Неведомая зараза

[romartyn]

Доброго времени суток.
У меня в целом руки растут откуда надо, но сейчас я в шоке.

Всё началось с одного из ноутов на XP SP3, им пользовалась моя мама пол года назад, тогда, скорее всего зараза и пролезла - через какой-то сайт.
Пол года ноут лежал на полке мёртвым грузом, пока мне не понадобился для работы.

На некоторых сайтах стали вылазить Popunder'ы порнографическ-рекламного характера.
Ладно бы где - на Яндексе и ряде других крупных сайтов!!

Будучи веб-программистом, при помощи NoScript и Firebug я смог понять принцип работы заразы.
На определённых сайтах (вероятно на тех, которые ей известны) зараза подменяет библиотеку jQuery на свою!
Пытается выполнять javascript-код с домена spy4.in (решение тут http://virusinfo.info/showthread.php?t=109908 не помогло), что при замыкании его на localhost благополучно не выходит сделать - голые бабы пропадают.
Но всё равно функциональность сайтов страдает..

Ладно бы этот ноут! Снёс бы всё и забыл. Но эта штука как-то перебралась на свежеустановленную win7 !!! На другом компе в локальной сети. Могло через шары, могло через флешку (что вряд ли, её проверял - ни намёка)

Но что самое печальное. Никак его не вылечить! В инете нет решений. Аваст не видит при глубоком сканировании, CureIt тоже ничего такого не знает.
И непонятно, в каком процессе оно обитает...

В какой-то момент, я убил через таск менеджер процесс, прикидывавшийся установщиком программ, эта штука пропала и я праздновал победу, пока не запустил Оперу....
И теперь не могу найти - замаскировался с концами!

[Info_bot]

Уважаемый(ая) romartyn, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Важно: Правила! Читать перед запросом о помощи!

[thyrex]

+ для выхода в Интернет используется роутер?

[romartyn]

+ для выхода в Интернет используется роутер?

Так точно, роутер.
Но проблема только на виндовых машинах, на КУбунте всё нормально.

[thyrex]

http://virusinfo.info/showthread.php?t=122524 сделайте

[romartyn]

Сделал Result.txt

[thyrex]

Вот Ваша проблема

DNS-серверы. . . . . . . . . . . : 88.198.15.115

Сделайте аппаратный сброс настроек роутера, введите правильные настройки, смените пароль на роутере, очистите куки и кэш браузеров

Проверяйте работу

[romartyn]

Спасибо!
Помогло.
Проблема не проявлялась на машинах со статическим адресом, без DHCP, поэтому я сначала не мог подумать на роутер.

Как уберечься от взлома роутера?? Пароль стоял мощный.
Его взяли эксплойтом ?

[regist]

Как уберечься от взлома роутера?? Пароль стоял мощный.

скорей всего по словарю, длинный пароль это ещё не значит что он сложный. Рекомендуется пароли генерировать специальными сервисами.