При загрузке web-страниц в них вставляются куски кода с popstart.ru. (В любых броузерах, в любых эмуляторах броузеров)

**dreamer0x01** · 16.01.2013, 17:33

Здравствуйте.
Недавно при просмотре фотки с радикал.ру антивирусник (avg) гавкнул на троян, я запретил открытие страницы, но все равно после этого подцепил какую-то заразу.

Во всех броузерах, в эмуляторе броузеров (ietester, например) в код загружаемых страниц встраивается iframe, в который грузится всякая порнуха с popstart.ru.
iframe бывает двух типов - либо слева, либо во всю ширину экрана сверху.

CureIt ничего не обнаружил. AVG понятное дело тоже. Утилита от Касперского тоже не нашла.
Штатная проверка AVZ тоже не выявила чего-то особенного.

Требуемые логи прикладываю.

Помогите, пожалуйста!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 16.01.2013, 17:35

Уважаемый(ая) dreamer0x01, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 16.01.2013, 22:34

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('c:\TMP\3kwz8bcm.exe','');
 QuarantineFile('C:\Windows\system32\gbpojfa.dll','');
 DeleteFile('C:\Windows\system32\gbpojfa.dll');
 DeleteFile('c:\TMP\3kwz8bcm.exe');
 DeleteFile('C:\Windows\Tasks\9gc7m1r.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mailgo2search.ru
O17 - HKLM\System\CCS\Services\Tcpip\..\{0A5A643E-0BE7-49DB-A790-77F409932AD0}: NameServer = 37.157.255.228
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C82B0F5-5897-4179-BD61-235CD18EC307}: NameServer = 37.157.255.228
O17 - HKLM\System\CCS\Services\Tcpip\..\{AA1E1BEF-DBCA-4B05-ADE3-B0023F7BA3E2}: NameServer = 37.157.255.228
O17 - HKLM\System\CCS\Services\Tcpip\..\{DDCDA28B-E72C-4510-9B97-561DCCE43A4A}: NameServer = 37.157.255.228
O17 - HKLM\System\CCS\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 37.157.255.228

Сделайте новые логи