Printable View
Захожу на официальный сайт sberbank.ru при входе в онлайн банк появляется страница с предупреждением и потом запрос номера телефона (потом видимо будет запрос номера карты). Еще не по теме, у меня права администратора, но некоторые действия не могу делать (редактировать hosts в system32 drivers etc), это появилось раньше наверно после изменения настроек сканером при ловле вирусов
Уважаемый(ая) [B]tol[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]Function Get_FF_ProfilePath() : String;
begin
Result := GetEnvironmentVariable('Appdata') +
'\Mozilla\Firefox\' + INIStrParamRead(GetEnvironmentVariable('Appdata') +
'\Mozilla\Firefox\profiles.ini', 'Profile0', 'Path', '');
exit;
end;
var
FF_Profile : String;
begin
ClearQuarantine;
FF_Profile := Get_FF_ProfilePath;
QuarantineFile(FF_Profile + '\prefs.js', '');
QuarantineFile(FF_Profile + '\preferences\prefcalls.js', '');
QuarantineFile(FF_Profile + '\preferences\winpref.js', '');
QuarantineFile(FF_Profile + '\preferences\greprefs.js', '');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению (можно все в одном архиве).
Вадим, спасибо, что занимаетесь моей проблемой. По примеру прежнего случая я снес Хайджаком запись R1 Pt65.uru (стояло в конце записи).
Карантин отправил, прилагаю логи
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Pt65 uru снова появился в Хайджаке. Настройки прокси я поставил Без прокси, пока не сбивается, было Использовать системные настройки. В строке URL автоматической настройки прокси ничего нет
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
AutoConfigURL: [S-1-5-21-2443142181-4032422986-3370787100-1000] => http://configspacs.com/Wo1yRd/Pt65.uru
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - C:\Program Files (x86)\Adobe\Acrobat 11.0\Acrobat\Browser\WCChromeExtn\WCChromeExtn.crx [Not Found]
PR Extension: (No Name) - C:\Users\Anatol\AppData\Roaming\Opera Software\Opera Stable\Extensions\dkgpajbdcbgaciibdeknligdaofmegma [2015-01-13]
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL]
Сделайте новый лог Farbar Recovery Scan Tool, "Shortcut.txt" и "Addition.txt" не отмечайте.
Такие длиные названия как faidnbmnnnibpcajpcglclefindmkaj или dkgpajbdcbgaciibdeknligdaofmegma я сносил Adwcleaner, видно не все стерлось, больше проверка Adwcleaner ничего не показывает. В Firefox сбивается настройка сохранения памяти, я ставлю не сохранять. опять появляется сохранять с моими настройками. Кеш очистил
Выполните скрипт в AVZ:[CODE]begin
ExecuteRepair(6);
RegKeyParamDel('HKEY_USERS', 'S-1-5-21-2443142181-4032422986-3370787100-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
RebootWindows(false);
end.[/CODE]
После перезагрузки выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
лог
Чисто.
Последите за ситуацией.
Сделайте лог [url=http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657]сканирования МВАМ.[/url]
лог МВАМ
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Pt65 uru опять появился в Хайджаке
Удалите в MBAM (переместите в карантин) всё, [B]кроме[/B]:[code]Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, , [6d3fed5e6a203ef8ecce83fce020936d],
Malware.Tool, C:\Program Files (x86)\WinRAR\original\RAR Slayer v1.1.exe, , [3b7177d429611422a7496726c93951af],
PUP.Riskware.Patcher, C:\Users\Anatol\Downloads\rsload.net.IDM.patch.IDMGrHlp-ZeNiX.zip, , [d9d35bf0c4c61026ac8ad168e41d5aa6],
PUP.Hacktool.Patcher, C:\Users\Anatol\Downloads\rsload.net.Internet.Download.Manager.6.18.build.7.Final.zip, , [446862e9533700367f9d0501b848bf41],
RiskWare.Tool.CK, C:\Users\Anatol\Downloads\rsload.net.Internet.Download.Manager.v6.xx.patch.new-UnREaL.zip, , [a00c2d1e01890d299d3208004db9738d],
PUP.Optional.Webstream, C:\Users\Anatol\Downloads\Programs\idm 6 23 6 keys.exe, , [beeeaba0b6d438fe09df5ed729d97e82],
PUP.Optional.OpenCandy, D:\Old_Disk\Disk_C\?????? ??????N????µ??N?N?\???°??N?N??·????\SetupImgBurn_2.5.8.0.exe, , [406c65e62d5d2214e70d79a6b353dc24],
PUP.RiskwareTool.CK, D:\Old_Disk\Disk_E\DISTRIB\Adobe Acrobat XI Pro 11.0.5 RePack by KpoJIuK\?*N?N????°N? ?°??N??????°N???N?\Keygen.exe, , [13994dfe87037fb7dca3ffdf3dc32fd1],
Trojan.Dropped, D:\Old_Disk\Disk_E\DISTRIB\Download\Raljeta 0.1.9b.exe, , [6a420e3df793989eea075b030200a957],
PUP.Riskware.Patcher, D:\Old_Disk\Disk_E\DISTRIB\Download\Internet_Download_Manager_6\rsload.net.IDM.patch.Hlp-ZeNiX\internet.download.manager-IDMGrHlp_patch.exe, , [6a4248037e0cd56148eeea4fcc35a35d],
RiskWare.Tool.CK, D:\Old_Disk\Disk_E\DISTRIB\Download\Internet_Download_Manager_6\rsload.net.IDM.v6.patch.new\Tonec.Inc.Internet.Download.Manager.v6.xx.WinALL.Incl.Keygen.and.Patch.update1-UnREaL.exe, , [2389a5a6c1c9cb6b715e0efaef17bf41],
PUP.Hacktool.Patcher, D:\Old_Disk\Disk_E\DISTRIB\Download\Internet_Download_Manager_6\rsload.net.Internet.Download.Manager.6.18.build.7.Final\?»?µ???°N?N?N?????\IDM.v6.xx.release.3-patch.exe, , [adff7ecd2a60162041db07ffba46de22],
PUP.Hacktool.Patcher, D:\Old_Disk\Disk_E\DISTRIB\Download\Internet_Download_Manager_6\rsload.net.Internet.Download.Manager.6.18.build.7.Final\?»?µ???°N?N?N?????\internet.download.manager.v6.08-patch.exe, , [dfcde7641377ac8a0c107294b749ac54],
PUP.Riskware.Patcher, D:\Old_Disk\Disk_E\DISTRIB\Download\Internet_Download_Manager_6\rsload.net.Internet.Download.Manager.6.18.build.7.Final\?»?µ???°N?N?N?????\PatchX2Upd2.exe, , [9f0d400b6d1d62d4c96d57e251b0d927],
RiskWare.Tool.CK, D:\Old_Disk\Disk_E\DISTRIB\Download\Internet_Download_Manager_6\rsload.net.Internet.Download.Manager.6.18.build.7.Final\?»?µ???°N?N?N?????\Tonec.Inc.Internet.Download.Manager.v6.xx.WinALL.Incl.Keygen.and.Patch-UnREaL.exe, , [e3c976d5addd1c1ac00fb652778f44bc],
PUP.Optional.OpenCandy, D:\Old_Disk\Disk_E\DISTRIB\DVD\SetupImgBurn_2.5.8.0.exe, , [73392b20f6948da9b3413be4d234a15f],
PUP.Optional.OpenCandy, D:\Old_Disk\Disk_E\DISTRIB\DVD\Convert\MediaCoder-0.6.2.4250.exe, , [b8f4dd6eaedc92a4589cd54aad590000],
PUP.Optional.OpenCandy, D:\Old_Disk\Disk_E\DISTRIB\DVD\Convert\MediaCoder-0.7.2.4545.exe, , [53594407f199181e7e76cf50bd49d030],
RiskWare.Tool.CK, D:\Old_Disk\Disk_E\DISTRIB\DVD\Convert\VSO ConvertXtoDVD 3.2.3.81\KeyGen.rar, , [4864b4977a10aa8c009f98f66f9301ff],
RiskWare.Tool.CK, D:\Old_Disk\Disk_E\DISTRIB\DVD\Convert\VSO ConvertXtoDVD 3.2.3.81\KeyGen\Keygen.exe, , [0aa2cb80dcaed85e0e911d717191ee12],
Spyware.Passwords.XGen, D:\Old_Disk\Disk_E\DISTRIB\DVD\Flash\gfsetup8.rar, , [6d3f79d2a0ead75f263d038d0cf419e7],
Adware.InstallCore, D:\Old_Disk\Disk_E\DISTRIB\DVD\Flash\VideoConverterSetup.exe, , [2b81eb60cebc9c9abab23f63d9277987],
Spyware.Passwords.XGen, D:\Old_Disk\Disk_E\DISTRIB\DVD\Flash\gfsetup8\SND\2-Keygen.exe, , [69433a11fd8d999d461d5937dd23e917],
RiskWare.Tool.CK, D:\Old_Disk\Disk_E\DISTRIB\DVD\Realdraw\Real-DRAW_PRO_4.0.rar, , [199334177e0cbc7a22a8444c659ba759],
RiskWare.Tool.CK, D:\Old_Disk\Disk_E\DISTRIB\DVD\Realdraw\Real-DRAW PRO 4.0\Real-Draw Pro 4.0 + Patch\Patch.exe, , [c5e772d9b4d669cd5476ace411efd22e],
Trojan.Downloader, D:\Old_Disk\Disk_E\DISTRIB\DVD\sound-forge\keygen.exe, , [2e7e0d3ee0aabd79dc16ffabeb1af709],
Trojan.Downloader, D:\Old_Disk\Disk_E\DISTRIB\DVD\sound-forge\keygen.rar, , [5e4e014a31591f17648efcae49bcf907],
Trojan.Downloader, D:\Old_Disk\Disk_E\DISTRIB\DVD\sound-forge\sonysoundforgev8.0akeygenssg.zip, , [2e7e03487e0cbb7b559d1f8be91cdd23],
Trojan.Downloader, D:\Old_Disk\Disk_E\DISTRIB\DVD\sound-forge\Crack\SF8_Retail.exe, , [991388c3b2d8b284296b478e6b9af60a],
Trojan.Downloader, D:\Old_Disk\Disk_E\DISTRIB\DVD\sound-forge\Crack\SF8_Trial.exe, , [e1cb78d34d3dec4acaca5382fb0af20e],
PUP.Optional.OpenCandy, D:\Old_Disk\Disk_E\DISTRIB\Winamp\winamp5621_full_emusic-7plus_ru-ru.exe, , [fbb17ccf94f6c96db044ac731beba759],
CrackTool.Agent, D:\WORK\Translate\trados\SDL Trados Studio 2011 Pro SP2\Activation\SDL Trados Studio 2011 SP2 - 10.2.3001.0.exe, , [486451fa3456d0660fbfb19b738edb25],
Trojan.Agent, E:\Distrib\MS\MSW7WKS\Windows7\Activators\Windows 7Loader Release 5\7Loader Release 5.exe, , [cede1f2c09812214f5b2f88fc83a05fb],
Trojan.Agent, E:\Distrib\MS\MSW7WKS\Windows7\CRK\?*??N??»N?N???N? OEM SLIC ???°N????µN??° N??µN??µ?· GRUB ?·?°??N?N??·N?????\7Loader Release 5.exe, , [5a5284c70585d6601592f7900ff3f20e],
Hacktool.ChewWGA, E:\Distrib\MS\MSW7WKS\Windows7\Win7\aktiv7.rar, , [fbb177d463270c2a1ea9fc7c50b04eb2],
Hacktool.ChewWGA, E:\Distrib\MS\MSW7WKS\Windows7\Win7\aktiv7\?°??N??????°N???N?N?\Chew-WGA_0.9_____The_Windows_7_Patch.rar, , [614bee5d008a32047156195f9d6357a9],
Trojan.Agent.W, E:\Distrib\MS\MSW7WKS\Windows7\Win7\aktiv7\?°??N??????°N???N?N?\Windows_7_Loader_1.7.7r_-_Pre-Activation.zip, , [f3b956f53b4f280e540c2b75ec19b749],[/code]
Хотя лучше бы для верности всё вынести, второй раз ведь одно и тоже ловите...
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
После чистки в MBAM пофиксите соответствующую строку в HijackThis, скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
В Хайджаке тех строк, что удалил в МВАМ - не было. В Хайджаке снова появился R1 Pt65.uru (в конце строки) Этот сайт configspacs.com ругают на другом сайте, речь и зловредах (вот ссылка -http://www.banki.ru/forum/?PAGE_NAME=message&FID=34&TID=35212&MID=3571150#message3571150)
Зарегистрирован он недавно 2015 02 20
Я хожу по нормальным сайтам, но бывает, чтобы прочитать или скачать - отсылают на другую рекламную страницу, там всякая чепуха (типа таблоида), может оттуда попадает что-то... Хромом я не пользуюсь, а все подозрительное было в записях про него (МВАМ)
В настройках Firefox - Приватность - не получается выбрать "не будет запоминать историю", только "будет использовать ваши настройки хранения истории". Эти зловреды уже с февраля или даже раньше появились, Каспер ничего не придумал пока...
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
еще вопрос - на одноклассниках игры - безопасно?
[QUOTE=tol;1253848]еще вопрос - на одноклассниках игры - безопасно?[/QUOTE]
Не знаю, надеюсь - да.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.85.12 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref HTTP://CONFIGSPACS.COM/WO1YRD/PT65.URU
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.6.0_24\BIN\JP2IEXP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\REALNETWORKS\REALDOWNLOADER\RECORDINGMANAGER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\REALNETWORKS\REALDOWNLOADER\REALUPGRADE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\REAL\REALUPGRADE\REALUPGRADE.EXE
deltmp
restart[/code]Компьютер перезагрузится.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Установите IE 11 и все доступные обновления.
Дальше будем пытаться отловить приложение, которое прописывает сценарий автоматической настройки прокси.
Загрузите [URL="http://technet.microsoft.com/ru-ru/sysinternals/bb896645.aspx"][B]Process Monitor[/B][/URL] и запустите программу.
Убедитесь в HijackThis, что параметр AutoConfigURL не прописан, иначе пофиксите его.
В ProcMon оставьте только мониторинг реестра - значки в правой части панели: Show Registry Acnivity должна быть нажата, остальные правее - нет.
Меню [B]Filter[/B] -> [B]Filter...[/B], в строке [B]Display entries matching these conditions:[/B] выберите: "Operation" "is" "RegCreateKey" than "Include", жмёте [B]Add[/B], затем добавьте ещё фильтр:"Operation" "is" "RegSetValue" than "Include", [B]Add[/B], [B]Apply[/B], [B]Ok[/B].
Ждёте, когда параметр AutoConfigURL опять появится, меню File -> Save..., выбираете Comma-Separated Values (CSV) и сохраняете. Полученный лог упакуйте в архив и во вложения. Или на rghost.ru и ссылку сюда.
как обозначается включеное состояние Show Registry Acnivity - он должне быть на общем фоне или вокруг него должна быть серая рамка?
Как вдавленная кнопка, с серой рамкой.
пока лог uVs, тот автоконфиг [COLOR="#FF0000"]удалено[/COLOR] то появляется сначала, теперь пока его не видно, его надо искать через Хайджак или по поиску в Process monoitor? (так есть такой бинокль) или Ctrl+F
Проще через HijackThis, или смотрите в IE -> Свойства браузера -> Подключения -> Настройка сети.
появилась запись в Хайджаке, при запуске компа и первом запуске Хайджака ее не было
Еще в Firefox не получается сделать настройку - Не будет запоминать историю. Все время сбивается на: будет использовать ваши настройки. Или надо просто переустановить Фокс, или это действие зловреда
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
судя по Рrocess Мonitor AVP этого зловреда не сечет. Эта подстановка страниц уже описана как предупреждение на сайте Белгородского сбера еще кажется в конце прошлого года
Ну, вот и попался засранец:[QUOTE]"23:50:39,4090264","uTorrent.exe","2236","RegSetValue","HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL","SUCCESS","Type: REG_SZ, Length: 78, Data: http://configspacs.com/Wo1yRd/Pt65.uru"
"23:50:39,4093580","uTorrent.exe","2236","RegCreateKey","HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections","SUCCESS","Desired Access: Query Value, Disposition: REG_OPENED_EXISTING_KEY"[/QUOTE]
Обновите версию uTorrent, с закладочкой, видимо, попалась.
Вадим, спасибо, я скачаю новую версию а старый снесу. у меня 3.4.2 билд 35702, есть 3.4.2 build 39744 от 26 марта. Кто ж такие закладки делает? Ведь фирма предлагает и платный продукт.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
я вот сейчас вспоминаю, что вроде бы какие-то антивирусы или сканеры ругались на Торент, но думаешь, может перегибают...
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
а вот еще насчет Firefox, запоминание истории, ее ведь лучше не запоминать? Сбивается настройка "не запоминать" на "ваши настройки хранения". Переустановить Фокса?