Printable View
Помогите пожалуйста избавиться от сверхнавязчивой webalt(ы)
Эта хрень установилась в качестве домашней страницы и поиска по умолчанию во всех браузерах (Mozilla и IE). Пользуюсь в основном Mozilla.
Ручное удаление из реестра всех вхождений "webalta" и прописывание домашней страницы в браузерах не помогает. При следующей перезагрузке - все возвращается.
Заранее спасибо за помощь.
Уважаемый(ая) [B]And24[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[URL="http://www.speedbit.com/Symantec_Security_Response.htm"]Download Accelerator Plus[/URL] устанавливали ? если нет, то деинсталируйте его.
Ask Toolbar тоже рекомендую удалить.
Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
+ Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.
[QUOTE=regist;895038][URL="http://www.speedbit.com/Symantec_Security_Response.htm"]Download Accelerator Plus[/URL] устанавливали ? если нет, то деинсталируйте его.[/QUOTE]
Устанавливал. Причем давно, так что это вряд ли от него появилась такая зараза.
Ask Toolbar из Mozillы удален. Видимо остался в IE. Просто я им практически не пользуюсь.
Проверьте свойства ярлыков браузеров (поле [I]Объект[/I]).
Правой кнопкой мыши по ярлыку браузера - Свойства.
Закладка Ярлык, поле Объект.
Там вебальту восмотрите и удалите если есть.
[QUOTE=Bratez;895054]Проверьте свойства ярлыков браузеров (поле [I]Объект[/I]).[/QUOTE]точно! что-то затупил. Надо было сразу проверить.
Ярлыки почистил.
Но тем не менее сканирование МВАМ доделаю (просто очень долго идет - уже полтора часа, а выполнено всего процентов на 30).
Это еще не все. Надо prefs.js и user.js поизучать, поисправлять. Это, если ручками. Если утилитами, то надо Комбофикс напускать.
[QUOTE=PavelA;895066]Это еще не все. Надо prefs.js и user.js поизучать, поисправлять. Это, если ручками. Если утилитами, то надо Комбофикс напускать.[/QUOTE]
prefs.js - правил руками, ещё до обращения на форум
а вот user.js - не обнаружил такого файла. По идее он должен лежать там же где и первый, но нету его там
[COLOR="silver"]- - - Updated - - -[/COLOR]
[QUOTE=regist;895038]Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
+ Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.[/QUOTE]
Сделал лог МВАМ - прикрепляю его к сообщению.
+ загрузил файл подозрительных объектов собранный утилитой AVZ
Файл сохранён как 120611_123400_virusinfo_files_HOMEKOMP_4fd5e5b80968b.zip
Размер файла 18373879
MD5 88cbb51fddc173261ac4ece312b915c7
Я бы посоветовал внимательнее относиться к выбору креков к программам
Когда такое встречается, то все возможно:
[QUOTE]I:\Video\Photoshop Plugin`s\The Panorama Factory 3.3\crack.exe (Worm.Brontok) -> Действие не было предпринято.[/QUOTE]
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только
[CODE]Обнаруженные ключи в реестре: 3
HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\lay.eProtocol (Trojan.WebMoner) -> Действие не было предпринято.
Объекты реестра обнаружены: 4
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowHelp (PUM.Hijack.StartMenu) -> Плохо: (0) Хорошо: (1) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Temp\286212442.exe (Trojan.FakeAlert.Gen) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\wndsksi.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
[/CODE]
креки патчи на ваше усмотрение, но там могут быть вирусы.
Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]
+ [B]смените все важные пароли ![/B] у вас видны следы от заражения трояном карбером, а он люит воровать пароли (особенно банковские).
[COLOR="silver"]- - - Updated - - -[/COLOR]
[quote="And24;895070"]+ загрузил файл подозрительных объектов собранный утилитой AVZ[/quote]
занесены в базу безопасных AVZ: 27
В очереди на добавление в базу безопасных:
высокий приоритет: 15
обычный приоритет: 12
[QUOTE=regist;895135][url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только[/QUOTE]
Еще раз запустил сканирование MBAM что бы удалить указанное.....
Получил какой-то странный результат:
вот это:
[CODE]HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner)
HKCR\lay.eProtocol (Trojan.WebMoner)[/CODE]
нашлось вновь и было удалено
а вот эти записи:
[CODE]HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowHelp (PUM.Hijack.StartMenu) -> Плохо: (0) Хорошо: (1) -> Действие не было предпринято.
Объекты реестра обнаружены: 4
C:\Documents and Settings\Admin\Local Settings\Temp\286212442.exe (Trojan.FakeAlert.Gen) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\wndsksi.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.[/CODE]
найдены не были.....
Папку temp и systen32 почистил руками, а вот файлы wndsksi.inf, igfxtray.dat не обнаружены
Поставил на сканирование MBAM еще раз.... Чуть позже выложу новый лог.
[QUOTE=regist;895135]Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url][/QUOTE]
Логи программой RSIT сделать не смог.
Антивирус отключил.
При сканировании получаю ошибку:
[ATTACH=CONFIG]366426[/ATTACH]
Запуск из папки где находится HijackThis.exe - результаты такие же - ошибка.
[COLOR="silver"]- - - Updated - - -[/COLOR]
Еще раз пересканировал MBAM. Все что было указано удалил.
Сделать лог программой RSIT так и не смог по указанной выше причине.
Обновите базы AVZ и сделайте ещё раз лог [COLOR="#0000CD"]virusinfo_syscheck.zip[/COLOR]
RSIT может повредился при скачивание? попробуйте скачать ещё раз.
[COLOR="silver"]- - - Updated - - -[/COLOR]
и сделайте на всякий случай ещё раз лог MBAM.
[QUOTE=regist;895250]Обновите базы AVZ и сделайте ещё раз лог [COLOR="#0000CD"]virusinfo_syscheck.zip[/COLOR]
RSIT может повредился при скачивание? попробуйте скачать ещё раз.
и сделайте на всякий случай ещё раз лог MBAM.[/QUOTE]
Прикладываю новый [B]virusinfo_syscheck.zip[/B]
И лог сделанный с помощью MBAM
С программой RSIT та же самая история. Повторное скачивание ни с основного сайта, ни с зеркала ситуацию не изменило - выскакивает та же самая ошибка :(
P.S. к стати. После всех этих манипуляций. Заглючила "панель быстрого запуска". Почему то после каждой перезагрузки она отключается. Приходится включать ее, но этого хватает ровно до следующей перезагрузки. не удобно однако....
[quote="And24;895285"]Заглючила "панель быстрого запуска". Почему то после каждой перезагрузки она отключается.[/quote]
Выполните скрипт
[CODE]begin
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(false);
end.[/CODE]
компьютер перезагрузиться.
после его выполнения фоновую картинку рабочего стола надо будет установить заново, отпишитесь что с проблемой ?
[QUOTE=regist;895361]Выполните скрипт
отпишитесь что с проблемой ?[/QUOTE]
А это был скрипт для чего?
Если для "возвращения" панели быстрого запуска, то не помогло. Панель после перезагрузки пришлось опять вызволять руками.
А что с последними логами MBAM? Там все нормально?
Да и логи RSIT я ведь так и не смог сделать. Другой альтернативы нет?
[COLOR="silver"]- - - Updated - - -[/COLOR]
Нда.... проверил файл prefs.js в профиле по умолчанию Mozilla там эта зараза [B]webalta[/B] опять прописана поисковиком по умолчанию :( Причем в списке поисковых машин видимых в браузере она не отображается, но если написать что-то отличное от URL в адресной строке Mozilla и на жать на энтер, то грузится именно webalta......
Файл prefs.js в очередной раз поправил руками.....
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
[quote="And24;895430"]А это был скрипт для чего?
Если для "возвращения" панели быстрого запуска,[/quote]
да, для неё.
[COLOR="silver"]- - - Updated - - -[/COLOR]
+ пожалуйста экспортируйте из реестра ветки
[CODE]HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced[/CODE]
полученные reg файлы заархивируйте и прикрепите к своему следующему сообщению.
[QUOTE=regist;895432]Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
+ пожалуйста экспортируйте из реестра ветки
[/QUOTE]
Лог и ветки реестра прикрепил.
network.proxy.http - 106.187.36.159 прокси сами настраивали ?
[QUOTE=regist;895452]network.proxy.http - 106.187.36.159 прокси сами настраивали ?[/QUOTE]не могу вспомнить.....:blush:
В данный момент в настройках браузера стоит - [B]без прокси[/B]
А что с логом ComboFix?