DrWeb блокирует неизвестный URL при запуске броузера

Printable View

07.11.2010, 10:33
2L8

DrWeb блокирует неизвестный URL при запуске броузера

[FONT=Verdana][SIZE=2]При открытии любого броузера (FF/IE/Opera) DrWeb Spider Gate иногда пишет о блокировке какого-то URL:
[FONT=&quot]nanocloudcontroller.com/message.php?subid=711&br=FF&os=13&flg=[/FONT]...
или
[/SIZE][/FONT][FONT=Verdana][SIZE=2][FONT=&quot]http://nanocloudcontroller.com/message.php?subid=711&br=IE_8.00&os=13&flg=[/FONT]...[/SIZE][/FONT]
[FONT=Verdana][SIZE=2]URL заблокирован SpIder Gate, он известен как источник распространения вирусов"[/SIZE][/FONT].
При этом страница может быть пустой, сообщения появляются не каждый раз.
Вот текст [FONT=Verdana][SIZE=2]SpIder Gate:
[/SIZE][/FONT] [07/11/2010 09:37:19 00000d08] URL is blocked (malware): nanocloudcontroller.com/message.php?subid=711&br=FF&os=13&flg=8&id=FA466472D110D4427CE2D226D3B8D26C&ad=ad&ver=_if14
[07/11/2010 09:37:20 00000ae4] URL is blocked (malware): nanocloudcontroller.com/message.php?subid=711&br=FF&os=13&flg=8&id=FA466472D110D4427CE2D226D3B8D26C&ad=ad&ver=_if14
[FONT=&quot][07/11/2010 09:37:20 00000694] URL is blocked (malware): nanocloudcontroller.com/message.php?subid=711&br=FF&os=13&flg=8&id=FA466472D110D4427CE2D226D3B8D26C&ad=ad&ver=_if14[/FONT]/
Сканировал DrWeb/AVPTool - ничего.
07.11.2010, 10:59
olejah

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegSearch('HKLM','','espF028.tmp');
SaveLog(GetAVZDirectory + 'avz.log');
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('c:\windows\system32\winlogon.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\espF028.tmp','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Файл [B]avz.log[/B] из папки с АВЗ прикрепите к следующему сообщению.
07.11.2010, 11:52
2L8

[QUOTE=Olejah;728960][URL="http://virusinfo.info/showthread.php?t=7239"][/URL]
- Файл [B]avz.log[/B] из папки с АВЗ прикрепите к следующему сообщению.[/QUOTE]
карантин отправил, но не знаю, дошел ли...
log прикрепляю
07.11.2010, 12:02
olejah

Файлы [B]c:\windows\explorer.exe[/B] и [B]c:\windows\system32\winlogon.exe[/B] необходимо заменить чистыми с [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива.[/URL]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\ControlSet001\Control\Print\Providers\F4965D71');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\ControlSet002\Control\Print\Providers\F4965D71');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\Print\Providers\F4965D71');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\espF028.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите логи АВЗ, после замены файлов и выполненного скрипта
07.11.2010, 19:16
2L8

[QUOTE]Файлы c:\windows\explorer.exe и c:\windows\system32\winlogon.exe необходимо заменить чистыми с дистрибутива.[/QUOTE]
Заменил, но помучиться пришлось...
Потом, правда Инет включил, так как скрипт не скопировал, скрипт выполнил.
ДрВеб выгрузить полностью не получается, оставил как есть :).
Лог АВЗ прикладываю.
07.11.2010, 21:30
thyrex

[QUOTE='2L8;729160']Лог АВЗ прикладываю.[/QUOTE]Логи по правилам нужны
07.11.2010, 23:35
2L8

Логи сделал
08.11.2010, 18:30
olejah

Что с проблемой?
08.11.2010, 20:57
2L8

За сегодняшний день симптомов зловреда не наблюдается.
Спасибо за помощь! :beer:

Не подскажете, были ли заражены explorer/winlogon и что на это указывало, т.к. до сегодняшнего дня боролся с вирусами самостоятельно и успешно :?
08.11.2010, 21:14
olejah

[QUOTE='2L8;729529']Не подскажете, были ли заражены explorer/winlogon и что на это указывало, т.к. до сегодняшнего дня боролся с вирусами самостоятельно и успешно[/QUOTE] Ну не зря же я Вам дал рекомендацию заменить файлы на чистые. Они были действительно заражены.
09.11.2010, 21:14
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\explorer.exe - [B]Trojan.Win32.Patched.kl[/B] ( DrWEB: Win32.Dat.13, BitDefender: Win32.Loader.S, NOD32: Win32/Bamital.EQ trojan, AVAST4: Win32:Bamital-AQ )[*] c:\\windows\\system32\\winlogon.exe - [B]Trojan.Win32.Patched.kl[/B] ( DrWEB: Win32.Dat.13, BitDefender: Win32.Loader.S, NOD32: Win32/Bamital.EQ trojan, AVAST4: Win32:Bamital-AQ )[/LIST][/LIST]