Настраивает браузер на прокси

Здравствуйте!

Сегодня утром случилась неприятность, браузер перестал открывать сайты. Сразу выяснилось, что прописалась ссылка https://erinope.com/recfor/today.ruy в качестве сценария автонастройки прокси. Читал [URL]http://virusinfo.info/showthread.php?t=163330[/URL], в общем случае там такая же проблема, только решения мне не подошли, не смог найти паразита.
Использую: Win7 SP1 32 bit, MS Security Essentials (к слову, никак не отреагировал), Firefox. Учетная запись сильно ограничена в правах, админскую использовал только при проведении лечения. CureIT! ничего не нашел.

Уважаемый(ая) [B]aneye[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[quote="aneye;1139882"]только решения мне не подошли[/quote]
зато могли навредить. Не используйте скрипты написанные для других.

+ накрутили настройки AVZ :(/
Отключите AVZPM и настройки самостоятельно не меняйте.

переделайте логи.

+ [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

Зачем ругаться? :) Никаких скриптов чужих не запускал, лишь глазами поискал подозрительный файл в %SystemRoot%. Логи переделал, там, в принципе, только AVZPM был включен, я включил его [I]до[/I] того, как пришел сюда, на форум.

[quote="aneye;1139913"]Зачем ругаться? Никаких скриптов чужих не запускал, лишь глазами поискал подозрительный файл[/quote]
Combofix запускали, а уже только этого иногда достаточно чтобы завалить систему :(.
Приложите его лог.

[QUOTE=regist;1139915]Приложите его лог.[/QUOTE]

Пожалуйста! Да, кстати, забыл сказать. 192.168.8.250:3128 - это мой прокси, без него, соответственно, никуда не пускает и до липового файла настройки прокси браузер таки не смог добраться.

Поищите на компьютере файл [CODE]firefox_login.vbs[/CODE] если найдете
Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

+ проблема во всех браузерах наблюдается?

Файл не найден на машине. Это мой proxy-auto-discovery, раздается через GPO с сервера AD. Даже не раздается, а с сетевого размещения просто выполняется. Файл проверял - он чист.

По поводу браузеров - нет, проверил Yandex browser и IE9 (у них одна и та же настройка) - все чисто, никаких посторонних ссылок.

Попробуйте переставить Файрфокс и проверить проблему.

Попробовал - не помогло, злостный URL остается возвращается при каждом старте браузера :(

[quote="aneye;1140016"]Это мой proxy-auto-discovery, раздается через GPO с сервера AD. Даже не раздается, а с сетевого размещения просто выполняется.[/quote]
временно отключите и проверяйте.

+ Прокси заново прописывается при перезагрузке компьютера или как?

Отключение машины полностью от сети не влияет на появление этого URL. В файле firefox_login.vbs прописана настройка для Firefox - "Автоматически определять настройки прокси для этой сети". Несколько машин в сети работает, они именно так и самонастраиваются. Плюс стоит шлюз, на котором, собственно, поднят SQUID (прокси), там же лежит файл настройки непосредственно IP и порта прокси. Браузер при старте через firefox_login.vbs забирает конкретные параметры прокси сервера и работает. Но на одной из машин зловред переписывает эту настройку своим URL'ом, при этом остальные машины работают корректно. Перезагрузка всей машины в целом на работе браузера не сказывается и никак на нее не влияет. В общем-то, скрипт firefox_login.vbs отрабатывает только при старте браузера. Точно также ведет себя и зараза - все портит при старте именно браузера.

Какие-нибудь расширения в файрфоксе на этой машине установлены? Если да, то попробуйте их отключить и проверить.
+ Проверьте если при запуске огнелиса в безопасном режиме проблема наблюдается?

Стоят Adblock+ и Speed Dial ([B]не[/B] FVD). Выключил, перезапустил - все то же самое. Запуск в безопасном режиме также ничего не изменил. Фигня какая-то :(

Сделайте лог [URL="http://technet.microsoft.com/ru-ru/bb896645.aspx"]Process Monitor[/URL] следующим образом: запустите Process Monitor; воспроизведите проблему, затем сохраните лог: меню File -> Save -> PML-формат; заархивируйте и выложите на файлообменник, например [url]http://rghost.ru[/url]
Все остальные и фоновые программы по возможности на это время закройте.

Сделал: [URL="http://rghost.ru/57031304"]линк на rghost[/URL]

Что я сделал: был запущен Firefox, в нем был настроен мой прокси, все работало; запустил Process Monitor; закрыл браузер; открыл браузер; зашел в настройки браузера; сохранил лог Process Monitor.

Снова прописался ?
[CODE]https://erinope.com/recfor/today.ruy[/CODE]
Нигде в логах его не вижу. Сделайте ещё такой лог

Скачайте утилиту [url=http://yadi.sk/d/D9vUs8JZM2Z24][b]MiniToolBox[/b][/url] и сохраните на рабочем столе.
Запустите, отметьте следующие пункты:

[LIST][*]Список настроек прокси Internet Explorer[*]Список настроек прокси Firefox[*]Список из файла Hosts[*]Список настроек IP[*]Список настроек Winsock[*]Список последних 10 записей журнала событий[*]Список установленных программ[*]Только проблемных[/LIST]

и нажмите Старт.

После завершения сбора информации откроется отчет [b]Result.txt[/b], прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

Вот так удар по безопасности сети :) Просканил, это все вроде как статическая информация, в момент сканирования ничего не делал, браузер был закрыт (предварительно в нем был прописан мой прокси (чтобы скачать сам MiniToolBox)). После запуска браузера зловредный URL опять на своем месте, сволочь... Да, он постоянно появляется при старте браузера.

[quote="regist;1140173"]Список настроек прокси Firefox[/quote]
Эту галочку перед сканированием ставили?

+ на всякий случай проверьте в свойства ярлыка для запуска лисы ничего лишнего не приписано?

Галочку "Список настроек прокси Firefox" ставил, да. В свойствах все чисто, только запуск firefox.exe