Гугл зафиксировал подозрительный трафик

[sarmatii]

Сегодня гугл меня "забанил" если можно так сказать. До этого неоднократно выскакивали проверочные коды.
Вложение 438604
Вложение 438605

Сделал один скрипт в AVZ. У меня 64 разрядная система

[Info_bot]

Уважаемый(ая) sarmatii, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание !!! База поcледний раз обновлялась 12.07.2013 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

Обновите базы AVZ.

Пофиксите следующие строчки в HiJackThis если они у вас есть.

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

Сделайте новые логи.

[sarmatii]

Вложение 438611
Вложение 438612

Пофиксил второй пункт. Сделал логи

[mike 1]

1. Проведите эту процедуру. Полученную ссылку сохраните в блокноте под именем VirusDetector и прикрепите его в виде текстового файла в вашей теме.

2. Сделайте лог полного сканирования MBAM (http://virusinfo.info/showthread.php?t=53070)

[sarmatii]

Этот лог есть.
Второй не могу загрузить. Загрузка обрывается. Файл весит 50 мегабайт. Могу на файлообменник кинуть если нужно (гугл диск например)

[mike 1]

1. Загрузите на гугл диск тогда

2. Удалите в MBAM:

Обнаруженные ключи в реестре:  18
HKCR\CLSID\{5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\TypeLib\{830B56CB-FD22-44AA-9887-7898F4F4158D} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\tdataprotocol.CTData.1 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\tdataprotocol.CTData (PUP.Blabbers) -> Действие не было предпринято.
HKCR\CLSID\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\TypeLib\{955B782E-CDC8-4CEE-B6F6-AD7D541A8D8A} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\Interface\{9F0C17EB-EF2C-4278-9136-2D547656BC03} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\updatebho.TimerBHO.1 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\updatebho.TimerBHO (PUP.Blabbers) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCR\PROTOCOLS\HANDLER\BASE64 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\PROTOCOLS\HANDLER\CHROME (PUP.Blabbers) -> Действие не было предпринято.
HKCR\PROTOCOLS\HANDLER\PROX (PUP.Blabbers) -> Действие не было предпринято.
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  4
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} (PUP.ToolBar.WA) -> Параметры:  -> Действие не было предпринято.
HKCR\protocols\Handler\base64|CLSID (PUP.Blabbers) -> Параметры: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Действие не было предпринято.
HKCR\protocols\Handler\chrome|CLSID (PUP.Blabbers) -> Параметры: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Действие не было предпринято.
HKCR\protocols\Handler\prox|CLSID (PUP.Blabbers) -> Параметры: {5ACE96C0-C70A-4A4D-AF14-2E7B869345E1} -> Действие не было предпринято.

Объекты реестра обнаружены:  1
HKCU\SOFTWARE\Microsoft\Internet Explorer\Search|SearchAssistant (Hijack.SearchPage) -> Плохо: (http://webalta.ru/search) Хорошо: (http://www.Google.com/) -> Действие не было предпринято.

Обнаруженные папки:  2
C:\Users\Heretic\Local Settings\Application Data\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Users\Heretic\AppData\Local\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Program Files (x86)\Get-Styles 2.0\ie\tdataprotocol.dll (PUP.Blabbers) -> Действие не было предпринято.
C:\Program Files (x86)\Get-Styles 2.0\utils\updatebho.dll (PUP.Blabbers) -> Действие не было предпринято.
C:\Users\Heretic\Local Settings\Application Data\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Users\Heretic\AppData\Local\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято.

После удаления прикрепите лог MBAM

Проверьте эти файлы на virustotal

D:\Торренты\Игры\Warface\MailRuGameCenter.exe
E:\Windows7\Кряк\Windows Loader.exe
F:\Warcraft III\BNetGatewayEditor.exe

кнопка Выбрать файл (Choose File) - ищете нужный файл у вас в системе - Открыть (Browse) - Проверить (Scan it!). Нажать на кнопку Повторить анализ (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

[sarmatii]

Ссылка на первый лог (который 50мб)

https://docs.google.com/file/d/0Bzzp...it?usp=sharing

Остальное сделаю завтра. Доброй ночи

[sarmatii]

Логи проверок

https://www.virustotal.com/ru/file/5...is/1380457766/

https://www.virustotal.com/ru/file/2...is/1380457893/

https://www.virustotal.com/ru/file/6...is/1380457943/


Лог после удаления указанных пунктов
Вложение 438685

[mike 1]

Это осталось:

Обнаруженные ключи в реестре: 
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\Interface\{9F0C17EB-EF2C-4278-9136-2D547656BC03} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.

Эти файлы тоже в принципе могут быть опасными (рекомендуется удалить):

F:\Warcraft III\BNetGatewayEditor.exe
D:\Торренты\Игры\Warface\MailRuGameCenter.exe

После удаления в MBAM прикрепите лог с удалением.

[sarmatii]

А как нибудь можно вернуться к логу МВАМ и удалить то что осталось?
Просто не хочется опять 2 часа ждать пока он просканирует все

[mike 1]

Выполните быстрое сканирование.

[sarmatii]

Сделано, Файлы удалил

Вложение 438698

[mike 1]

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[sarmatii]

Сделано
Вложение 438699

Вложение 438700

[mike 1]

Пофиксите следующие строчки в HiJackThis если они у вас есть.

O3 - Toolbar: (no name) - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - (no file)

Сделайте новый лог HiJackThis

Что с проблемой?

[sarmatii]

Проблема пропала. Сделал лог

Вложение 438706

[mike 1]

1. Удалите MBAM через установка и удаление программ.

2.

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

[sarmatii]

Сделал лог

Вложение 438717

[mike 1]

Установите обновления

Windows 7 (6.1.7601) Service Pack 1 (x64) Ultimate Lang: Russian(0419)
Дата установки ОС: 21.10.2012 10:09:33
Статус лицензии: Windows(R) 7, Ultimate edition Постоянная активация прошла успешно.
Системный диск: C:\ ФС: NTFS Емкость: [200 Гб] Занято: [142.5 Гб] Свободно: [57.5 Гб]
Браузер по умолчанию: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
-------------Windows------------------------------
Internet Explorer 9.0.8112.16421 Внимание! Скачать обновления
Контроль учётных записей пользователя включен
Загружать автоматически обновления и устанавливать по заданному расписанию
Дата установки обновлений: 2013-09-27 1137
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
-------------Antivirus_WMI------------------------
Kaspersky Internet Security
Антивирус обновлен
-------------Firewall_WMI-------------------------
Kaspersky Internet Security
-------------AntiSpyware_WMI----------------------
Kaspersky Internet Security
Windows Defender
-------------AntiVirusFirewallInstall-------------
Kaspersky Internet Security 2012 v.12.0.0.374
-------------Java---------------------------------
Java 7 Update 21 (64-bit) v.7.0.210 Внимание! Скачать обновления
^Скачайте jre-7u40-windows-x64.exe^
Java 7 Update 25 v.7.0.250 Внимание! Скачать обновления
^Скачайте jre-7u40-windows-i586.exe^
Java Auto Updater v.2.1.9.5
-------------AppleProduction----------------------
Bonjour v.3.0.0.10
Служба Bonjour (Bonjour Service) - Служба работает
-------------AdobeProduction----------------------
Adobe Flash Player 11 ActiveX v.11.8.800.175
Adobe Flash Player 11 Plugin v.11.8.800.168
Adobe Reader XI (11.0.04) v.11.0.04 [+]
-------------Browser------------------------------
Google Chrome v.29.0.1547.76
-------------RunningProcess-----------------------
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe v.29.0.1547.76