Предупреждение центра безопасности, вулкан удачи.

Здравствуйте! Внезапно выскочило предупреждение центра безопасности, потом вулкан удачи и, наконец, бабы. Перед этим кликнул на "Да, обновить флэш плеер", каюсь. Налет системы (win7) к тому моменту составлял два года, поэтому раскидав файлы на внешний диск и дропбокс, я ее и переставил с флешки; открыл браузер на чистой системе - вулкан удачи. Ок, переставил еще раз, опять с флэшки, но после первой перезагрузки системы при установке - вынул. Установил дропбокс - предупреждение системы безопасности. Помогите выследить нечисть? Он, похоже, окопался всюду - и на флэшке и внешнем диске и в дропбоксе.

Уважаемый(ая) [B]mlg[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Сделайте лог [url="http://support.kaspersky.ru/faq/?qid=208639606"]TDSSkiller[/url]

Готово.

Запустите утилиту с ключами [B]-qmbr -qboot[/B]
Найдите на диске С папку с карантином утилиты, запакуйте с паролем virus, выложите на обменник и пришлите ссылку мне в личные сообщения

[size="1"][color="#666686"][B][I]Добавлено через 1 час 25 минут[/I][/B][/color][/size]

В Интернет выходите не через роутер случайно?

Обычно, и в момент заражения - да, через роутер. Со второй переустановки системы и по сей день - напрямую. И вот еще что: начались редкие отвалы сети: и через роутер и напрямую - "без доступа к интернету", это-то и явилось причиной подключения "напрямую", но не помогло. Буквально минуту назад опять отвалилась сеть. Помогает выключить/включить адаптер.

Совет в порядке бреда

Сделайте лог [url="http://virusinfo.info/showthread.php?t=40118"]gmer[/url]

Готово.

Выполните следующее - скачайте Rootkit Unhooker ([url]http://www.kernelmode.info/ARKs/RkU3.8.389.593.rar[/url]) и запустите.

Далее перейдите на вкладку Processes и выберите процесс chrome.exe и выберите опцию Dump All Proccess Memory. Сохраненный файл запакуйте в архив и выложите на файлообменник.

Небольшая поправка: выполните действия, рекомендованные Вам Юрием Паршиным, но при этом воспользуйтесь [url=http://rghost.ru/private/37177034/dbfee735e89324f9183907e96f07a775]вот этой утилитой[/url]. Имя файла пусть Вас не смущает - так надо.

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

И ещё один вопрос: проблемы у Вас наблюдаются только с Хромом? Если запустить встроенный Internet Expolorer - что происходит?

Вся эта ерунда появляется довольно рандомно: после первой переустановки я открыл эксплорер чтобы скачать хром и сразу буквально вылезло предложение установить флэш - установил и полезли баннеры, до скачивания хрома дело так и не дошло. После второй установки часа 4 все было хорошо, я уже скачал хром драйвера все, на радостях пошел к другу в гости - через 20 минут звонок жены - опять началось. Сейчас открыл эксплорер, покликал в ссылки 5 минут - ничего.

Погоняйте с эксплорером. Интересно отследить поведение. А мы пока поглядим Ваш дамп.

Запустите еще раз gmer, в логе должны быть строчки вида:

"775055CE 4 Bytes [28, 00, 0D, 00]
.text C:\Users\mlg\AppData\Local\Google\Chrome\Application\chrome.exe[1728] ntdll.dll!NtCreateFile + B"

Найдите в диспетчере задач процесс с указанным идентификатором и сделайте дамп прямо из него (опция "Создать файл дампа памяти")

[size="1"][color="#666686"][B][I]Добавлено через 1 час 56 минут[/I][/B][/color][/size]

Это оказались легальные перехваты, сделанные самим хромом.

С 16.30 зараза никак себя не проявила - ни в хроме ни в эксплорере. Все что я сделал: отключил все расширения для хрома (скриптно блокировал появление баннеров) и снова включил. Но сеть падала 2 раза.

Итак. Весь остаток вчерашнего дня все было тихо и спокойно. Сегодня днем еще раз переставил систему, на сей раз убил и пересоздал рейд массив. Поставил все обновления, включая ие9. Тихо. Отследил причину отвала интернета - обновил стандартный драйвер сетевой карты на тот, что скачал с сайта интела. Тихо. Подключился к роутеру, расшарил диск и через 20 минут вылез баннер. Сделал 2 скриншота, сделал дамп 3 самых объемных процессов хрома стандартными методами, и дамп утилитой с именем svchosh.exe. Что делать дальше? Выкладывать дампы, и если да, то какие? И это рич медиа от Adskape.

[ATTACH=CONFIG]357048[/ATTACH]

Сейчас открыл ие9. Кликнул по 1 ссылке и тутже на бэкграунде открылся сайт с бабами. Дамп сделал.
[url]http://imageshack.us/photo/my-images/856/vir3.jpg/[/url]

Судя по скорости архивации, эти дампы не пустые.

[url]http://www.kaspersky.ru/antivirus-removal-tool[/url]

Не дает качать по этой ссылке. Клик уходит в редирект.

Скачал КВРТ со стороннего сайта, проверил - говорит все ок.

Ох. Отбился похоже.По совету NeytroN начал ковырять роутер. И да, каким-то чудом его поломали. Сменили пароль в веб интерфейс и все такое. Запустили локальный прокси. Для владельцев роутера с доступом по телнет: пароли от веб интерфейса и телнета - разные. Заходим в телнет и даем: nvram get http_username, nvram get http_passwd. В моем случае логин был admin, пароль qweasdOP. Это соответственно логин пароль к веб интерфейсу. Обращаю внимание на то, что кнопкой сброса и установкой новой прошивки через TFTP не удаляет содержимое nvram. Получив пароль в веб интерфей необходимо сбросить роутер к заводским параметрам или используя TFTP залить прошивку clear_nvram, скачать можно на сайте dd-wrt. Если есть онлайн кто-нибудь, кто готов ковырять дампы роутера, пишите. минут через 20 буду его убивать окончательно.

Неясен способ взлома. Физичеси доступен был только файфай. Но там был пароль 12 знаков и WPA2. Как?

Логи роутера.