Printable View
Добрый день. Windows 7 SP1 x64. При запуске броузеров загружается [URL]http://sindex.biz/?company=3[/URL]. При нажатии на "Домой", переходит на корректную домашнюю страницу- "ya.ru". CureIt! проблем не обнаружил. Автозагрузка пустая. Подозрительных файлов в профиле пользователя не вижу. Судя по вопросам на форумах проблема появилась в августе 2013, но решение нигде не встречается.
Уважаемый(ая) [B]koulikovr[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:
[CODE]
begin
ExecuteRepair(10);
RebootWindows(true);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера.
Сделайте новые логи AVZ.
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR=Blue]C:\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
AdwCleaner вынес только MailAgent :) Ну и старые хвосты от DealPly- который я уже удалял. На остальное это не сказалось.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Теперь стало понятно как можно без особых заморочек избавится от проблемы. Эта дрянь оказывает влияние видимо только на текущего пользователя. Т.е.- создал ещё один локальный профиль, а под ним всё чисто. И IE и Chrome работают корректно. Так что самый простой способ избавится от этой беды- перенести все документы и т.п. во временную папку, грохнуть профиль пользователя, создать новый и перенести всё обратно... но интересно до жути где сидит эта зараза (понятно что в профиле) и почему её не ловит CureIt и как её прохлопал McAfee.
Будет время, попробую поднять виртуалку, поискать что-нибудь для отслеживания изменений реестра/диска и посмотреть что происходит- причина всех бед -Zaxar Game Browser- эта дрянь была замаскирована под self extcract ZIP.
Зараженный профиль пока не трогаю- если это поможет получить информацию для обновления вирусных баз, если нет, то исправлю ситуацию сам.
Скачайте [url="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2012-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]
Вобщем ничего подозрительного не нашлось, кроме первых трёх записей в логе. Остальное всё бред и излишняя бдительность- видить потенциально опасный код в собственноручно мной написанных приложениях (несколько keygen-ов для своего софта), да и этот архив софта лежит без изменения много лет. Первые три записи удалил
HKCR\CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3} (PUP.Optional.BrowseFox.A)
VuuPC_Setup (1).exe (PUP.Optional.InstallCore)
VuuPC_Setup.exe (PUP.Optional.InstallCore)
но не они причина. Перезагрузка показала что проблема осталась. А тем временем кол-во жертв к сожалению растет...
Проверьте ярлыки браузеров. В свойствах ярлыка может быть прописана домашняя страничка [B]sindex.biz[/B]
Спасибо Михаил. Всё было почти так, хотя как оно выглядело точно на той машине я уже не знаю- времени не было и пришлось удалить старый и создать новый профиль. Забрал свои диски и машину отдал.
Повторить эту ситуацию на виртуалке у меня не получилось- в наличии только x86 версия операционки, а на ней почемуто этот ZIP просто распаковывается, без доп. действий типа установки Zaxar Game Browser. И один из пунктов выборочной установки этой дряни- установка стартовой страницы sindex.biz. Вот только после удаления этого софта восстановления настроек не происходит. Так что это человеческий фактор + ублюдочный софт.
Пришлось повторить все шаги на своей почти такойже машине. Результат- в ярлыки запуска IE и Chrome прописываются iexplore.url и chrome.url. Сами эти линки соответственно ссылаются на этот sindex.biz. Для IE дополнительно прописывается ещё и в Startpage.url. Линки хранятся в папках IE и Chrome но подменяют ярлыки только для текущего пользователя.
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]