Блокируются сайты безопасности, подмена результатов поиска и рекламы

Добрый день,

Подцепил какую-то заразу…

Проявления: блокируются сайты антивирусных программ, результаты поиска по всем известным поисковикам подменяются на другие, в код html-страниц подставляются свои скрипты в самое начало файла по показу рекламы, в частности, заменяется реклама Google AdSense на другую… Причем это все происходит в Internet Explorer, Mozilla Firefox и Opera! Баннеры подгружаются с сайта [URL=":http:www.beeresult.com"]www.beeresult.com[/URL], хотя наверное может быть и другой сайт…

Пробовал обнаружить/лечить… KAV, NOD32, Ad-Aware, SpywareTerminator с новыми базами ничего не обнаружили…

CureIt от Dr.Web обнаружил:

mesdxbrqmnx.dll;c:\windows;Trojan.Fakealert.1207;Удален.;
wbqxfpgl.dll;c:\windows;Trojan.Fakealert.1207;Удален.;
tdssadw.dll;C:\WINDOWS\system32;Trojan.Packed.612;Удален.;
tdssl.dll;C:\WINDOWS\system32;Trojan.Packed.612;Удален.;
tdsslog.dll;C:\WINDOWS\system32;Trojan.Packed.612;Удален.;
tdssmain.dll;C:\WINDOWS\system32;Trojan.Packed.612;Удален.;
tdssa1d.tmp;C:\WINDOWS\Temp;Trojan.Packed.612;Удален.;
tdssf906.tmp;C:\WINDOWS\Temp;Trojan.Packed.612;Удален.;
tdssfd99.tmp;C:\WINDOWS\Temp;Trojan.Packed.612;Удален.;

после перезагрузки три файла с началом tdss….dll появились снова… пару перезагрузок и они пропали, проблема вроди бы решилась – смог открыть в браузере спокойно Гугл и осуществить поиск… но потом, после перезагрузки проблема снова проявилась… все как было так и есть…

Прошу помогите, если это возможно

Спасибо

кстати с компа не смог загрузить файлы в первое сообщение, пришлось залить по фтп на сервер и оттуда удалось вставить в сообщение...

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не выключено системное восстановление.
[/COLOR]

Логи выполненные с нарушением правил рассматриваться не будут.
Спасибо за понимание.[/B]

Отключите
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O21 - SSODL: tpabfelq - {96F7B801-85A8-47FF-BBD1-A2B051628DD8} - (no file)
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\all.bat','');
QuarantineFile('C:\WINDOWS\system32\unian.scr','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).

все сделал, как написано..., но прислать запрошенный карантин не получается ни в одном браузере... выложил здесь:
[COLOR="Red"]moderated:::отгадайте с трех раз - почему запрещено крепить карантин в тему?
Результат загрузки
Файл сохранён как 080822_044131_virus_48ae89cb50d93.zip
Размер файла 278166
MD5 07bf391f8d3a206f09c1241d912772a9
Файл закачан, спасибо![/COLOR]
на счет файла unian.scr могу сразу сказать, что это скринсейвер, который на компе уже четыре года... и никаких проблем не было... файл all.bat для подключения сетевых дисков...

в скрепке новые логи....

Выполните скрипт в AVZ:
[code]begin
SetAVZPMStatus(true);
RebootWindows(false);
end.[/code]

После перезагрузки сделайте новые логи по правилам.

скрипт выполнил, логи обновил

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\windows\system32\drivers\tdssserv.sys','');
DeleteFile('C:\windows\system32\drivers\tdssserv.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

скрипт выполнил, логи обновил
проблема вроди бы решилась, IE работает нормально без подмены рекламы, посмотрим еще...

файлы закачались без проблем, карантин отправился тоже через IE...

В логах чисто.
Сервис Пак 3 поставьте.

ОК, спасибо
а что за зараза была?

[QUOTE=krawec;272533]ОК, спасибо
а что за зараза была?[/QUOTE]
Еще нет сообщения из Вирлаба. Если интересно - загляните попозже и напомните о себе.

в папке system32 снова появились четыре файла tdss... .dll, хорошо что KAV предупридил, хотели в Word впихнуться...
удалил без проблем...
видимо проблема до конца не решена?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

кстати они в корзине лежат, могу переслать если надо...

[QUOTE=krawec;272541]кстати они в корзине лежат, могу переслать если надо...[/QUOTE]
Да, пожалуйста по правилам приложнения 2 и 3 эакачайте.
Домен
[QUOTE]O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = unian[/QUOTE]Вы прописывали?
Этот файл C:\all.bat знаете?

и еще, когда чистил КлинПрогом не удалились темп файлы из Оперы и Мозилы...
так решил почистить вручную...
Касперский обнаружил 24 штуки Trojan-Downloader.JS.Agent.cnn
в инете по этому гаду никакого описания нет...
JS я так понимаю джава скрипт, как раз его он и подменял на страницах...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Rene-gad;272553]Вы прописывали?
Этот файл C:\all.bat знаете?[/quote]

да это файл подлючения сетевых дисков...

[QUOTE=krawec;272555]и еще, когда чистил КлинПрогом не удалились темп файлы из Оперы и Мозилы...[/QUOTE]Читаем пункт 4 вслух
[QUOTE]4. Если у Вас установлены браузеры Netscape, Mozilla-Family и/или Опера, Вы можете так же произвести очистку Cache-папок этих браузеров. Для этого [B]Вам необходимо необходимо после первого запуска приложения в Меню Extras выбрать Ваш браузер и указать пути к его Cache-папкам[/B]. Если у Вас установлены несколько браузеров Вам необходимо указать пути к Cache-папкам каждого из них. Выбор папок для очистки - см. п. 3. Папка -Temporary Internet Files- называется в этом случае -Cache-.[/QUOTE]
Вы это проморгали, посему не вычистились.

выслать вирус не смогу, когда попылся его из корзины восстановить, Касперский его сразу и сожрал...

Жаль. Как работает система?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]