Подмена адресов соц. сетей

Printable View

20.02.2014, 17:06
толстый29

Подмена адресов соц. сетей

Приветствую докторов !

Постоянно происходит подмена адресов серверов соц. сетей. Запускаю hijackthis, удаляю O17, прописываю руками свой DNS (62.192......), кое-что правлю скриптами AVZ4 и хватает на пару дней. Потом всё заново. Видимо, полностью не вычищаю.

Malwarebytes Anti-Malware ничего не находит.

Посмотрите, пожалуйста, логи во вложении. Сейчас пофиксил только dns, avz'ом ничего не правил.

[ATTACH]462805[/ATTACH] [ATTACH]462806[/ATTACH]
20.02.2014, 17:09
Info_bot

Уважаемый(ая) [B]толстый29[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
20.02.2014, 21:31
thyrex

Сделайте логи [URL="http://z-oleg.com/avz.exe"]таким AVZ[/URL]
21.02.2014, 14:22
толстый29

Вложение
21.02.2014, 15:40
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
QuarantineFile('C:\windows\Tasks\At1.job)','');
DeleteFile('C:\windows\Tasks\At1.job','32');
DeleteFile('C:\windows\Tasks\At2.job','32');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

ProxyServer = 192.168.0.7:3150 - сами прописывали? Если нет, то

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.0.7:3150[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

смените все пароли, по окончанию лечения смените ещё раз.

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
21.02.2014, 16:09
толстый29

скрипт не выполняет, вернее, выполняет, но выдает ошибку -

[QUOTE]Ошибка карантина файла, попытка прямого чтения (C:\windows\Tasks\At1.job))
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\windows\Tasks\At1.job))
Карантин с использованием прямого чтения - ошибка
Ошибка [2, QUARANTINEFILE]
Удаление файла: C:\windows\Tasks\At1.job
Удаление файла: C:\windows\Tasks\At2.job
Создание архива с файлами из карантина
Создание архива с файлами из карантина завершено[/QUOTE]

в понедельник продолжу лечение, сейчас убегаю

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

проксик сам прописывал
21.02.2014, 22:12
mike 1

Выполняйте остальное тогда.
24.02.2014, 08:43
толстый29

[url]http://virusinfo.info/virusdetector/report.php?md5=60975D82FB256686F58E6DF6962B0912[/url]

на детектор использовал стандартный AVZ, на создание отчета во вложении - тот, что Вы давали

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

сообщение во время проверки:

[QUOTE]Ошибка карантина файла, попытка прямого чтения (C:\windows\TEMP\DCE21EC85.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\windows\System32\Drivers\dump_nvata.sys)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\windows\System32\Drivers\dump_WMILIB.SYS)
Карантин с использованием прямого чтения - ошибка[/QUOTE]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

еще

[QUOTE]Ошибка карантина файла, попытка прямого чтения (mscoree.dll)
Карантин с использованием прямого чтения - ошибка[/QUOTE]
24.02.2014, 11:15
mike 1

Закройте все программы

Отключите
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\GARMIN\GARMINxpers.exe','Подозрение на Zbot');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O17 - HKLM\System\CCS\Services\Tcpip\..\{D2C1F27D-5F8E-4C7F-92D9-77BAC63F6EA9}: NameServer = 37.10.116.204,8.8.8.8
[/CODE]

Перезагрузите компьютер, снова запустите HijackThis и убедитесь, что этих строк там больше нет.

Если после фикса пропадет Интернет, впишите в настройки DNS адреса, выданные Вам провайдером (см. договор или звоните в их техподдержку).

Очистите куки и кэш браузеров ([url]http://virusinfo.info/showthread.php?t=128635[/url])

Сделайте новые логи AVZ. Логи AVZ делайте этой [url]http://www.z-oleg.com/secur/avz/download.php[/url] версией

Сделайте новый лог HiJackThis
24.02.2014, 13:43
толстый29

Успешно выполнил первый скрипт, "очистил" обозреватели. Перезагрузился. И сразу DrWeb удалил из папки с карантином дат'овский файл с вирусом. Успел прочитать что-то про Trojan.Panda.555.......Странно, что его раньше эта блестящая идея не посетила. Архивацию вируса выполнить не успел :(

Логи во вложении. Пока всё норм.
24.02.2014, 15:01
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\GARMIN\GARMINxpers.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\GARMIN\GARMINxpers.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{F3832C79-44F6-6D2D-A29B-9200C1C4717F}');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
25.02.2014, 09:16
толстый29

Всё сделал, но вызывает подозрение размер архива с карантином :(

[url]http://virusinfo.info/virusdetector/report.php?md5=DE9BA127B84BFCE077F12C7D1AD69396[/url]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

140225_051618_quarantine_530c272208f4e.zip
25.02.2014, 12:18
regist

[quote="толстый29;1094145"]Всё сделал, но вызывает подозрение размер архива с карантином[/quote]
файл в карантин не попал :(.

проблема решена?
25.02.2014, 14:06
толстый29

пока всё хорошо. Если принципиально, то можно закрыть тему или подождать до завтрашнего дня, я отпишусь и там по обстоятельствам :> :beer:
25.02.2014, 14:22
regist

подождём :).

А пока

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
26.02.2014, 17:17
толстый29

всё хорошо. можно закрывать.

спасибо :beer:
26.02.2014, 17:45
mike 1

Смените пароли.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
26.02.2014, 17:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]