Подмена страницы vk.com и перенаправление на антиштраф

Printable View

01.09.2013, 15:34
Ann256

Вложений: 2

Подмена страницы vk.com и перенаправление на антиштраф

Столкнулась с проблемой при выходе в контакт. Выводит на страницу с просьбой написать номер моб. и прислать код активации. После чистки хоста заходит без проблем, но приходится это делать периодически. Касперский раньше видел троян, теперь ничего не находит. Доктор веб так же ничего не нашёл.

Помогите пожалуйста разобраться)

[ATTACH]433977[/ATTACH]
[ATTACH]433978[/ATTACH]
01.09.2013, 15:36
Info_bot

Уважаемый(ая) [B]Ann256[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
01.09.2013, 15:45
mike 1

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\Akira\AppData\Local\Temp\20550947aq','');
QuarantineFile('C:\Windows\Test.bat','');
DeleteFile('C:\windows\system32\Tasks\At1.job','64');
DeleteFile('C:\Users\Akira\AppData\Local\Temp\20550947aq','32');
DeleteFile('C:\windows\system32\Tasks\At1','64');
DeleteFile('C:\windows\system32\Tasks\DealPlyUpdate','64');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
01.09.2013, 16:31
Ann256

Вложений: 1

старалась следовать инструкциям)
отчёт

[ATTACH]433995[/ATTACH]
01.09.2013, 16:34
mike 1

1. [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR], нажмите кнопку нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST][B]Внимание: [COLOR="Red"]Для успешного удаления может потребоваться [U]перезагрузка компьютера[/U]!!![/COLOR][/B]

2. Запакуйте в zip архив с паролем [B]virus[/B] файл [B]C:\Windows\Test.bat[/B] и пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

3. Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
01.09.2013, 17:24
Ann256

Вложений: 3

[ATTACH]433998[/ATTACH]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Файл Test.bat найти в ручную не вышло. После выполнения инструкции приложения 1 по поиску файлов в AVZ по запросу Test.bat вышло так:
Ошибка карантина файла, попытка прямого чтения (Test.bat)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (Test.bat)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\Test.bat)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\Test.bat)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\Test.bat)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\Windows\system32\Test.bat)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[ATTACH]434005[/ATTACH]
[ATTACH]434004[/ATTACH]
01.09.2013, 17:50
mike 1

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Users\Akira\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\Akira\AppData\Local\Temp\20550947aq','');
DeleteFile('C:\windows\system32\Tasks\At1.job','64');
DeleteFile('C:\windows\Tasks\At1.job','64');
DeleteFile('C:\Users\Akira\AppData\Local\Temp\20550947aq','32');
DeleteFile('C:\Users\Akira\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\windows\Tasks\Funmoods','64');
DeleteFile('C:\windows\system32\Tasks\Funmoods','64');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O4 - Global Startup: Tabs.lnk = C:\Program Files (x86)\Ticno\Tabs\Ticno Tabs.exe
[/CODE]

Пофиксите следующую строчку в HiJackThis если вы не прописывали следующий [B]ProxyServer = 10.51.115.5:3128[/B] прокси сервер.

[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.51.115.5:3128
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])
01.09.2013, 18:13
Ann256

после выполнения нужных скриптов зашла в карантин ... в нём нет файлов
01.09.2013, 18:38
mike 1

Выполняйте остальное.
02.09.2013, 02:05
Ann256

Вложений: 3

[ATTACH]434038[/ATTACH]
[ATTACH]434039[/ATTACH]

жду полное сканирование )..

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[ATTACH]434056[/ATTACH]
02.09.2013, 15:32
mike 1

Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 4
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKLM\SOFTWARE\SWEETIM (PUP.Optional.SweetIM.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKLM\Software\SweetIM|simapp_id (PUP.Optional.SweetIM.A) -> Параметры: 11111111 -> Действие не было предпринято.

Обнаруженные папки: 1
C:\Users\Akira\Documents\Iterra (Trojan.Agent) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\0PS72R2M\updater-startnow-200-2.5-d[1].exe (PUP.Optional.SweetPacks.A) -> Действие не было предпринято.
C:\Users\Akira\Documents\Iterra\T03emp03.reg (Trojan.Agent) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
02.09.2013, 19:42
Ann256

Вложений: 1

[ATTACH]434146[/ATTACH]
02.09.2013, 19:52
mike 1

Что с проблемой?
02.09.2013, 19:58
Ann256

пока страница ни разу не подменялась)
02.09.2013, 20:02
mike 1

1. Деинсталлируйте MBAM. Пуск--Панель управления--Установка и удаление программ
Находим там Malwarebytes' Anti-Malware и нажимаем удалить.

2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
02.09.2013, 20:27
Ann256

прошлась по всем ссылкам в блокноте и установила
02.09.2013, 20:34
mike 1

Если проблема решена выполните [url=http://virusinfo.info/showthread.php?t=121902]советы и рекомендации после лечения компьютера[/url]
02.09.2013, 20:49
Ann256

прочитала советы ... спасибо большое за помощь )) вы вовремя пришли на выручку )
02.09.2013, 20:59
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]