Printable View
Доброго времени суток уважаемые специалисты virusinfo.
Появилась проблема после установки пиратской проги, которую я уже удалил. Суть проблемы:
1. В браузере поменялась стартовая страница и еще он постоянно сам запускается.
2. В папке D:\Documents and Settings\Анатолий\Local Settings\Temp создаются файлы вида число.temp.exe
3. Антивирусом не лечится.
Большое спасибо всем откликнувшимся.
Уважаемый(ая) [B]Анатолий Казаченко[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('d:\documents and settings\Анатолий\local settings\temp\13.tmp.exe');
QuarantineFile('d:\documents and settings\Анатолий\local settings\temp\13.tmp.exe','');
QuarantineFile('D:\Documents and Settings\Анатолий\Local Settings\Application Data\FileSystemDriver\FileSystemDriver.exe','');
DeleteFile('D:\WINDOWS\Tasks\FileSystemDriver.job','32');
DeleteFile('d:\documents and settings\Анатолий\local settings\temp\13.tmp.exe','32');
DeleteFile('D:\Documents and Settings\Анатолий\Local Settings\Application Data\FileSystemDriver\FileSystemDriver.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].
- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
Все сделал
Удалите ярлык:
[CODE]"D:\Documents and Settings\Анатолий\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk"[/CODE]
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Сделал
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Вот
Сами прописывали прокси-сервер
[CODE]FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> autoconfig_url", "data:text/plain, function FindProxyForURL(url, host) {if(isInNet(host, '192.168.0.0', '255.255.0.0')) return 'DIRECT'; \nif(host == 'us1-base.cd-n.net') return 'DIRECT'; \nif(host == 'us2-base.cd-n.net') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nif(host == 'jp1-base.cd-n.net') return 'DIRECT'; \nif(host == 'de1-base.cd-n.net') return 'DIRECT'; \nif(host == 'au1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ca1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nif(host == 'sg1-base.cd-n.net') return 'DIRECT'; \nif(host == 'kr1-base.cd-n.net') return 'DIRECT'; \nif(host == '127.0.0.1') return 'DIRECT'; \nif(host == 'localhost') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nreturn 'HTTPS he2c4mjxg4xdenbqfy4dcizrgq3tmnrwgi2dama.mycdns.com:443';}"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ftp", "212.120.163.170"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ftp_port", 8972
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> http", "81.176.228.20"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> http_port", 8972
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ssl", "212.120.163.170"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ssl_port", 8972
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> type", 0
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\ohyctgne.Миша -> autoconfig_url", "data:text/plain, function FindProxyForURL(url, host) {if(isInNet(host, '192.168.0.0', '255.255.0.0')) return 'DIRECT'; \nif(host == 'us1-base.cd-n.net') return 'DIRECT'; \nif(host == 'us2-base.cd-n.net') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nif(host == 'jp1-base.cd-n.net') return 'DIRECT'; \nif(host == 'de1-base.cd-n.net') return 'DIRECT'; \nif(host == 'au1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ca1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nif(host == 'sg1-base.cd-n.net') return 'DIRECT'; \nif(host == 'kr1-base.cd-n.net') return 'DIRECT'; \nif(host == '127.0.0.1') return 'DIRECT'; \nif(host == 'localhost') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nreturn 'HTTPS giydslrsga4c4mrxfyzdanrdge2doobqgq2dqmbq.cd-n.net:443';}"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\ohyctgne.Миша -> type", 0
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> no_proxies_on", ""
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> socks", "127.0.0.1"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> socks_port", 80
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> type", 0[/CODE]
[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\blqh81n2.Мама -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\ohyctgne.Миша -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\dbet1zh2.Кристина -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=811005",
"hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130"
Folder: D:\WINDOWS\PIF
AlternateDataStreams: D:\Documents and Settings\Анатолий\Local Settings\Application Data:30E37200-FFC8-475d-AE97-CF377D18CFB4.INI [60]
StandardProfile\AuthorizedApplications: [0x443A5C446F63756D656E747320616E642053657474696E67735C143D0432A2A4170706C69636174696F6E20446174615C41434553747265616D5C656E67696E655C6163655F656E67696E652E657865<*>] => D:\Documents and Settings\Анатолий\Application Data\ACEStream\engine\ace_engine.exe:*:Enabled:AceStream
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
Да, сам настраивал прокси через shell. Думаю с этой программой и подцепил вирус.
Сообщите, что с проблемой?
Да вроде решена проблема. Во всяком случае браузер не пытается больше сам лезть в интернет и файлы не плодятся. Я старый антивирус снес, сейчас устанавливаю drweb. А вы, как специалист что скажете (по логам)? Все в порядке?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Спасибо вам большое.
В логах ничего плохого не замечено, поэтому и уточнял.
На этом всё! Удачи Вам!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]