Постоянное обращение к вредоносному сайту

[mast]

Здравствуйте !
Опишу свою проблему с самого начала.

Сначала при загрузке рабочего стола стала вылезать ошибка Explorer.exe.
После этого появлялся пустой рабочий стол.
Установленный антивирус - нод32.
После загрузки в защищенном режиме комп. мог загрузиться нормально, но при следующей перезагрузки проблема повторялась.
С этой проблемой справился с помощью восстановления с точки двухнедельной давности.
После этого решил проверить комп на вирусы....
Установил программу Malwarebytes Anti-Malware.
Программа стала выдавать сообщения следующего вида:
Malwarebytes Anti-Malware
Была предотвращена попытка доступа к вредоносному сайту:
90.156.178.40

Полностью проделал все описанные процедуры...
И не один раз.
Но сообщения продолжают все так же появляться.
Причем их появление совпадает (как мне кажется) с работой Firefox.
Если возможно, помогите ! SOS !

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\totalcmd\cglptnt.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\regguard.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\rwdyz.sys','');
 DeleteService('uamdkvmyk');
 DeleteFile('C:\WINDOWS\system32\drivers\rwdyz.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Выполните скрипт из этой темы http://virusinfo.info/showthread.php?t=43700

Сделайте новые логи

[mast]

все сделал, перезагрузил - обращение к вредоносному сайту не исчезло пока...
действую далее - выполню скрипт с указанной вами страницы и пришлю новые логи.
вот карантин -

[thyrex]

Читайте внимательно, как нужно прислать карантин

Сделайте лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[mast]

...
Сделайте лог http://virusinfo.info/showpost.php?p=493610&postcount=1

сделал

[thyrex]

Что теперь с проблемой?

[mast]

После перезагрузки (после окончания работы программы ComboFix), выдало сообщение об ошибке explorer...
Из диспетчера перезагрузил...
Загрузилось нормально.
Вредоносный сайт так же зовет в гости.
При работе firefox.

[thyrex]

Поищите в FireFox неизвестные дополнения

Проверьте в ярлыке для запуска FireFox, не приписался ли какой-либо "хвост" к исполняемому файлу

[mast]

все дополнения отключил, хвоста нет...
проблема осталась.
в логе avz ушли красные строки...
но осталась только одна -
CmpCallCallBacks = 00088F76
Disable callback - уже нейтирализованы

причем каждый раз - та же строка.

[thyrex]

Попробуйте переустановить FireFox с полным удалением его папок на диске.

Проверьте, проявляется ли проблема при работе с другими браузерами

[mast]

Попробуйте переустановить FireFox с полным удалением его папок на диске.

Проверьте, проявляется ли проблема при работе с другими браузерами

Да, проявляется и в IE и в Хроме...

[thyrex]

Попробуйте в этих браузерах отключить использование JavaScript и проследить за ситуацией

Лог МВАМ предоставьте. Да и новые логи AVZ тоже

[mast]

CmpCallCallBacks = 00088F76
Disable callback - уже нейтирализованы

В общем осталось только это (при выполнении стандартного скрипта avz).
Вредно это или нет ?

[thyrex]

Нет

[mast]

thyrex,

Большое спасибо за помощь и терпение !
Вы мне ОЧЕНЬ помогли !
С огромным уважением к Вам лично и ко всему вашему коллективу !

[thyrex]

Спасибо и Вам за оценку работы

Поскольку отключение JavaScript, я так понимаю, помогло, Вам осталось найти вредоносный скрипт

Удалите ComboFix

[mast]

Спасибо и Вам за оценку работы

Поскольку отключение JavaScript, я так понимаю, помогло, Вам осталось найти вредоносный скрипт

Удалите ComboFix

Нет, Java я не отключал.
Помогло, как мне кажется авто-обновление модуля ComboFix.
После этого обновления я повторил действия по вашей инструкции.
И ушли красные строки все, кроме указанной. И пропало постоянное сообщение о вредоносном сайте.
Так получается, еще надо удалить вредоносный скрипт...
А я подумал было, что победа полная !
Что мне сделать, чтобы убить хада ?

[thyrex]

Раз дело было не в отключении JavaScript значит ничего искать не нужно

[mast]

к моему огромному сожалению, обращение к вредоносному сайту вернулось =(
Как вы и предполагали - причина в скрипте.
Так как при отключении скриптов в браузере, проблема не проявляется.
Как его (скрипт) обезвредить ?

[thyrex]

Ищите все файлы с расширением js, собирайте в одну папку, запаковывайте и прекрепляйте к сообщению на форуме