Всплывают рекламные баннеры и страницы во всех браузерах. Так же периодически выдается капча при поиске в google, а Яндекс ссылается на подозрительный трафик. Проверка DrWeb Curelt[FONT=Arial][COLOR=#555555] к успеху не привела! Помогите пожалуйста!!![/COLOR][/FONT]
Уважаемый(ая) [B]Mammba[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
1) [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\WebServers\denwer\Boot.exe','');
QuarantineFile('C:\WINDOWS\system32\zrkbys.exe','');
QuarantineFile('C:\WINDOWS\system32\77483baa.exe','');
QuarantineFile('C:\WINDOWS\system32\60c40539.exe','');
QuarantineFile('C:\Program Files\pchd\PCHDPlayer.exe','');
QuarantineFileF('C:\Program Files\pchd', '*', true, ' ', 0, 0);
DeleteFile('C:\Program Files\pchd\PCHDPlayer.exe','32');
DeleteFile('C:\WINDOWS\system32\60c40539.exe','32');
DeleteFile('C:\WINDOWS\system32\77483baa.exe','32');
DeleteFile('C:\WINDOWS\system32\zrkbys.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
DeleteFileMask('C:\Program Files\pchd', '*', true, ' ');
DeleteDirectory('C:\Program Files\pchd');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
2) [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://sindex.biz/?company=5
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://philka.ru/forum
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://sindex.biz/?company=5
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\60c40539.exe,C:\WINDOWS\system32\77483baa.exe,C:\WINDOWS\system32\zrkbys.exe,
O14 - IERESET.INF: START_PAGE_URL=http://philka.ru
[/CODE]
3) Ticno Tabs - удалите через установка и удаление программ. Покер сами ставили?
4) [B][COLOR="#FF0000"]Внимание![/COLOR][/B] Официальная поддержка (и выпуск обновлений) для [B]Windows XP SP2[/B] прекращена.
Установите [URL="http://www.microsoft.com/ru-ru/download/details.aspx?id=24"]Пакет сетевой установки пакета обновления 3 (SP3) для ОС Windows XP[/URL] + все последующие обновления.
5) Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
6) Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])
7) По окончанию лечения рекомендуется сменить пароли на веб ресурсы.
Выполненные мною пункты:
1. ВЫПОЛНЕН
2. Профиксил O14 - IERESET.INF: START_PAGE_URL=http://philka.ru остальных не было
3. Ticno Tabs в установка и удаление программ не нашел. Покер устанавливался давно, в установка и удаление программ тоже его нет. Нашел в инете как можно удалить:
A. Нажать пуск и выполить: regsvr32 "%PROGRAMFILES%\Ticno\Tabs\TicnoTabsBho111213.dll" \u
или
regsvr32 "%PROGRAMFILES%\Ticno\Tabs\TicnoTabsBho111217.dll" \u
B. или запустить удаление всего
"%PROGRAMFILES%\Ticno\Tabs\Uninstall.exe"
Стоит ли попробовать один из этих способов?
4. Обновит до SP3 по понятным причинам не могу!!!
5. и 6. Логи прикрепил
7. Имеется ввиду почта, вконтакте, одноклассники и т.д. или доступ в интернет. Надо ли что-то делать с роутером, т.к. информация о подозрительном трафике и капча выскакивают и на мобильных устройствах???
Моя проблема так и не решилась, ответьте пожалуйста...
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
+ Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).
[CODE]
Обнаруженные параметры в реестре: 3
HKLM\SOFTWARE\Microsoft|option_1 (Rootkit.Agent) -> Параметры: ќђђ‹Њ–љЊћ‘›†Сњђ’ -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft|option_2 (Rootkit.Agent) -> Параметры: ќОЗНЗћ‹љСњђ’ -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft|option_3 (Rootkit.Agent) -> Параметры: ќЌ–›“љЌЊСњђ’РОЛ‘Њљ†Л‰€†СЏ—Џ -> Действие не было предпринято.
Обнаруженные папки: 1
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> Действие не было предпринято.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> Действие не было предпринято.
[/CODE]
Проверьте эти файлы на [url=http://www.virustotal.com/index.html]virustotal[/url]
кнопка [b]Выбрать файл[/b] (Choose File) - ищите нужный файл у вас в системе - [b]Открыть[/b] (Browse) - [b]Проверить[/b] (Scan it!). Нажать на кнопку [b]Повторить анализ[/b] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.
[CODE]
C:\Program Files\Alawar.ru\Пернатый нянь\Birdies.wrp.exe
[/CODE]
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
Мои логи!!!
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Мои логи!!!
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Мои логи!!!
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Мои логи!!!
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Мои логи!!!
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
А так же анализ virustotal https://www.virustotal.com/ru/file/d1bdd69278ee7736cd6d14f3e3e110a132713f4927d6ebfbf886a8468b508dec/analysis/1375441453/
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Лог сканирования ComboFix
Жду дальнейших рекомендаций!!!
Что с проблемой?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]