Везде прописывается URL автоматической настройки сервера прокси

Здравствуйте!

Не могу победить проблему видимо вирус.

У меня во всех браузерах в функционале "URL автоматической настройки сервера прокси" прописывается адрес: ---

Браузеры при этом достаточно медленно загружают страницы, но всё работает.
Если поставить без прокси всё летает.
Но убрать полностью этот адрес не получается, после закрытия и открытия браузера снова, система делает этот адрес по умолчанию.

Как удалось выяснить по этой ссылке расположен следующий скрипт:

function FindProxyForURL(url, host)
{
var proxy_yes = "PROXY 194.60.242.41:13329";
var proxy_no = "DIRECT";
if (dnsDomainIs(host,"retail.payment.ru")) { return proxy_yes; }
return proxy_no;
}

Как видно - трафик на [URL]https://retail.payment.ru[/URL] (это интернет-банк ПромСвязьБанка) будет идти не напрямую, а через указанный прокси 194.60.242.41:13329

WHOIS информация по этому IP-адресу вывела на контакт: [email][email protected][/email]

Просил разобраться с организаторами этого прокси-сервера, который создан очевидно для кражи паролей интернет-банка, и закрыть этот прокси, но в ответ тишина.

Тем времени победить у себя и удалить эту ссылку из браузеров не удаётся...

Надеюсь на Вашу помощь!

Уважаемый(ая) [B]Bomber[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

- [URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].

Готово!
[ATTACH=CONFIG]368801[/ATTACH]

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]HKCR\AppID\{D96FA298-1BB6-47FC-AD21-72781B744DC3} (Adware.Reklosoft) -> Действие не было предпринято.
HKCR\CLSID\{71E59D37-D7FC-4ED6-BC1D-D13BE02FE6C5} (Trojan.Kerlofost) -> Действие не было предпринято.
HKCR\TypeLib\{2552632F-867D-4052-B836-7F83A5302534} (Trojan.Kerlofost) -> Действие не было предпринято.
HKCR\Interface\{E743CF05-181C-4D72-B4EE-95435ED4B86B} (Trojan.Kerlofost) -> Действие не было предпринято.
HKCR\rs_adw.Helper_bho.1 (Trojan.Kerlofost) -> Действие не было предпринято.
HKCR\rs_adw.Helper_bho (Trojan.Kerlofost) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{71E59D37-D7FC-4ED6-BC1D-D13BE02FE6C5} (Trojan.Kerlofost) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{71E59D37-D7FC-4ED6-BC1D-D13BE02FE6C5} (Trojan.Kerlofost) -> Действие не было предпринято.
HKCR\CLSID\{FFFFE708-B832-42F1-BAFF-247753B5E452} (Trojan.BHO) -> Действие не было предпринято.
HKCR\rs_adw.Helper_Bar.1 (Trojan.BHO) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{FFFFE708-B832-42F1-BAFF-247753B5E452} (Trojan.BHO) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\TNod (Trojan.Agent.CK) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NewProduct 1.00 (Backdoor.Agent.CoGen) -> Действие не было предпринято.
HKCR\reklosoft_adw.Helper_Bar (Trojan.Kerlofost) -> Действие не было предпринято.
HKCR\AppID\rs_adw.DLL (Trojan.Agent) -> Действие не было предпринято.
HKCU\Software\SearchHelper (Adware.Reklosoft) -> Действие не было предпринято.

C:\Program Files\Company\NewProduct (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66} (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\defaults (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\defaults\preferences (Trojan.Kerlofost) -> Действие не было предпринято.

C:\Program Files\Company\NewProduct\Uninstall.ini (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Company\NewProduct\Uninstall.exe (Backdoor.Agent.CoGen) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome.manifest (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\extension.reg (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\install.rdf (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\extensions.xul (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\logo.png (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\main.js (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\main.xul (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\q.png (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\q_gray.png (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\x.png (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\chrome\content\x_gray.png (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\defaults\preferences\main.js (Trojan.Kerlofost) -> Действие не было предпринято.
C:\Program Files\Common Files\{7445f2b0-cf99-11dd-ad8b-0800200c9a66}\defaults\preferences\main.js.old (Trojan.Kerlofost) -> Действие не было предпринято.[/CODE]

C:\Program Files\Spyware Process Detector - знакома программа?

Spyware Process Detector знакома, что-то в ней нужно сделать?
Сейчас планирую сделать что Вы написали про "Удалите в MBAM:".

[quote="Bomber;899641"]Spyware Process Detector знакома, что-то в ней нужно сделать?[/quote]
Ничего, просто мне она не знакома:)

[quote="Bomber;899641"]Сейчас планирую сделать что Вы написали про "Удалите в MBAM:".[/quote]
Делайте...

[QUOTE] Делайте... [/QUOTE]

Извиняюсь за задержку с ответом!
Не помогло всё сделал как написали, но прокси всё равно автоматом прописывает ту самую пресловутую ссылку....

Прикладываю лог.
[ATTACH]369165[/ATTACH]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\Program Files\Company\NewProduct\Uninstall.exe','');
QuarantineFile('C:\WINDOWS\system32\wbem\winmgmt.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\winmgmt.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]


Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR=Red][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

Повторите логи АВЗ и Hijackthis.

[QUOTE=Techno;900234]- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
QuarantineFile('C:\Program Files\Company\NewProduct\Uninstall.exe','');
QuarantineFile('C:\WINDOWS\system32\wbem\winmgmt.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\winmgmt.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]


Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[COLOR=Red][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.

Повторите логи АВЗ и Hijackthis.[/QUOTE]

Файлик загрузил.

Логи сейчас буду делать заново я так понимаю, как сделаю приложу.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[ATTACH]369285[/ATTACH]

[ATTACH]369286[/ATTACH]

Готово.

Что с проблемой?

Файлы проверьте на [url]www.virustotal.com:[/url]
[CODE]C:\WINDOWS\system32\wbem\winmgmt.exe
C:\WINDOWS\system32\dllcache\winmgmt.exe[/CODE]

Проблема на месте, иначе бы я уже поблагодарил за её решение... =)

Запустил файлы на том сайте, а что должно было произойти после проверки этих двух файлом на что обращать внимание?

[quote="Bomber;900821"]Запустил файлы на том сайте, а что должно было произойти после проверки этих двух файлом на что обращать внимание?[/quote]
Результаты проверки должен был выдать.

- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].

Прилагаю лог.
[ATTACH]369511[/ATTACH]

Из файла c:\documents and settings\рс\Application Data\Mozilla\Firefox\Profiles\d73oc6wv.default\user.js удалите строку [CODE]network.proxy.autoconfig_url - hxxp://reezz.com/Bg43ZV623/proxy.pac[/CODE]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Поищите на компьютере файл proxy.pac

Строку удалил.
Поискал файл, но не нашёл.

По прежнему ссылка автоматически прописывается при включении браузера.

[quote="Bomber;900918"]Строку удалил.[/quote]
Она снова не появилась?

Поищите в реестре параметры autoconfigurl...

Снова не появилась, была в таком же файле с раширением .bak удалил ссылку и там эту.

В реестре найденные запросы по слову "autoconfigurl" пусты.

Повторите комбофикс.

Чую скоро стану гуру создания логов =)

Прилагаю:
[ATTACH]369597[/ATTACH]