Полигон-2

При работе в браузере Google Chrome заметил, что с сегодняшнего вечера при отправке запроса в поиск Google идёт перенаправление ссылки вначале на Яндекс, а затем на Mail.ru. Полез в настройки браузера и увидел это:

Строчку "По умолчанию" под администратором не выключить. Переустановка Хрома не помогла. CureIT вирусов не обнаружил. Утилита AVZ обнаружила и удалила следующие файлы:
C:\Windows\System32\Drivers\aswSnx.SYS;4;Перехватчик KernelMode
C:\Windows\System32\Drivers\aswSP.SYS;4;Перехватчик KernelMode
\SystemRoot\System32\Drivers\aswSP.SYS;4;Перехватчик KernelMode
c:\users\админ\appdata\local\temp\1B8C19FE2.sys;4;Перехватчик KernelMode
C:\Windows\Temp\TS_FACD.tmp;2;Подозрение на Trojan.Win32.Agent2.byu ( 1C9F51F1 1E621768 004D6E44 004D6E44 131072)
После перезагрузки всё осталось по прежнему, хотя я удалил эти файлы самой утилитой.
Где копать (в Internet Explorer то же самое происходит)?

Arseny, что именно с винчестером делать кроме проверки антивирем?

Попробуйте просканировать программой adwcleaner, можно не снимая жесткий диск

Димас,В Виндовсе есть хост файл в котором прописываются перенаправленный любых сетевых адресов и имён. Надо этот файл открыть загрузившись с лайвсиди . Бывает строки перенаправленный прячутся за границы видимой области редактора при открытии файла.

http://www.linuxshop.ru/forum/...x-net.html

Димас написал:

[q]

Arseny, что именно с винчестером делать кроме проверки антивирем?

[/q]

Именно проверять антивирем. Можно в несколько проходов. Запускать антивирь из зараженной системы (особенно если вырус работает на уровне ядра, см. "Перехватчик KernelMode") все равно что делать себе самому операцию.
На другом компе первым делом удалить все содержимое из папок:
c:\users\админ\appdata\local\temp\
c:\users\админ\appdata\local\Temporary Internet Files
C:\Windows\Temp\
RECYCLER и RECYCLED
Потом убедиться что в c:\users\админ нет никаких .EXE файлов, да и вообще никаких файлов не имеющих в имени NTUSER (но тут нужно осторожней действовать).
Ну и лечиться антивирусниками. Кстати, не вижу что система проверялась KAV'ом - это зря.

Димас написал:

[q]

Arseny, не заражу ли я другой комп, пока свой SSD буду проверять?

[/q]

Не должны. Вирус сам по себе не стартует - он при заражении прописывает себя в разные места откуда потом стартует.

Димас написал:

[q]

Что может пойти не так, если я удалю файлы, имеющие в имени NTUSER?

[/q]

Потеряете настройки пользователя. Файлы в корневой папке c:\users\админ - это реестр пользователя и прочие служебные файлы.

Димас написал:

[q]

Боюсь, что ПК привиснет с KAV'ом, учитывая мою конфигурацию

[/q]

Да ладно! Он и на более худших работает. Кстати, у каспера тоже есть лечащий диск - скачать с их сайта образ, записать и загрузиться с него.

Вы все-таки попробуйте AdwCleaner, она специально была создана для борьбы с adware и подобными прогами. На virusinfo ее постоянно предлагают в таких случаях. Программа проверяет плагины браузеров, соответствующие ветки реестра, запущенные процессы. Пользовался уже десятки раз, никогда не подводила. Даже мейл.ру агента распознает. Естественно, после сканирования сами принимаете решение, что удалять, что оставлять.

Димас написал:

[q]

Случаем ни кто не знает, на что нацелен данный вирус? Мне кажется, что на сбор паролей от всего и вся.

[/q]

Когда-то давно читал про вирусы, нацеленные на накрутку счетчиков просмотра рекламы... За каждый просмотр хозяин вашего ямдекса получает, скажем, копейку. За день вы ему рублей 10 отчислениями рекламодателей можете перечислить. А зараженных людей десятки тысяч... Вот и получается кругленькая сумма.

slaventus86 написал:

[q]

Вы все-таки попробуйте AdwCleaner

[/q]

Просканировал вчера им, нашёл ветки в реестре, в Хроме - ничего. После перезагрузки ситуация не изменилась.
Так же удалил все ветки реестра, которые содержат слово "yamdex", а так же все ветки Google, Mail и IObit.
Похоже, что придётся копать SSD на другой машине.

Тоже поймал эту падлу... Откатил винду на 04.02.2015 и удалил яМдекс в хроме

После отката веток с яМексом не обнаружено.