Вирус в браузерах предлагает обновить их.

Printable View

27.03.2014, 22:08
Илья С.

Вложений: 3

Вирус в браузерах предлагает обновить их.

Здравствуйте!В гуглхроме и эсплорере выскакивает страница uinlasgir-raututsk и предлагает обновить браузеры,потом выскакивает окошко для ввода номера телефона.Страницы не закрываются,пока не закрою весь браузер.
Чистил компьютер пару раз Нод32,не помогает.
27.03.2014, 22:09
Info_bot

Уважаемый(ая) [B]Илья С.[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.03.2014, 23:48
mike 1

[QUOTE]Внимание !!! База поcледний раз обновлялась 04.01.2013 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
Протокол антивирусной утилиты AVZ версии 4.39[/QUOTE]

1. Базы не обновили

2. Логи сделаны устаревшей версией AVZ. Актуальная версия AVZ 4.43.

3. Зачем запускали Combofix?
29.03.2014, 01:38
Илья С.

Вложений: 3

1.Обновил.
2.Загрузил новую версию.
3.Комбофикс запускал год назад при последнем обращении на вирус-инфо,тогда не мог удалить вебалту.
29.03.2014, 01:54
mike 1

Понятно.

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFile('C:\PROGRA~2\Mozilla\hlnjndd.exe','');
DeleteFile('C:\Windows\Tasks\APSnotifierCA.job','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierCA','32');
DeleteFile('C:\Windows\system32\Tasks\lfsznsm','32');
DeleteFile('C:\PROGRA~2\Mozilla\hlnjndd.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\9ded91203d9c1e96','command');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Полученный архив [b]quarantine.zip[/b] из папки с распакованной утилитой AVZ отправьте согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis[/URL] (некоторые строки могут отсутствовать).

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://sindex.biz/?company=5
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
[/CODE]

Откройте AVZ - сервис - поиск данных в реестре. В поле "образец" впишите webalta, нажмите "пуск" после окончания сохраните протокол и выложите сюда.

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Скачайте [url="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Custom Scan[/b]" ("[B]Выборочное сканирование[/B]"), отметьте все жесткие диски, затем нажмите "[b]Start Scan[/b]" ("[B]Начать Сканирование[/B]"), после сканирования - нажмите [b]Export Log[/b] - Сохраните лог в виде текстового документа на рабочем столе. Прикрепите отчет MBAM.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
29.03.2014, 08:09
Илья С.

Вложений: 3

Все готово!
29.03.2014, 12:55
mike 1

Удалите все найденное в AVZ ключи с Webalta: ПКМ по списку - выбрать все - нажать "удалить отмеченное".

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B].[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]
File Found : C:\Users\Админ\AppData\Roaming\Microsoft\Internet Explorer\qipsearchbar.dll
Folder Found C:\Program Files\Mail.Ru
Folder Found C:\Program Files\Yandex
Folder Found C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru
Folder Found C:\ProgramData\Yandex
Folder Found C:\Users\Админ\AppData\Local\Mail.Ru
Folder Found C:\Users\Админ\AppData\Local\Yandex
Folder Found C:\Users\Админ\AppData\LocalLow\Mail.Ru
Folder Found C:\Users\Админ\AppData\LocalLow\Yandex
Folder Found C:\Users\Админ\AppData\Roaming\Mail.Ru
Folder Found C:\Users\Админ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Mail.Ru
Folder Found C:\Users\Админ\AppData\Roaming\Mozilla\Firefox\Profiles\oc4oomgk.default-1384366457472\Yandex
Folder Found C:\Users\Админ\AppData\Roaming\Yandex
[/CODE][*] Нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Повторите сканирование в MBAM если уже его закрыли, выберите действие для следующих объектов "[b]Quarantine[/b]" ("[B]Карантин[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Registry Keys: 10
PUP.Optional.Rubar, HKLM\SOFTWARE\CLASSES\CLSID\{23DD83B5-BDDC-49CE-B77B-514819C6D551}, , [7f2a87815b206ec830a79e7c79893fc1],
PUP.Optional.Rubar, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{C44D2EA2-FCCE-4CE8-8710-5ED0D33F7677}, , [5653c93fe8930c2ac21c031755adde22],
PUP.Optional.Rubar, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{C44D2EA2-FCCE-4CE8-8710-5ED0D33F7677}, , [5653c93fe8930c2ac21c031755adde22],
PUP.Optional.Conduit, HKLM\SOFTWARE\CLASSES\CLSID\{3c471948-f874-49f5-b338-4f214a2ee0b1}, , [852430d8b8c39c9ae7951916d8286799],
PUP.Optional.RelevantKnowledge, HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{d08d9f98-1c78-4704-87e6-368b0023d831}, , [85248d7bb9c260d61a00af45936fec14],
PUP.Optional.1ClickDownload.A, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\1ClickDownload, , [07a2d23687f440f62281c6b78b78619f],
Malware.Trace, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\DC3_FEXEC, , [47620ff92e4d5cda7df8b454fd0638c8],
PUP.Optional.InstallCore.A, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE\1I1T1Q1S, , [71382fd9087352e4d62f3b2bd929e41c],
PUP.Optional.InstallCore.A, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE, , [bdec8b7daccf23131436f9837c87946c],
PUP.Optional.RegCleanerPro.A, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\SYSTWEAK\RegClean Pro, , [9f0a0afe770482b4de29d4aedf2402fe],

Registry Values: 1
PUP.Optional.InstallCore.A, HKU\S-1-5-21-2240531677-1737861183-1858417867-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE|tb, 0Q1O1J1S, , [bdec8b7daccf23131436f9837c87946c]

Folders: 9
Stolen.Data, C:\Users\??????????\AppData\Roaming\dclogs, , [3f6aff092457a690ba7f6ec952b117e9],
Rogue.Multiple, C:\Users\??????????\AppData\Roaming\17033897, , [3970fc0c5b2082b4f07389b659a941bf],
PUP.Optional.MarketScore, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge, , [abfebf492d4e6fc769a37fc96c9607f9],
PUP.Optional.ToolBar.WA, C:\Users\??????????\AppData\Local\Webalta Toolbar, , [446563a5354640f6967b222ce41e60a0],
PUP.Optional.OpenCandy, C:\Users\??????????\AppData\Roaming\OpenCandy, , [b9f00bfdd1aa2610cd44e16e4fb307f9],
PUP.Optional.OpenCandy, C:\Users\??????????\AppData\Roaming\OpenCandy\83A198C988CA44819FF2E44C4072E1C2, , [b9f00bfdd1aa2610cd44e16e4fb307f9],
PUP.Optional.OpenCandy, C:\Users\??????????\AppData\Roaming\OpenCandy\E80971DEC11A43288F2C7FE4E503BF98, , [b9f00bfdd1aa2610cd44e16e4fb307f9],
PUP.Optional.NextLive.A, C:\Users\??????????\AppData\Roaming\newnext.me, , [644561a7621935013991d37da35fae52],
PUP.Optional.NextLive.A, C:\Users\??????????\AppData\Roaming\newnext.me\cache, , [644561a7621935013991d37da35fae52],

Files:
PUP.Optional.Conduit, C:\Program Files\Conduit\Community Alerts\Alert.dll, , [852430d8b8c39c9ae7951916d8286799],
Stolen.Data, C:\Users\??????????\AppData\Roaming\dclogs\2013-10-25-6.dc, , [3f6aff092457a690ba7f6ec952b117e9],
Stolen.Data, C:\Users\??????????\AppData\Roaming\dclogs\2014-02-03-2.dc, , [3f6aff092457a690ba7f6ec952b117e9],
Stolen.Data, C:\Users\??????????\AppData\Roaming\dclogs\2014-03-07-6.dc, , [3f6aff092457a690ba7f6ec952b117e9],
Stolen.Data, C:\Users\??????????\AppData\Roaming\dclogs\2014-03-11-3.dc, , [3f6aff092457a690ba7f6ec952b117e9],
Hijack.Trace, C:\Windows\System32\drivers\etc\h??sts, , [07a2aa5e28532e08562d2f25f40f738d],
PUP.Optional.PCPerformer.A, C:\Windows\System32\roboot.exe, , [cadf9b6dee8de45280c3fe7f37cc936d],
PUP.Optional.MarketScore, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge\About RelevantKnowledge.lnk, , [abfebf492d4e6fc769a37fc96c9607f9],
PUP.Optional.MarketScore, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge\Member of GRID - Goodware Repository Information Database.lnk, , [abfebf492d4e6fc769a37fc96c9607f9],
PUP.Optional.MarketScore, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge\Privacy Policy and User License Agreement.lnk, , [abfebf492d4e6fc769a37fc96c9607f9],
PUP.Optional.MarketScore, C:\ProgramData\Microsoft\Windows\Start Menu\Programs\RelevantKnowledge\Support.lnk, , [abfebf492d4e6fc769a37fc96c9607f9],
PUP.Optional.OpenCandy, C:\Users\??????????\AppData\Roaming\OpenCandy\83A198C988CA44819FF2E44C4072E1C2\TuneUpUtilities2013-2200268-p3v0.exe, , [b9f00bfdd1aa2610cd44e16e4fb307f9],
PUP.Optional.OpenCandy, C:\Users\??????????\AppData\Roaming\OpenCandy\E80971DEC11A43288F2C7FE4E503BF98\hamsterfreeziparchiver.exe, , [b9f00bfdd1aa2610cd44e16e4fb307f9],
PUP.Optional.NextLive.A, C:\Users\??????????\AppData\Roaming\newnext.me\nengine.cookie, , [644561a7621935013991d37da35fae52],
PUP.Optional.NextLive.A, C:\Users\??????????\AppData\Roaming\newnext.me\cache\spark.bin, , [644561a7621935013991d37da35fae52],
[/CODE]

[B][COLOR="Red"]Примечание:[/COLOR][/B] для остальных объектов выберите "[b]Ignore[/b]" ([b]Игнорировать[/b])

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.
29.03.2014, 23:05
Илья С.

Вложений: 1

Удалил из авз ключи с вебалта.
В AdwCleaner почистил,новый отчет прикрепил.
Мбам заново просканировал,но не понял дальше что.Удалить объекты которые у вас под словом код или которые у меня нашлись?Чето запутался.
Сейчас открыта вкладка карантин.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Заново включать сканирование?Оно 4.5 часа длится.Наверно уже завтра.
30.03.2014, 01:21
mike 1

[QUOTE]Мбам заново просканировал,но не понял дальше что.Удалить объекты которые у вас под словом код или которые у меня нашлись?[/QUOTE]
В MBAM удалите только записи из 7 сообщения. Остальные не трогайте.
31.03.2014, 01:06
Илья С.

Вложений: 1

Новый лог мбам прикрепил.
31.03.2014, 13:20
mike 1

Что с проблемой?
31.03.2014, 16:16
Илья С.

Сейчас вроде проблема решилась.Мне наверно какие-то програмы удалить нужно с компьютера?
31.03.2014, 16:20
regist

MBAM деинсталируйте

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
31.03.2014, 16:30
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]