Загружается непонятная страница периодически

Printable View

29.11.2007, 23:17
asale

Загружается непонятная страница периодически

Добрый вечер!
переодически появляется страница, которая перенаправляет на sanitardiska.com (или что то вроде).
Если комп подключен к интеренету на панели задач постоянно выскакивают соообщения типа : "Ваш комп инфицирован, срочно обновите антивирус"

Что делать? Страница появляется постоянно.
30.11.2007, 02:42
pig

Выполняйте [url=http://virusinfo.info/showthread.php?t=1235]правила[/url].
03.01.2008, 12:22
asale

[quote=pig;155293]Выполняйте [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL].[/quote]

Протокол во вложении
03.01.2008, 12:22
asale

[quote=asale;166753]Протокол во вложении[/quote]

Как возможно вылечить данные программы?
03.01.2008, 12:24
Geser

Прочитайте внимательно и выполните в точности правила.
03.01.2008, 12:58
asale

[quote=Geser;166756]Прочитайте внимательно и выполните в точности правила.[/quote]

Вроде все корректно
03.01.2008, 13:07
asale

Почему-то файл virusinfo_cure не прикреаляется
03.01.2008, 13:12
Bratez

Отключите восстановление системы!!
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlogan.exe','');
QuarantineFile('C:\Program Files\WinAble\winable.exe','');
QuarantineFile('C:\WINDOWS\System32\_svchosta.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Oaeo36.sys','');
QuarantineFile('C:\WINDOWS\System32\yrgpit.dll','');
QuarantineFile('C:\WINDOWS\system32\ramtmb.dll','');
QuarantineFile('C:\WINDOWS\System32\jkd845jg.dll','');
QuarantineFile('C:\WINDOWS\System32\drivers\rsrvmon.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\lssrv.exe','');
QuarantineFile('C:\WINDOWS\System32\d4ghggf4g.dll','');
QuarantineFile('C:\WINDOWS\System32\Apwcmdnt.dll','');
QuarantineFile('C:\Program Files\Router\Router.exe','');
QuarantineFile('C:\Program Files\Insider\Insider.exe','');
QuarantineFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\winsto.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\winsto.exe');
DeleteFile('C:\WINDOWS\System32\d4ghggf4g.dll');
DeleteFile('C:\WINDOWS\System32\drivers\lssrv.exe');
DeleteFile('C:\WINDOWS\System32\drivers\rsrvmon.exe');
DeleteFile('C:\WINDOWS\System32\jkd845jg.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Oaeo36.sys');
DeleteFile('C:\WINDOWS\System32\_svchosta.exe');
DeleteFile('C:\Program Files\WinAble\winable.exe');
DeleteFile('C:\WINDOWS\TEMP\winlogan.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportDeletedList;
BC_QrSvc('Microsoft Inet Service');
BC_DeleteSvc('Microsoft Inet Service');
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

[quote=asale;166774]Почему-то файл virusinfo_cure не прикреаляется[/quote]
Его не надо прикреплять.
03.01.2008, 13:28
asale

[quote=Bratez;166778]Отключите восстановление системы!!

[SIZE=1][COLOR=#666686][B][I]Добавлено через 36 секунд[/I][/B][/COLOR][/SIZE]

Его не надо прикреплять.[/quote]

Новый лог во вложении
03.01.2008, 13:33
asale

[quote=asale;166787]Новый лог во вложении[/quote]

Забыл еще один
03.01.2008, 14:10
Bratez

Что-то почти все на месте...

Пофиксите в HijackThis:
[code]
O2 - BHO: C:\WINDOWS\System32\jkd845jg.dll - {B5AC49A2-94F3-42BD-F434-2604812C897D} - C:\WINDOWS\System32\jkd845jg.dll (file missing)
O4 - HKLM\..\Run: [f94mggfhfghodftdf] C:\WINDOWS\TEMP\winlogan.exe
O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [rsrvmon.exe] C:\WINDOWS\System32\drivers\rsrvmon.exe
O4 - HKCU\..\Run: [Windows Rescue System] C:\DOCUME~1\86C2~1\LOCALS~1\Temp\winsto.exe
O4 - HKCU\..\Run: [f94mggfhfghodftdf] C:\WINDOWS\TEMP\winlogan.exe
O4 - HKCU\..\Run: [Insider] C:\Program Files\Insider\Insider.exe
O4 - HKCU\..\Run: [WinAble] C:\Program Files\WinAble\winable.exe
O4 - HKCU\..\Run: [Router] C:\Program Files\Router\Router.exe
O4 - HKCU\..\Run: [Access Control App] C:\DOCUME~1\86C2~1\LOCALS~1\Temp\winsto.exe
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users\Документы\Settings\partnership.dll (file missing)
O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\yrgpit.dll
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\yrgpit.dll
O22 - SharedTaskScheduler: sdf4dr4gfdgeetj - {B5AC49A2-94F3-42BD-F434-2604812C897D} - C:\WINDOWS\System32\jkd845jg.dll (file missing)
[/code]
Не перезагружаясь после фикса выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\winsto.exe');
DeleteFile('C:\Program Files\Insider\Insider.exe');
DeleteFile('C:\Program Files\Router\Router.exe');
DeleteFile('C:\WINDOWS\System32\drivers\lssrv.exe');
DeleteFile('C:\WINDOWS\System32\drivers\rsrvmon.exe');
DeleteFile('C:\WINDOWS\System32\yrgpit.dll');
DeleteFile('C:\WINDOWS\System32\_svchosta.exe');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\Program Files\WinAble\winable.exe');
DeleteFile('C:\WINDOWS\System32\jkd845jg.dll');
DeleteFile('C:\WINDOWS\TEMP\winlogan.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Для справки: вот что обнаружилось в вашем карантине -
[b]Trojan-Downloader.Win32.Tiny.acv
Rootkit.Win32.Agent.qz
Backdoor.Win32.Agent.adr
Trojan-Clicker.Win32.Agent.ny
Trojan-Downloader.Win32.Exchanger.a
Trojan-Downloader.Win32.Agent.gdi
not-a-virus:AdWare.Win32.Insider.a
Trojan-Downloader.Win32.Suurch.bv[/b]

Скачайте эту программу, но пока не запускайте:
[url]http://www.tacktech.com/pub/winsockfix/WinsockFix.zip[/url]
03.01.2008, 14:36
asale

[quote=Bratez;166797]Что-то почти все на месте...
Скачайте эту программу, но пока не запускайте:
[URL]http://www.tacktech.com/pub/winsockfix/WinsockFix.zip[/URL][/quote]

Новые логи во вложении.

А что делать с программой?
03.01.2008, 14:59
Bratez

Пофиксите в HijackThis:
[code]
O20 - Winlogon Notify: partnershipreg - C:\Documents and Settings\All Users\Документы\Settings\partnership.dll (file missing)
O21 - SSODL: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\yrgpit.dll
O22 - SharedTaskScheduler: DCOM Server 25319 - {2C1CD3D7-86AC-4068-93BC-A02304B25319} - C:\WINDOWS\System32\yrgpit.dll
O22 - SharedTaskScheduler: sdf4dr4gfdgeetj - {B5AC49A2-94F3-42BD-F434-2604812C897D} - (no file)
[/code]
Выполните скрипт в AVZ:
[code]begin
SearchRootkit(false, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Oaeo36', 'Start');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Oaeo36.sys');
BC_DeleteFile('C:\WINDOWS\System32\_svchosta.exe');
BC_DeleteFile('C:\WINDOWS\System32\yrgpit.dll');
BC_DeleteFile('C:\WINDOWS\System32\Apwcmdnt.dll');
BC_DeleteFile('C:\WINDOWS\System32\drivers\lssrv.exe');
BC_DeleteFile('C:\WINDOWS\System32\drivers\rsrvmon.exe');
BC_DeleteFile('C:\WINDOWS\TEMP\winlogan.exe');
BC_DeleteSvc('NdisWon');
BC_DeleteSvc('Oaeo36');
BC_DeleteSvc('Microsoft Inet Servicea');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Если после скрипта возникнут проблемы с интернетом, запустите скачанную программу и нажмите Fix. По окончании работы программы будет перезагрузка. [b]Возможно после этого придется заново ввести настройки сетевых подключений, так что запишите их заранее[/b].

Сделайте полный комплект логов.