Printable View
Есть подозрения на вирус. Подменяет DNS в результате несколько сайтов не работает.
В панеле задач присутствует окно. Но оно нигде больше не высвечивается ни в диспетчере задач нигде. (Большое подозрения что дело в нем)
[ATTACH]369631[/ATTACH]
[ATTACH]369632[/ATTACH]
[ATTACH]369633[/ATTACH]
Уважаемый(ая) [B]Pavia[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('epm-po.dll','');
QuarantineFile('C:\Windows\System32\epm-po.dll','');
DelBHO('{E0E899AB-F487-11D5-8D29-0050BA6940E3}');
DelBHO('{0BF43445-2F28-4351-9252-17FE6E806AA0}');
QuarantineFile('C:\Users\Pavia\0.008459183702745232.exe','');
DeleteFile('C:\Users\Pavia\0.008459183702745232.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','explorer');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
[url]http://software.kuaiche.com[/url] в доверенные сами прописали ? если нет, то
[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]O15 - Trusted Zone: http://software.kuaiche.com[/CODE]
- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
- Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.
Скрипт выполнил эффект остался.
Вот результаты сканирования
[ATTACH]369649[/ATTACH]
[ATTACH]369650[/ATTACH]
Карантин отправил.
Подозрительные файлы тоже отправил.
[QUOTE]Результат загрузкиФайл сохранён как 120710_114635_virusinfo_files_PAVIA-НОУТ_4ffc161b4d963.zip
Размер файла 26331681
MD5 390c0470cd9a61511eaa06778dd4d633
Файл закачан, спасибо![/QUOTE]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ поищите на диске файл [B]epm-po.dll[/B] если найдёте заархивируйте в zip архив с паролем [B]virus[/B] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
Искал тотолкомандером epm-po.dll не нашел.
ComboFix обещал просканировать систему за 10 минут прождал 5 часа не дождался выключил компьютер. Лога программа не создала.
[quote="Pavia;901222"]Вирус мменяет DNS[/quote]
Где меняет? Чьи ip 192.168.2.20,192.168.1.1?
- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
[QUOTE]Где меняет? Чьи ip 192.168.2.20,192.168.1.1?[/QUOTE]
В браузере ряд сайтов перенаправляется на другие адреса. Как именно это происходит для меня загадка. Но вроде как идет подмена адреса. Я бы сам даже не заметил если бы несколько рабочих сайтов не поломалось(перестали открываться). На них я могу зайти через прокси. Бана нету и быть не может.
Эффект проявляется после запуска оперы.
К примеру если я запускаю IE и за хожу на сайты то они работают.
Если я запускаю оперу, а затем запускаю IE, то сайты уже не работают.
[quote="Pavia;901472"]Чьи ip 192.168.2.20,192.168.1.1?[/quote]
и жду MBAM...
10 с половиной часов. Сканирование закончил.
Думаю больше пока полные сканирования делать не буду.
[ATTACH]369802[/ATTACH]
[b]Pavia[/b], Файлы вам знакомы?
[CODE]D:\Project1.exe
D:\temp\Project1.exe[/CODE]
Если [B]нет[/B] удалите все найденное в MBAM,если [B]да[/B], удалите все кроме них!
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только
[CODE]Обнаруженные ключи в реестре: 1
HKCU\SOFTWARE\ADWare (Malware.Trace) -> Действие не было предпринято.
C:\Windows\Temp\NOD60EE.tmp (Trojan.Agent) -> Действие не было предпринято.[/CODE]
если остальные файлы/папки вам не знакомы, то тоже удалите.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\mirc\\mirc.exe - [B]not-a-virus:Client-IRC.Win32.mIRC.g[/B][/LIST][/LIST]