Баннеры и подмена ссылок в браузере

**caturnix** · 28.03.2009, 19:37

Используется браузер Firefox (ОС - Windows XP SP3). На октрываемых вкладках (в том числе и пустых) периодически появляются порно-баннеры (либо картинки, либо панель с ссылками на различные сайты, оформлена под рекламу Google). Также происходит подмена ссылок в поисковиках.
Иногда (предположительно - при наличии flash-содержимого на страницах) открытая страница целиком блокируется полупрозрачным фоном с сообщениями одного из двух видов:
1) отправьте смс на номер **** и введите полученный код для полного доступа к содержимому сайта
2) введите код на картинке (вариации различных ключевых слов для защиты от ботов, берутся с сайта megaclicks.com). После ввода кода блокировка страницы убирается.

Проверки Nod32, касперским и adaware ничего не выявили. IE почти не используется, но в нем ни один из перечисленных симптомов замечен не был.

Заранее спасибо за помощь.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 28.03.2009, 20:31

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{AA58ED58-01DD-4D91-8333-CF10577473F7}');
 QuarantineFile('C:\Program Files\Google\googletoolbar1.dll','');
 DeleteFile('C:\Program Files\Google\googletoolbar1.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 праивил
повторите логи сзапущенным огнелисом

**caturnix** · 28.03.2009, 21:37

Скрипт выполнен, карантин пуст. Указанной папки не существует вообще. Логи с запущенным файрфоксом прикладываю.

**V_Bond** · 28.03.2009, 21:49

выполните скрипт

Код:

begin
 QuarantineFile('C:\Program Files\Mozilla Firefox\xul.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\xpcom.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\ssl3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\sqlite3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\softokn3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\smime3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\plds4.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\plc4.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\nssutil3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\nssdbm3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\nssckbi.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\nss3.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\nspr4.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\MOZCRT19.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\js3250.dll','');
 QuarantineFile('C:\Program Files\Mozilla Firefox\freebl3.dll','');
end.

пришлите карантин согласно приложения 3 правил
выполните http://virusinfo.info/showthread.php?t=10025

**caturnix** · 28.03.2009, 21:54

Карантин сейчас приложу.

При проверке HiJack'ом в безопасном режиме без запущенных браузеров в логе присутствовало что-то вроде urlhook. Если важно, могу повторить сканирование (лог не остался).

Очистку проводить только браузера или все перечисленные в статье пункты?

**Гриша** · 28.03.2009, 22:32

С помощью CCleaner все очистите...

**caturnix** · 30.03.2009, 01:37

Систему почистил, карантин отправил еще в субботу.

**Гриша** · 30.03.2009, 13:32

reebl3.dll, js3250.dll, MOZCRT19.dll, nspr4.dll, nss3.dll, nssckbi.dll, nssdbm3.dll, nssutil3.dll, plc4.dll, plds4.dll, smime3.dll, softokn3.dll, sqlite3.dll, ssl3.dll, xpcom.dll, xul.dll

Вредоносный код в файлах не обнаружен.

**caturnix** · 30.03.2009, 14:12

Судя по всему, та же проблема, что и в топике http://virusinfo.info/showthread.php?t=42823

Обнаружил такую вещь: C:\Program Files\Mozilla Firefox\extensions\googletoolbar@1
Гуглтулбар никогда не устанавливался.

**Гриша** · 30.03.2009, 14:29

В папке есть что-нибудь?

**caturnix** · 30.03.2009, 14:34

Да, файлы chrome.manifest, install.rdf и папка chrome с подпапкой content (в ней файлы main.js и main.xul).
После переноса папки в другое место из extensions файрфокса проблема пока что больше не наблюдалась. Настроен filemon на название google, если будет восстанавливаться в процессе работы системы. Перезагружаться не пробовал.