Printable View
Добрый день. Проблема такая, при открытии любым браузером сайта интернет-банка [URL]https://online.rsb.ru/[/URL] Я попадаю на фишинговый сайт. В Адресной же строке все указано верно. Некоторое время назад были обнаружены и удалены несколько троянов. Сейчас же просканировал систему 2-мя антивирусами (Nod и Kasperskiy) и 3 утилитами (Dr.Web, AVZ и Msert). Ничего не помогает. Помогите.
Уважаемый(ая) [B]lexa2424[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
ClearQuarantine;
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Punto Switcher.lnk','');
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\desktop (1).ini','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
SetServiceStart('{55685567-4840-4a91-962b-49a412e9485a}w64', 4);
StopService('{55685567-4840-4a91-962b-49a412e9485a}w64');
SetServiceStart('{55685567-4840-4a91-962b-49a412e9485a}Gw64', 4);
StopService('{55685567-4840-4a91-962b-49a412e9485a}Gw64');
StopService('Update webget');
DeleteService('{55685567-4840-4a91-962b-49a412e9485a}w64');
DeleteService('{55685567-4840-4a91-962b-49a412e9485a}Gw64');
DeleteService('Update webget');
DeleteFile('C:\Program Files (x86)\webget\updatewebget.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Punto Switcher.lnk','32');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.
Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
Подготовьте лог AdwCleaner
[url]http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844[/url]
и приложите его в теме.
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://eservice-2.com/tables/ranges/ropsettings2.rug[/CODE]
Эту автонастройку браузера сами делали?
Если нет, пофиксите эту строку в в HijackThis.
После этого сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
Punto Switcher установлена?
quarantine.zip загрузил
Автонастройку браузера не делал, пофиксил строку
Punto Switcher установлена, но почему то перестала включаться после загрузки компьютера. (Возможно после того как прогонял всеми утилитами антивирусными)
P.S.: Сейчас Касперский начал выдавать уведомления об обнаружении угроз, уже штук 10 - вот такие:
opr0CQ5H.tmp C:\Users\User\AppData\Local\Opera\Opera\cache\sesn\ 11.10.2014 12:38:03 Trojan-Proxy.JS.Banker.g
Касперский был установлен только вчера, при полном сканировании результатов не дал. А Сейчас пока писал вам пост начал ругаться.
Рекомендую срочно позвонить в банк и временно заблокировать доступ, до окончания разбирательства.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
При подключенном интернете выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
RegKeyParamDel('HKEY_USERS','S-1-5-21-310361648-2717610096-3456451576-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings','AutoConfigURL');
ClearQuarantine;
ExecuteWizard('SCU',2,2,true);
ExecuteAVUpdate;
ExecuteStdScr(4);
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Скрипт будет выполняться несколько минут (обычно не больше 10).
После этого в папке AVZ\LOG появится файл вида virusinfo_files_<имя вашего компьютера>.zip.
Загрузите этот файл по этой ссылке:
[url]http://virusinfo.info/upload_clean.php[/url]
По окончании загрузки скопируйте информацию о загрузке и вставьте ее в ваше следующее сообщение.
Очистите кэш и cookies-файлы браузеров [URL="http://virusinfo.info/showthread.php?t=128635#post948932"](как очистить)[/URL]
Выполните скрипт в AVZ отсюда, скопировав там весь текст [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
(копировать при включенной русской раскладке)
[url]http://dataforce.ru/~kad/ScanVuln.txt[/url]
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.
В первую очередь закрывайте уязвимости Java.
Снимите галки со всего, что относится к Mail.Ru во всех вкладках AdwCleaner. (если пользуетесь этим).
Все остальное удалите в AdwCleaner.
Как удалить:
[url]http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864[/url]
Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/URL]
и приложите в теме.
С автозапуском Punto Switcher позже разберемся. (это я удалил его подозрительный ярлык).
В Банк конечно позвонил сразу же как обнаружил что то неладное, все заблокировано пока.
Архив загрузил:
Файл сохранён как 141011_140216_virusinfo_files_USER-PK_5439386892b9e.zip
Размер файла 17230720
MD5 fd7f3e3939a56aad7ad0265fb962ac36
Кэш и Coockies браузеров очистил по инструкции (3 Браузера: IE, Opera,Chrome)
Найдена 1 уязвимость - Устаревшая версия Java - Переустановлено
Все остальное удалите в AdwCleaner. - Выполнено
Punto - Мелочи жизни.
Больше подозрительного не обнаружил.
Рекомендую сменить все используемые в интернете пароли (или хотя бы самые важные).
Когда банк разблокируете, тоже сразу пароль смените.
Что сейчас с поведением системы и Касперского?
В настройках Punto Switcher посмотрите что-то похожее на "запускать при загрузке системы".
Если есть, попробуйте включить (или выключить и опять включить).
Если не помогает, правой мышью по экзешнику Punto Switcher - создать ярлык.
Затем скопируйте этот ярлык в эту папку:
[CODE]C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\[/CODE]
Если папки в проводнике не видно - в панели управления - параметры папок - вид - включите отображение скрытых папок и файлов.
Спасибо огромное. Проблема решена.
Сейчас всё кажется в порядке. Касперский больше не ругается.
С Пунто тоже все в норме.
Да, еще совет...
Скорей всего проблема была в устаревшей уязвимой джаве.
При установке новой по умолчанию должно быть включено ее автообновление.
Но на всякий случай проверьте в ее настройках, действительно ли это так.
Ее ярлык должен быть в панели управления.
Ну и если больше проблем нет, то можно заканчивать.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]