Рекламный баннер в левой части любого браузера

[just_nic]

Появляется зараза после нескольких минут работы в интернете. Перепробовали все, что можно, никак не получается избавиться. Проблема обнаружена на нескольких машинах, хотя бы только по этому нужно разобраться в причинах появления и методах борьбы с заразой. По инструкции собрал информацию с одного из пациентов

[Info_bot]

Уважаемый(ая) just_nic, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Очистите куки и кэш браузеров

[just_nic]

это было сделано первым делом)
ipconfig /flushdns тоже

странными мне показались эти строки:

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-19\..\Run: [VistaIcon] D:\Program Files\VistaDriveIcon\VistaDrv.exe (User '?')
O4 - HKUS\S-1-5-19\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection D:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User '?')
O4 - HKUS\S-1-5-19\..\RunOnce: [IE8_02] rundll32 advpack.dll,LaunchINFSectionEx IE8int.inf,AfterUserStart,,4,N (User '?')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-20\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection D:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User '?')
O4 - HKUS\S-1-5-21-861567501-920026266-1644491937-500\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-18\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User '?')
O4 - HKUS\.DEFAULT\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'Default user')

Пробовал их фиксить - hijack как бы фиксит, сканирую опять - часть из них опять на месте, опять выделяю и fix them. Раза с третьего фиксятся все. Перезагружал - проверял, не появляются снова, но и проблему это не решает...

особенно странными показались мне эти две строки:

O4 - HKUS\S-1-5-18\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User '?')
O4 - HKUS\.DEFAULT\..\RunOnce: [IE8_01] regsvr32 /s /n /i:u shell32 (User 'Default user')

Если кто-то знает что происходит при их инициализации, поделитесь, плз

Далее идут строки:

O4 - S-1-5-21-861567501-920026266-1644491937-500 Startup: _uninst_71099801.lnk = D:\Documents and Settings\Admin\Local Settings\Temp\_uninst_71099801.bat (User '?')
O4 - Startup: _uninst_71099801.lnk = D:\Documents and Settings\Admin\Local Settings\Temp\_uninst_71099801.bat

По факту такого файла - D:\Documents and Settings\Admin\Local Settings\Temp\_uninst_71099801.bat не существует... записи однако все равно почистил


еще строки

O22 - SharedTaskScheduler: Предзагрузчик Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - D:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Демон кэша категорий компонентов - {8C7461EF-2B13-11d2-BE35-3078302C2030} - D:\WINDOWS\system32\browseui.dll

На не зараженных системах (точнее на системах зараженных чем-то другим) таких строк не встречал. Тут же на всех трех исследуемых мной и зараженных именно этой заразой машинах присутствуют эти записи. Фиксятся тоже не сразу, но, надо сказать, фиксятся...

как бы резюмируя: все, что было убрано из загрузки, на работоспособности системы не отразилось, ось загрузилась норм и работает, обратно записи не появляются.
Решает ли это проблему... пока не знаю - потому что серферить через rdp+radmin+3g модем крайне неприятно. Десяток страниц открывается пока без баннера... остальные результаты будут завтра

[Techno]

Эти записи были не зловредные, просто мусор.