Кто-то ставит proxy на Localhost

Ситуация такая - не работает http на компьютере, потому что в реестре возникает строка:

HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:2080

Если удалить - при первом обращении в сети возникает снова.

Антивирусы ничего не находят. Кстати, зараза, похоже, сидит в локальной сети местного провайдера - уже второй компьютер тут с такими симптомами. В других местах с таким не сталкивался.

Попвтки самостоятельно вычислить заразу в логах хайджека ни к чему не привели :(

Временно удалось обойти ситуацию, запускаю прогу которая сама работает в качестве локального прокси (кодировщик траффика).
Но в общем достает ее каждый раз хапускать, чтобы в инет выйти.
Помогите заразу вытравить!

А что за программка обитает у вас по адресу
[b]C:\Program Files\Informatic\Context 5.0\[/b]
(поставлена 12 ноября) - не её ли это "рук" дело?

[quote=Bratez;158614]А что за программка обитает у вас по адресу
[B]C:\Program Files\Informatic\Context 5.0\[/B]
(поставлена 12 ноября) - не её ли это "рук" дело?[/quote]

Это совершенно безобидный словарик, жена им пользуется для работы.

А-а, вот, как же я сразу не увидел! ;)

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Серж\Local Settings\Temp\winlogon.exe','');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe','');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe');
DeleteFile('C:\Documents and Settings\Серж\Local Settings\Temp\winlogon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин по правилам и повторите логи.

Скрипт програл, все отработало нормально. Файлы отправил.
Новые логи тут.

Эффект прокси никуда не делся :(

Восстановление системы отключите.

Пофиксите в HijackThis:
[code]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:2080[/code]
Перезагрузитесь.
Неужто снова восстановится?

[size="1"][color="#666686"][B][I]Добавлено через 48 секунд[/I][/B][/color][/size]

Сделайте дополнительный лог, как написано здесь:
[url]http://virusinfo.info/showthread.php?t=10387[/url]

[quote=Bratez;158784]Восстановление системы отключите. [/quote]

Отключено

[quote=Bratez;158784] Пофиксите в HijackThis:

Перезагрузитесь.
Неужто снова восстановится?
[/quote]

Угу >:( Мистика..

Да, еще симптом - сразу после перезагрузки винды ломятся в инет...

[quote=Bratez;158784]

Сделайте дополнительный лог, как написано здесь:
[URL]http://virusinfo.info/showthread.php?t=10387[/URL][/quote]


ПРилагаю

В этом логе ничего подозрительного нет.
А вот нашел в syscheck из сообщения #5:
[quote]
Анализатор - изучается процесс 2464 [B][COLOR=red]E:\Intpro.exe[/COLOR][/B]
[ES]:Может работать с сетью
[ES]:Может отправлять почту ?!
[ES]:Прослушивает порты TCP !
[ES]:Приложение не имеет видимых окон
[ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ?
[/quote]
Что это, интересно? Пришлите по правилам.

[QUOTE=Bratez;158886]Что это, интересно? Пришлите по правилам.[/QUOTE][url]http://www.ipb.ru/corporate/bank_client/entrance/[/url] Не оно ли? :)

Это программа для шифрования траффика, Inter-PRO Client.

Подробно о ней есть, напимер, тут:
[URL]http://itrading.onlinebroker.ru/secur/steps.asp[/URL]

Ничего шпионского в ней нет. Я ее использую чтобы в инет хоть как-то ходить, потому что она становится сама в качестве локального прокси и перенаправляет траффик.

Если ее не загружать, эффект никуда не девается, строчка про прокси таинственным образом появляется опять. НО в веб уже тогда выйти не получается.

Ключевые слова: [b]она становится сама в качестве локального прокси [/b].
Это imho все таки ее проделки. Ну раз программа легитимная, значит страху нет.

>> НО в веб уже тогда выйти не получается.
Ясно море, прокся прописана, а не работает, вот и нету интернэту ;)

Прогой этой (intpro) я пользуюсь уже лет 5, причем не обновлял ее - так и стоит...

И раньше такого не было - при выходе она восстанавливала исходные значения прокси (т.е его отсутствие), и в инет можно было нормально ходить.

А такая фигня как сейчас появилась примерно месяц как. :(

А вот в том же логе syscheck в секции Порты TCP/UDP черным по желтому:
[quote][b]2080[/b] LISTENING 0.0.0.0 2176 [2464] e:\intpro.exe
[/quote]
Что на это скажете?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Т.е. виновник очевиден, просто может настройки в этой программке посмотреть, ну или переустановить ее...

Решил опять поднять тему, просто уезжал в командировку и некогда было заниматся компом.

Насчет интпро:
действительно, когда он висит в памяти - он работает как прокси на локалхосте.

Но загружается и выгружается он только по команде. Специально удалил его из системы и сделал логи еще раз. Строчка про локальный прокси на месте и так же самовосстанавливается. Intpro при этом в памяти нет...

Сделайте логи последней версией avz :)
Скачать можно [URL="http://z-oleg.com/avz4.zip"]сдесь[/URL]

Вот логи от свежей версии

неужели никаких идей? :unsure:

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\серж\\local settings\\temp\\winlogon.exe - [B]Trojan-Proxy.Win32.Agent.tp[/B] (DrWEB: Trojan.Packed.147)[*] c:\\windows\\system32\\svchost.exe:ext.exe - [B]Trojan.Win32.Obfuscated.ls[/B] (DrWEB: BackDoor.Bolg)[*] c:\\windows\\system32\\svchost.exe:ext.exe:$data - [B]Trojan.Win32.Obfuscated.ls[/B] (DrWEB: BackDoor.Bolg)[/LIST][/LIST]