Printable View
Доброго времени суток!
Проблема заключаться в следующем:
В качестве стартовой страницы браузера установился сайт westernunion.com заблокированы интернет сайты самых популярных антивиросов - Avira, Касперский, ДокторВэб и т.д.
Иногда
На данный момент на ПК установлен АВ Avira, находит один вирус, но после его удаления качественно ничего не меняется - обновления антивируса не работают, сайты АВ компаний не открываются, в качестве стартовой страницы также весит сайт westerunion.
Уважаемый(ая) [B]tuttam[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\system32\xuuheoi.dll','');
QuarantineFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE','');
QuarantineFile('C:\Users\Diana\AppData\Local\Temp\009430~1.EXE','');
DeleteFile('C:\Users\Diana\AppData\Local\Temp\009430~1.EXE');
DeleteFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE');
DeleteFile('C:\Windows\system32\xuuheoi.dll');
DelBHO('{DBC80044-A445-435b-BC74-9C25C1C588A9}');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Доброго дня!
Благодарю за решение, но к сожалению не помогло, проблема осталась. В прикреплении карантин и новые логи.
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe','');
DeleteFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows\CurrentVersion\Run','Ybogcoe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://virusinfo.info/showthread.php?t=128635#post948932"][I]очистите кэш и cookies-файлы браузеров[/I][/URL]
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
[QUOTE=mrak74;962797]Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe','');
DeleteFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows\CurrentVersion\Run','Ybogcoe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[URL="http://virusinfo.info/showthread.php?t=128635#post948932"][I]очистите кэш и cookies-файлы браузеров[/I][/URL]
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )[/QUOTE]
Доброго дня!
Было выполнено все по пунктам, к сожалению проблема не устранена.
Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL] + Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL]
[QUOTE=mrak74;962861]Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL] + Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL][/QUOTE]
Доброго дня !
В прикреплении логи.
Интересно то, что после установки в систему ПО MBAM, стал блокироваться как подозрительный, сайт termocomfort.by, именно тот сайт, предположительно с которого началась вся эпопея с данным вирусом.
Вот кусочек лога
[CODE]2013/01/24 10:02:10 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51437, Process: avwebgrd.exe)
2013/01/24 10:02:18 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51441, Process: avwebgrd.exe)
2013/01/24 10:02:18 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51443, Process: avwebgrd.exe)
2013/01/24 10:03:22 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51452, Process: firefox.exe)
2013/01/24 10:03:22 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51453, Process: firefox.exe)[/CODE]
Антивирус обновляется ?
Выполните скрипт в AVZ:
[CODE]begin
ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Выполните очистку системы программой Ccleaner.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + приложите второй лог от RSIT (info.txt)
[QUOTE=mrak74;963061]Антивирус обновляется ?
Выполните скрипт в AVZ:
[CODE]begin
ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Выполните очистку системы программой Ccleaner.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + приложите второй лог от RSIT (info.txt)[/QUOTE]
Выполнено!
[ATTENTION]Хватит карантин к теме прикреплять!!![/ATTENTION]
[quote="regist;962647"]Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.[/quote]
Какие проблемы остались?
В реестре надо удалить:
[CODE]HKEY_USERS, S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows NT\CurrentVersion\Windows, Run
HKEY_USERS, S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows NT\CurrentVersion\Windows, Load[/CODE]
+ перед удалением этих записей в реестре, нужно вернуть права на эту ветку
[QUOTE=thyrex;963874]+ перед удалением этих записей в реестре, нужно вернуть права на эту ветку[/QUOTE]
Ветки удалил, проблема осталась.
Сайты антивирусных компаний не открываются, АВ АВИРА не обновляется.
В качестве стартовой странице сайт westernunion.com
В AVZ "Восст. системы" п.21 отметить и выполнить.
В командной строке выполнить команду route -f. Перезагрузить компьютер.
Проверить что с проблемами.
[QUOTE=PavelA;965849]В AVZ "Восст. системы" п.21 отметить и выполнить.
В командной строке выполнить команду route -f. Перезагрузить компьютер.
Проверить что с проблемами.[/QUOTE]
Ничего не изменилось, разве что пи загрузке стал вылет "alert" с сообщением о том, что не удалось запустить файл 7898766.exe .
[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]