Рекламная вкладка в браузере

[Toddo]

Рекламная вкладка в браузере

Добрый день, уважаемы спецы!

При открытии хром открывается вкладка типа zodiac - game ...

Почистил Malwarebytes, AdwCleaner, даже Виндовс защитником винды 10. Всегда что-то находил, удалял. Но эта штука появлялась позже все равно.

 

[safety]

Toddo,
переделайте образ актуальной версией uVS
http://chklst.ru/data/uVS latest/uvs_latest.zip

+
добавьте в архиве рег файл (в архиве) этого клюач из реестра.

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks

в регедите необходимо найти указанную ветку реестра, переместить курсор на поле TASKS, и правой кнопкой мыши выполнить функцию эспортировать ветку реестра в файл.

посмотрите как это сделать на рисунке.

http://www.tehnari.ru/attachments/f3...49-regedit.jpg

 

[Toddo]

Так и не понял зачем блокнот реестра в архив)

 

[safety]

просто запуск этой страницы хитро прописан, так что удаление просто из списка задач C:\WINDOWS\SYSTEM32\TASKS\TODDO не решает проблему. запуск задачи восстанавливался через ключ в Taskcache

Полное имя EXPLORER.EXE HTTP://SD-STEAM.INFO
Имя файла EXPLORER.EXE HTTP://SD-STEAM.INFO
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям
KB-RIBAKI.ORG ( ~ REG ADD)(1) OR ( ~ SD-STEAM.INFO)(1) [auto (0)]

Сохраненная информация на момент создания образа
Статус в автозапуске

Доп. информация на момент обновления списка
CmdLine /C REG ADD HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN /F /V TODDO /T REG_SZ /D "EXPLORER.EXE HTTP://SD-STEAM.INFO"

Ссылки на объект
Ссылка C:\WINDOWS\SYSTEM32\TASKS\TODDO

Ссылка HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{F9B824E2-BC50-4786-92D9-69A3B62C2964}\Actions
Actions "cmd.exe" /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Toddo /t REG_SZ /d "explorer.exe http://sd-steam.info"

Ссылка HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{F9B824E2-BC50-4786-92D9-69A3B62C2964}\

-----------
скрипт очистки сейчас добавлю.

 

[safety]

сделайте все в такой последовательности:

1. выполняем скрипт в uVS

2. создаем новый рег файл (в архиве) по этому же ключу

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks

3. сделать проверку в FRST
http://www.tehnari.ru/f150/t245622/
-------------
1.

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

;uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://SD-STEAM.INFO/

delref HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN

delref EXPLORER.EXE HTTP://SD-STEAM.INFO

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLIFBCIBLLHKDHOAFPJFNLHFPFGNPLDFL%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://SD-STEAM.INFO

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
----------
+
2.
+
3.

 

[Toddo]

Пока тишина, сайт при открытии браузера не появился

 

[safety]

похоже, что скрипт вычислил все ссылки на задачу, в том числе и в TaskCache. хорошо, понаблюдайте за проблемой.