. . . .	SDL3 для Web (WebAssembly): Загрузка PNG с прозрачным фоном с помощью SDL_LoadPNG (без SDL3_image) 8Observer8 11.02.2026 Содержание блога Библиотека SDL3 содержит встроенные инструменты для базовой работы с изображениями - без использования библиотеки SDL3_image. Пошагово создадим проект для загрузки изображения. . .

@severnyj 6334 / 2843 / 560 Регистрация: 04.04.2012 Сообщений: 10,325
	19.02.2017, 16:39
	Подготовьте лог JRT: https://www.cyberforum.ru/viru... 05776.html Затем подготовьте лог AdwCleaner: https://www.cyberforum.ru/post6500078.html 0

@severnyj 6334 / 2843 / 560 Регистрация: 04.04.2012 Сообщений: 10,325
	19.02.2017, 18:08
	Удалите все найденное в AdwCleaner: https://www.cyberforum.ru/post6500085.html Лог после удаления C:\AdwCleaner\AdwCleaner[Cxxx].txt прикрепите. Подготовьте логи FRST: https://www.cyberforum.ru/post7151340.html 0

@severnyj 6334 / 2843 / 560 Регистрация: 04.04.2012 Сообщений: 10,325
	20.02.2017, 23:45
	Прочитайте внимательно инструкцию, как удалять файлы в AdwCleaner, приложите нужный лог после удаления. Затем удалите старые и подготовьте новые логи FRST 1

@severnyj 6334 / 2843 / 560 Регистрация: 04.04.2012 Сообщений: 10,325
	22.02.2017, 00:16
	Попробуйте чистую загрузку: https://support.microsoft.com/... in-windows 0