Заблокирован доступ в соц.сети и при нажатии на ссылки открывает страницу эромир. Вчера из-за этого переустановили систему. Несколько часов все было нормально, затем снова началось. Вылазит эромир и при входе на страницы соц. сетей мой мир и одноклассники вылезает сообщение с просьбой ввести номер телефона. В то время как с другого компьютера и с телефона входит спокойно.
Прилагаю файлы RSIT.
Помогите, пожалуйста, убить эту заразу!
Заранее благодарна.
Уважаемый(ая) [B]Мари-я[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[URL="http://virusinfo.info/content.php?r=136-pravila"] [B]Правила[/B] [/URL] [QUOTE][B]4.[/B] Создайте новую тему в разделе Помогите с кратким описанием проблемы в заголовке и подробным описанием в сообщении; вложите в сообщение файлы логов, полученных в процессе диагностики (AVZ - [B]virusinfo_syscure.zip[/B], AVZ - [B]virusinfo_syscheck.zip[/B], HJT - [B]hijackthis.log[/B])[/QUOTE] Нужные логи предоставьте.
Содержимое файла [QUOTE]C:\WINDOWS\tasks\At1.job[/QUOTE] откройте в блокноте, покажите в следующем сообщении.
посылаю логи AVZ
и содержимое файла C:\WINDOWS\tasks\At1.job
и лог HJT
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\16785765aq');
DeleteFile('C:\WINDOWS\tasks\At1.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Очистите куки и кэш браузеров
Сделайте новые логи
Скрипт выполнила. Логи сделала. Высылаю.
Одновременно с этим просканировала систему в безопасном режиме утилитой вебера crueltIt. Нашло два вируса:
Объект: hosts. Вирус: DFH.HOSTS.corrupted. Путь: C:\windows\system32\drivers\etc\hosts
Объект: webBrowserPassViev.exe. Вирус: Tool.PassViev.405. Путь: C:windows\system32\CPLDAPU\WebBrowserPassViev.exe
Написало, что удалило...
Что с проблемой?
Проблема осталась. Теперь и на Ваш сайт не могу зайти. Выдает черное окно и посередине текст, мол сайт заблокирован, введите номер телефона. В соц. сети зайти не могу по-прежнему. Вчера на момент выключения компьютера после выполнения скрипта все было в порядке. Сегодня этот At1 в папке Tasks снова присутствует, в соц. сети не пускает. В общем, снова та же история.Выполнение скрипта вчера помогло временно.
Сделайте новые логи virusinfo_syscure.zip, virusinfo_syscheck.zip, hijackthis.log . + Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]
Перед тем, как делать логи, повторила в АВЗ скрипт, который Вы дали вчера. Иначе работать вообще невозможно.
Вот новые файлы
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\A3AC21OX\calc[1].exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\MEA5MUVA\contacts[1].exe (Trojan.Exploitdrop.WS) -> Действие не было предпринято.[/code]
Веселье продолжается. Сегодня в 10:15 по Москве снова выдало окошко просьбы телефона. Не впускает ни на одну страницу. И это при учете того, что не совалась ВООБЩЕ НИКУДА. Обновила страницу и нате вам, снова. Причем только секунду назад все было в порядке. В папке C:\WINDOWS\Tasks появилось уже ДВА ФАЙЛА: AT1 и AT2.
Народ, неужели вообще никакой управы на эту холеру нет? Что делать-то, если все перечисленные выше методы помогают только на время!
Руки бы оборвать этому идиоту, кто вирус написал!
Давайте новые логи hijackthis.log, virusinfo_syscheck.zip, virusinfo_syscure.zip. После лечения необходимо будет обновить ОС.
Систему я три дня назад переставила, перед тем, как вам о проблеме написать. Думала, что переустановкой всех этих червей убьет. Как бы не так. Все равно лезут. И все равно этот эро-мир. Кстати, эромира окно теперь не выдает. Вместо него вылазит какой-то гороскоп-2013 и вот это окно с просьбой телефона. Скрины окна присылаю во вложениях вместе с логами.
Окно вылезает поверх всех страниц браузера. закрывает их черным экраном и посередине светит свое вымогательское окошко. Скрин 1 - собственно само окно вымогания телефона. Скрин 2 - окно после того, как в него вбили номер телефона (вбивала наобум не свой номер.)
И где гарантия того, что снесу я систему заново, установлю, и эта дрянь снова не полезет? Злости уже не хватает на них.
Пофиксите в HijackThis:
[CODE]O1 - Hosts: 37.10.117.75 www.google-analytics.com counter.spylog.com counter.rambler.ru mc.yandex.ru admulti.com
O1 - Hosts: 37.10.117.76 www.odnoklassniki.ru vk.com my.mail.ru odnoklassniki.ru m.vk.com wap.odnoklassniki.ru m.odnoklassniki.ru[/CODE]
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\tasks\At2.job');
DeleteFile('C:\WINDOWS\tasks\At1.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
Обновления выполнила. По всем ссылккам (кроме сп3, Сервис-пак третий уже стоит) прошла. И все равно в новом лог-файле авз выдает эти ссылки на обновление:
Поиск критических уязвимостей
Уязвимость обработки графики в оболочке Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=BBEA7EAD-6C5C-4DA8-AA03-A40325FD2DE3[/url]
Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=017f1ed7-eed4-4de3-aca1-93fb25058866[/url]
Уязвимость общих элементов управления Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=b1c185e9-5328-4bf7-b175-fd9d7fc64097[/url]
Для установки этого обновления требуется установить SP3 для Office 2007
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=0E40BBE7-1422-40EA-912D-2A29D709F93F[/url]
Обнаружено уязвимостей: 3
Смысл в третий раз устанавливать то же самое я не вижу...
Логи АВЗ после обновления вот:
АВЗ -> Файл -> Мастер поиска и устранения проблем -> Системные проблемы -> Пуск -> Отметьте пункт указанный выше -> Исправить отмеченные проблемы.
[QUOTE] >> Таймаут завершения процессов находится за пределами допустимых значений
>> Таймаут завершения служб находится за пределами допустимых значений
[/QUOTE] По логике если уязвимость устранена, то она не должна больше обнаруживатся. Что с проблемой? Время на компьютере правильное стоит ?
Выполнила Ваши указания.
Ссылки в логе АВЗ висят те же, что я указывала постом ранее.
[quote] Поиск критических уязвимостей
Уязвимость обработки графики в оболочке Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=BBEA7EAD-6C5C-4DA8-AA03-A40325FD2DE3[/url]
Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=017f1ed7-eed4-4de3-aca1-93fb25058866[/url]
Уязвимость общих элементов управления Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=b1c185e9-5328-4bf7-b175-fd9d7fc64097[/url]
Для установки этого обновления требуется установить SP3 для Office 2007
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=0E40BBE7-1422-40EA-912D-2A29D709F93F[/url]
Обнаружено уязвимостей: 3
[/quote]
На данный момент окно с номером телефона [B]ПОКА[/B] не всплывает, ссылки на сторонние сайты типа эромир не открываются. Поживем до утра, посмотрим.