Во время работы Касперский (6.0.4.1424) выдает периодическое появление запроса:
"URL-адрес durzue.com/hKkfHer2/proxy.pac, содержащий вредоносную программу обнаружен"...
Помогите почистить зловред.
[ATTACH]374603[/ATTACH]
[ATTACH]374604[/ATTACH]
[ATTACH]374605[/ATTACH]
Уважаемый(ая) [B]hlevak[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
[ATTACH]374749[/ATTACH]
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные модули в памяти: 1
C:\WINDOWS\system32\cgmopenbho.dll (Trojan.BHO) -> Действие не было предпринято.
Обнаруженные ключи в реестре: 12
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{C44D2EA2-FCCE-4CE8-8710-5ED0D33F7677} (PUP.Rubar) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{C44D2EA2-FCCE-4CE8-8710-5ED0D33F7677} (PUP.Rubar) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{23DD83B5-BDDC-49CE-B77B-514819C6D551} (PUP.Rubar) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\CronosPro (Spyware.Passwords.XGen) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (Spyware.Passwords.XGen) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{56B38F40-4E70-11d4-A076-0080AD86BA2F} (Trojan.BHO) -> Действие не было предпринято.
HKCR\CLSID\{56B38F40-4E70-11d4-A076-0080AD86BA2F} (Trojan.BHO) -> Действие не было предпринято.
HKCR\TypeLib\{56B38F41-4E70-11D4-A076-0080AD86BA2F} (Trojan.BHO) -> Действие не было предпринято.
HKCR\Interface\{56B38F42-4E70-11D4-A076-0080AD86BA2F} (Trojan.BHO) -> Действие не было предпринято.
HKCR\WebCGMHlprObj.WebCGMHlprObj.1 (Trojan.BHO) -> Действие не было предпринято.
HKCR\WebCGMHlprObj.WebCGMHlprObj (Trojan.BHO) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{56B38F40-4E70-11D4-A076-0080AD86BA2F} (Trojan.BHO) -> Действие не было предпринято.
Обнаруженные параметры в реестре: 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\WINDOWS\SYSTEM32\CGMOPENBHO.DLL (Trojan.BHO) -> Параметры: 1 -> Действие не было предпринято.
Обнаруженные папки: 3
C:\Documents and Settings\user\Application Data\WebaltaService (Adware.Webalta) -> Действие не было предпринято.
C:\Documents and Settings\admin\Application Data\Rubar-Toolbar (PUP.Rubar) -> Действие не было предпринято.
C:\Documents and Settings\LocalService\Application Data\Rubar-Toolbar (PUP.Rubar) -> Действие не было предпринято.
Обнаруженные файлы: 20
C:\Documents and Settings\user\Мои документы\Downloads\2918_dw.exe (Hoax.ArachSMS) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\user\Application Data\WebaltaService\WebaltaService.cfg (Adware.Webalta) -> Действие не было предпринято.
C:\Documents and Settings\user\Application Data\WebaltaService\WebaltaService.exe (Adware.Webalta) -> Действие не было предпринято.
C:\Documents and Settings\admin\Application Data\Rubar-Toolbar\Broker.log.log (PUP.Rubar) -> Действие не было предпринято.
C:\Documents and Settings\admin\Application Data\Rubar-Toolbar\MsiHelper.log.log (PUP.Rubar) -> Действие не было предпринято.
C:\Documents and Settings\LocalService\Application Data\Rubar-Toolbar\Service.log.log (PUP.Rubar) -> Действие не было предпринято.
C:\Temp\svchost.pif.rar (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.
C:\WINDOWS\system32\cgmopenbho.dll (Trojan.BHO) -> Действие не было предпринято.[/code]
Проблема сохранилась
Kaspersky Anti-Virus 6.0 выдает сообщение:
[ATTENTION]Вредоносная программа:
URL-адрес содержит вредоносную программу.
Рекомендуется запретить загрузку.
URL-адрес:
ht_tp://durzue.com/hKkfHer2/proxy.pac[/ATTENTION]
Подобное повторяется примерно каждые 8 минут.
P.s.
Стоит ли пробовать отловить URL-адрес с помощью Process Monitor от Марка Руссиновича (SysInternals) ?
[b]hlevak[/b], где новый лог MBAM ?
+ сделайте [url=http://virusinfo.info/showthread.php?t=121767]полный образ автозапуска uVS[/url]
полный образ автозапуска uVS[ATTACH]374801[/ATTACH]
[QUOTE=regist;918961][b]hlevak[/b], где новый лог MBAM ? [/QUOTE]
Выполняется...
[COLOR="silver"]- - - Updated - - -[/COLOR]
новый лог MBAM
[ATTACH]374821[/ATTACH]
новый лог MBAM
[URL="http://virusinfo.info/showthread.php?t=121767"]полный образ автозапуска uVS[/URL]
[ATTACH]374884[/ATTACH]
[ATTACH]374885[/ATTACH]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
[QUOTE=regist;919167]Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url][/QUOTE]
Лог ComboFix
[ATTACH]374903[/ATTACH]
Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::
File::
Driver::
Folder::
C:\Nqiu5GqHQpw
Registry::
FileLook::
DirLook::
Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
что с проблемой ?
смените все пароли!
[QUOTE=regist;919179]Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[/QUOTE]
Возникла проблема с ComboFix. При запуске с CFScript.txt стоит вхолостую (пробовал 2 раза: Время простоя 5-6 часов). Надпись в консоли при этом:
[CODE]Scanning for infected files...
This typically doesn't take more than 10 minutes
However, scan times for badly infected machines may easily double
[/CODE]
P.s. Консоль восстановления не устанавливалась/
Что делаю не так?
попробуйте выполнить из безопасного режима.
зы. файл сохранили действительно в корень С диска ?
[QUOTE=regist;919495]попробуйте выполнить из безопасного режима.[/QUOTE]
Спасибо, выполнилось, но проблема сохранилась.
Новый лог ComboFix
[ATTACH]375104[/ATTACH]
Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::
File::
Driver::
Folder::
c:\documents and settings\All Users\Application Data\IBank
c:\documents and settings\admin\Application Data\Nqiu5GqHQpw
Registry::
FileLook::
DirLook::
Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
проблема осталась ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
новый отчет [B]ComboFix.txt[/B]
[ATTACH]375173[/ATTACH]
проблема осталась:
[ATTACH=CONFIG]375174[/ATTACH]
Уязвимости устранены.
в интернет через выходите? если да то попробуйте подключить напрямую или через другой.