Браузер блокирует передачу данных

Printable View

16.08.2010, 20:55
sexy-lava

Браузер блокирует передачу данных

Браузер блокирует передачу данных, осуществляемую вредоносным программным обеспечением!
Устранить проблему может:
Pro-Doctor 2010 (нажмите сюда, чтоб произвести онлайн проверку)
BitDefender
VBA32 Antivirus
Обязательно устраните источник проблемы, так как данные, находящиеся на Вашем компьютере могут быть повреждены, и несанкционированно передаваться третьим лицам.
Чтобы в будущем избежать подобных проблем Вам необходимо скачать и установить антивирусную программу.
Проследуйте по одной из представленных выше ссылок и следуйте инструкциям, которые там будут описаны.
16.08.2010, 21:14
polword

1.Скачайте "[B]OSAM[/B]" Online Solutions Autorun Manager [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]тут[/URL]. В меню драйверов правой кнопкой по [B]koljge[/B] и выберите "[B]Turn Run Off[/B]". Перезагрузку подтвердите.

2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] в безопасном режиме
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS.0\system32\csrcs.exe','');
QuarantineFile('C:\WINDOWS.0\system32\72948bb8.exe','');
QuarantineFile('C:\WINDOWS.0\system32\4f8275a8.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\Program Files\Common Files\IntraVision Soft\lsass.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe','');
QuarantineFile('C:\WINDOWS.0\system32\drivers\izlzsicqjcuq.sys','');
DeleteService('vrflhhpeo');
QuarantineFile('C:\WINDOWS.0\system32\drivers\sysdrv32.sys','');
DeleteService('sysdrv32');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\IEANAA.exe','');
DeleteService('IEANAA');
QuarantineFile('C:\WINDOWS.0\system32\Drivers\koljge.sys','');
DeleteFile('C:\WINDOWS.0\system32\Drivers\koljge.sys');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\IEANAA.exe');
DeleteFile('C:\WINDOWS.0\system32\drivers\sysdrv32.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\izlzsicqjcuq.sys');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
DeleteFile('C:\Program Files\Common Files\IntraVision Soft\lsass.exe');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
DeleteFile('C:\WINDOWS.0\system32\4f8275a8.exe');
DeleteFile('C:\WINDOWS.0\system32\72948bb8.exe');
DeleteFile('C:\WINDOWS.0\system32\csrcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
QuarantineFile('%windir%\system32\Drivers\sfc.SYS','');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
QuarantineFile('%windir%\system32\mssfc.dll','');
DeleteFile('%windir%\system32\drivers\sfc.sys');
DeleteFile('%windir%\system32\mssfc.dll');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
if FileExists ('%windir%\system32\dllcache\sfcfiles.dll') then
begin
if CheckFile('%windir%\system32\dllcache\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\system32\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из кеша');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в кеше не прошел по базе безопасных');
SaveLog('sfcfiles.log');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
SaveLog('sfcfiles.log');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в i386');
SaveLog('sfcfiles.log');
end;
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в кеше');
SaveLog('sfcfiles.log');
if FileExists ('%windir%\ServicePackFiles\i386\sfcfiles.dll') then
begin
if CheckFile('%windir%\ServicePackFiles\i386\sfcfiles.dll')=3 then
begin
CopyFile('%windir%\ServicePackFiles\i386\dllcache\sfcfiles.dll','%windir%\system32\sfcfiles.dll');
AddToLog('Замена sfcfiles.dll успешно произведена из i386');
SaveLog('sfcfiles.log');
end
else
begin
AddToLog('файл sfcfiles.dll в i386 не прошел по базе безопасных');
SaveLog('sfcfiles.log');
end;
end
else
begin
AddToLog('Файл sfcfiles.dll отсутствует в i386');
SaveLog('sfcfiles.log');
end;
end;
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('%windir%\System32\sfcfiles.bak');
BC_DeleteSvc('sfc');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте [B]RSIT[/B] [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
- файл [B]sfcfiles.log[/B] прикрепите к сообщению
16.08.2010, 23:09
sexy-lava

После: Скачайте "[B]OSAM[/B]" Online Solutions Autorun Manager [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"][COLOR=#0532aa]тут[/COLOR][/URL]. В меню драйверов правой кнопкой по [B]koljge[/B] и выберите "[B]Turn Run Off[/B]". Выскочил синий экран ; stop : 0x000000c5 (0x00000004, 0x00000002, 0x00000001, 0x805519EB).
После перезагрузки исчез дисковод из "Мой компьютер"
16.08.2010, 23:19
polword

1.Восстановите файл C:\WINDOWS.0\system32\sfcfiles.dll из [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива[/URL].

2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS.0\system32\fjhdyfhsn.bat');
DeleteFile('C:\Program Files\Common Files\keylog.txt');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
17.08.2010, 14:00
sexy-lava

после перезагрузки, все зависло, и ничего не работало, пришлось восстановиться через контрольнут точку.
Заново выполнил два скрипта, файл карантин.зип пустой. Отсылать его?
17.08.2010, 14:01
polword

[QUOTE=sexy-lava;689617] Отсылать его?[/QUOTE]
не надо.

- Сделайте повторный лог [B]RSIT[/B]
17.08.2010, 14:57
sexy-lava

повторный лог
17.08.2010, 17:10
polword

Отключите [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B][URL="http://virusinfo.info/pravila_old.html"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] в безопасном режиме
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
QuarantineFile('C:\WINDOWS.0\system32\4f8275a8.exe','');
QuarantineFile('C:\WINDOWS.0\system32\noxqncn.exe','');
QuarantineFile('C:\WINDOWS.0\system32\vcwgpmx.exe','');
DeleteFile('C:\WINDOWS.0\system32\4f8275a8.exe');
DeleteService('sysdrv32');
DeleteFile('C:\WINDOWS.0\system32\drivers\sysdrv32.sys');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_DeleteSvc('sysdrv32');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B])
17.08.2010, 20:14
sexy-lava

повторные логи
17.08.2010, 20:23
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS.0\system32\msnmsg.exe','');
DeleteService('vrflhhpeo');
DeleteService('IEANAA');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\IEANAA.exe');
DeleteFile('C:\WINDOWS.0\system32\drivers\izlzsicqjcuq.sys');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('C:\WINDOWS.0\system32\csrcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
DeleteFile('C:\WINDOWS.0\system32\msnmsg.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','XPRTRFVB');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\Y.exe','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\Y.exe');
DeleteService('Y');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B])
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"][B]MBAM[/B][/URL]
18.08.2010, 00:51
sexy-lava

повторные логи
18.08.2010, 07:37
polword

1. [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B]
[CODE]
Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot\Minimal\SVCWINSPOOL (Backdoor.IRCBot) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SafeBoot\Network\SVCWINSPOOL (Backdoor.IRCBot) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS.0\system32\hosts (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
[/CODE]

[QUOTE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8888[/QUOTE] сами прописывали? если нет - то профиксите тоже

2.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O2 - BHO: (no name) - {140BD8E3-C167-11D4-B4A3-080000180323} - (no file)
[/CODE]

3.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Program Files\Cheat Engine\Systemcallretriever.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
18.08.2010, 16:41
sexy-lava

После " удалите в MBAM" при полной проверки был обнаружен только файл avdrn.dat. MBAM его удалил.
Ключи реестра и параметры реестра были удалены в ручную. Т.к. МВАМ их не определил.

"R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 127.0.0.1:8888" прописывали сами.
Но все равно профиксил и это и второе. В результате после повторного запуска HijackThis данных кодов уже не было.
Лог из МВАМ.
18.08.2010, 19:12
polword

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].

После обновления:
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
На этом можно считать лечение законченным.
19.08.2010, 00:23
sexy-lava

а как обновить виндоус если интернет не работает? (и винда не 100% лицензия)
19.08.2010, 07:18
pig

Обновления можно принести на болванке или флэшке.
19.08.2010, 07:40
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
ExecuteRepair(21);
RebootWindows(true);
end.[/CODE]
19.08.2010, 19:06
sexy-lava

Все сделал. Огромное спасибо, все работает.
20.08.2010, 19:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]44[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\monoca32.exe - [B]Packed.Win32.Krap.ao[/B] ( DrWEB: Trojan.Botnetlog.501, BitDefender: Gen:Variant.Kazy.43, AVAST4: Win32:Crypt-HKP [Drp] )[*] c:\\windows.0\\system32\\noxqncn.exe - [B]Backdoor.Win32.Shiz.ut[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4884042, AVAST4: Win32:MalOb-IJ [Cryp] )[*] c:\\windows.0\\system32\\vcwgpmx.exe - [B]Backdoor.Win32.Shiz.ut[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4884042, AVAST4: Win32:MalOb-IJ [Cryp] )[*] c:\\windows.0\\system32\\4f8275a8.exe - [B]Trojan.Win32.Inject.aszq[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4587604, AVAST4: Win32:MalOb-DS [Cryp] )[/LIST][/LIST]