Постоянно меняется адрес прокси сервера браузера

[Domine]

Здраствуйте! В браузерах автоматически устанавливается адрес прокси-сервера 127.0.0.1 порт 8118, интернет на работе подключается через прокси(192.168.х.х). Периодичность изменения примерно в течении 1-3 минут. Файлы логов прилагаются. Касперский и Майкрософт секюрити не помогли.

[Info_bot]

Уважаемый(ая) Domine, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFileF('C:\Windows\Microsoft\System Update kb70007', '*', true, ' ', 0, 0);
 DeleteFile('C:\Windows\system32\Tasks\Advanced System Protector','64'); 
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8118;https=127.0.0.1:8118
O2 - BHO: BonanzaDeals - {fe063412-bea4-4d76-8ed3-183be6220d17} - C:\Program Files (x86)\BonanzaDeals\BonanzaDealsIE.dll
O4 - HKLM\..\Run: [mobilegeni daemon] C:\Program Files (x86)\Mobogenie\DaemonProcess.exe

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Domine]

Отчет из AdwCleaner:


# AdwCleaner v3.208 - Отчёт создан 13/05/2014 at 17:44:23
# Обновлено 11/05/2014 by Xplode
# Операционная система : Windows 7 Ultimate Service Pack 1 (64 bits)
# Имя пользователя : NEO - OCCK-2
# Запущено из : C:\Users\NEO\Desktop\adwcleaner.exe
# Настройки : Сканировать

***** [ Службы ] *****

Служба Найдено : bonanzadealslive
Служба Найдено : bonanzadealslivem

***** [ Файлы / Папки ] *****

Папка Найдено : C:\Program Files (x86)\AnyProtectEx
Папка Найдено : C:\Program Files (x86)\BonanzaDeals
Папка Найдено : C:\Program Files (x86)\BonanzaDealsLive
Папка Найдено : C:\Program Files (x86)\BuzzSearch
Папка Найдено : C:\Program Files (x86)\Mobogenie
Папка Найдено : C:\Program Files (x86)\Yandex
Папка Найдено : C:\ProgramData\BonanzaDealsLive
Папка Найдено : C:\ProgramData\Yandex
Папка Найдено : C:\Users\NEO\AppData\Local\BonanzaDealsLive
Папка Найдено : C:\Users\NEO\AppData\Local\iLivid
Папка Найдено : C:\Users\NEO\AppData\Local\Mobogenie
Папка Найдено : C:\Users\NEO\AppData\Local\Yandex
Папка Найдено : C:\Users\NEO\AppData\LocalLow\Yandex
Папка Найдено : C:\Users\NEO\AppData\Roaming\Advanced System Protector
Папка Найдено : C:\Users\NEO\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\BonanzaDeals
Папка Найдено : C:\Users\NEO\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Mobogenie
Папка Найдено : C:\Users\NEO\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Yandex
Папка Найдено : C:\Users\NEO\AppData\Roaming\Mozilla\Firefox\Profi les\nahd6ha2.default\Extensions\{f9d03c26-0575-497e-821d-f7956d23e0ca}
Папка Найдено : C:\Users\NEO\AppData\Roaming\pdfforge
Папка Найдено : C:\Users\NEO\AppData\Roaming\Systweak
Папка Найдено : C:\Users\NEO\AppData\Roaming\Yandex
Папка Найдено : C:\Users\NEO\Documents\Mobogenie
Папка Найдено : C:\Users\wangzhisong\AppData\Local\Mobogenie
Файл Найдено : C:\Users\NEO\AppData\Local\AnyProtectScannerSetup. exe
Файл Найдено : C:\Users\NEO\AppData\Roaming\Mozilla\Firefox\Profi les\nahd6ha2.default\user.js
Файл Найдено : C:\Users\NEO\daemonprocess.txt
Файл Найдено : C:\Users\NEO\Desktop\Continue VuuPC Installation.lnk
Файл Найдено : C:\Users\NEO\Desktop\Mobogenie.lnk
Файл Найдено : C:\Users\Public\Desktop\iLivid.lnk
Файл Найдено : C:\Windows\System32\roboot64.exe
Файл Найдено : C:\Windows\System32\Tasks\BonanzaDealsLiveUpdateTa skMachineCore
Файл Найдено : C:\Windows\System32\Tasks\BonanzaDealsLiveUpdateTa skMachineUA
Файл Найдено : C:\Windows\System32\Tasks\BonanzaDealsUpdate
Файл Найдено : C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachine Core.job
Файл Найдено : C:\Windows\Tasks\BonanzaDealsLiveUpdateTaskMachine UA.job

***** [ Ярлыки ] *****


***** [ Реестр ] *****

Значение Найдено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{25A3A431-30BB-47C8-AD6A-E1063801134F}]
Ключ Найдено : HKCU\Software\BonanzaDeals
Ключ Найдено : HKCU\Software\BonanzaDealsLive
Ключ Найдено : HKCU\Software\InstallCore
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext \Settings\{25A3A431-30BB-47C8-AD6A-E1063801134F}
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext \Settings\{FE063412-BEA4-4D76-8ED3-183BE6220D17}
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext \Stats\{25A3A431-30BB-47C8-AD6A-E1063801134F}
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext \Stats\{FE063412-BEA4-4D76-8ED3-183BE6220D17}
Ключ Найдено : HKCU\Software\systweak
Ключ Найдено : [x64] HKCU\Software\BonanzaDeals
Ключ Найдено : [x64] HKCU\Software\BonanzaDealsLive
Ключ Найдено : [x64] HKCU\Software\InstallCore
Ключ Найдено : [x64] HKCU\Software\systweak
Ключ Найдено : HKLM\Software\BonanzaDeals
Ключ Найдено : HKLM\Software\BonanzaDealsLive
Ключ Найдено : HKLM\SOFTWARE\Classes\AppID\{9EA8702C-EEDB-4731-BE68-E9A167DD3597}
Ключ Найдено : HKLM\SOFTWARE\Classes\AppID\{D34F391D-4CB7-467F-A543-F583857C63B0}
Ключ Найдено : HKLM\SOFTWARE\Classes\AppID\BonanzaDealsLive.exe
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLive.OneClickCtr l.9
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLive.OneClickPro cessLauncherMachine
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLive.OneClickPro cessLauncherMachine.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLive.Update3WebC ontrol.3
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.CoCre ateAsync
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.CoCre ateAsync.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.CoreC lass
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.CoreC lass.1
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.CoreM achineClass
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.CoreM achineClass.1
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Crede ntialDialogMachine
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Crede ntialDialogMachine.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.OnDem andCOMClassMachine
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.OnDem andCOMClassMachine.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.OnDem andCOMClassMachineFallback
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.OnDem andCOMClassMachineFallback.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.OnDem andCOMClassSvc
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.OnDem andCOMClassSvc.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Proce ssLauncher
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Proce ssLauncher.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3COMClassService
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3COMClassService.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3WebMachine
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3WebMachine.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3WebMachineFallback
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3WebMachineFallback.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3WebSvc
Ключ Найдено : HKLM\SOFTWARE\Classes\BonanzaDealsLiveUpdate.Updat e3WebSvc.1.0
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{118E1BF6-6279-432F-A285-373A77B90C7A}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{14CEEA2F-3D21-46ED-A7D2-89056C520E5E}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{1CC8D970-F626-4F19-815F-890032BB6606}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{25A3A431-30BB-47C8-AD6A-E1063801134F}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{29494049-211F-4F5C-8545-7DA8BF7A6CF8}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{33BAF587-9647-4281-A34F-F4830CDC1B9F}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{5B5E5D0E-7C83-4A32-ADD2-E5F488DD6783}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{6802463D-636F-41FE-9924-4CAD56906590}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{806785D0-375F-4C2C-92E3-B8EE65D28E83}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{944661E7-67B9-4DF7-BFF2-05388C166D34}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{9EA8702C-EEDB-4731-BE68-E9A167DD3597}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{A7CF66EF-4F0D-46B1-AF71-A500378D6C34}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{B71934E5-6B93-448D-9D32-CBAA5150C5D8}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{C4BEF720-313C-420A-ACF6-77DD95D8F553}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{D34F391D-4CB7-467F-A543-F583857C63B0}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{E970727E-0508-4BEB-8B72-BBA9D0D047C7}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{EBF1F869-D2F0-4D31-A877-386C853A9C3D}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{F3CF4912-CF0A-451B-AF3B-C4F216C715E4}
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{F904AC50-215C-42AB-A532-77E9FDBA9B19}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{29494049-211F-4F5C-8545-7DA8BF7A6CF8}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{33BAF587-9647-4281-A34F-F4830CDC1B9F}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{C4BEF720-313C-420A-ACF6-77DD95D8F553}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BonanzaDealsLive.exe
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\Mobogenie.exe
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext \PreApproved\{29494049-211F-4F5C-8545-7DA8BF7A6CF8}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext \PreApproved\{C4BEF720-313C-420A-ACF6-77DD95D8F553}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uni nstall\Bonanza Deals
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uni nstall\Mobogenie
Ключ Найдено : HKLM\SOFTWARE\MozillaPlugins\@tools.bdupdater.com/BonanzaDealsLive Update;version=3
Ключ Найдено : HKLM\SOFTWARE\MozillaPlugins\@tools.bdupdater.com/BonanzaDealsLive Update;version=9
Ключ Найдено : HKLM\Software\systweak
Ключ Найдено : [x64] HKLM\SOFTWARE\Classes\Interface\{D0EC4142-5808-41D2-A4DC-6081CF1A9693}

***** [ Браузеры ] *****

-\\ Internet Explorer v11.0.9600.16428


-\\ Mozilla Firefox v

[ Файл : C:\Users\NEO\AppData\Roaming\Mozilla\Firefox\Profi les\nahd6ha2.default\prefs.js ]


-\\ Google Chrome v34.0.1847.131

[ Файл : C:\Users\NEO\AppData\Local\Google\Chrome\User Data\Default\preferences ]


*************************

AdwCleaner[R0].txt - [9561 octets] - [13/05/2014 17:44:23]

########## EOF - C:\AdwCleaner\AdwCleaner[R0].txt - [9621 octets] ##########

[mike 1]

Просили кажется прикрепить отчет, а не копировать содержимое отчета.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
• По окончанию сканирования снимите галочки со следующих строк:
  

  Папка Найдено : C:\Program Files (x86)\Yandex
  Папка Найдено : C:\ProgramData\Yandex
  Папка Найдено : C:\Users\NEO\AppData\Local\Yandex
  Папка Найдено : C:\Users\NEO\AppData\LocalLow\Yandex
  Папка Найдено : C:\Users\NEO\AppData\Roaming\Microsoft\Windows\Sta rt Menu\Programs\Yandex
  Папка Найдено : C:\Users\NEO\AppData\Roaming\Yandex

• Нажмите кнопку "Clean" и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

[Domine]

Запрашиваемый Вами файл AdwCleaner[S0] был сформирован вчера (галочки с указанных строк перед очисткой сняты не были), поэтому прикрепил фал AdwCleaner[S1] перед созданием которого сделал откат и снял соответствующие галочки

[mike 1]

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Domine]

virusinfo_syscheck.zip

hijackthis.log

[mike 1]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\windows\microsoft\system update kb70007\windowsupdater.exe');
 SetServiceStart('System Update kb70007', 4);
 StopService('System Update kb70007');
 QuarantineFile('c:\windows\microsoft\system update kb70007\windowsupdater.exe','');
 DeleteFile('C:\Windows\Microsoft\System Update kb70007\WindowsUpdater.exe','32');
 DeleteFile('C:\Windows\Microsoft\System Update kb70007\Installer.dll','32');
 DeleteFile('C:\Windows\Microsoft\System Update kb70007\InstallerLibrary.dll','32');
 DeleteService('System Update kb70007');
 DeleteFileMask('C:\Windows\Microsoft\System Update kb70007', '*', true, ' ');
 DeleteDirectory('C:\Windows\Microsoft\System Update kb70007');    
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8118;https=127.0.0.1:8118

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\microsoft\system update kb70007\installer.dll - not-a-virus:AdWare.MSIL.Agent.dm ( BitDefender: Application.Bundler.Somoto.F )
  2. c:\windows\microsoft\system update kb70007\windowsupdater.exe - not-a-virus:AdWare.MSIL.Agent.ds ( BitDefender: Application.Bundler.Somoto.E )