Printable View
Третий день бьюсь с банером, периодически выскакивающим в IE9 и FF, сообщающим что "В системе обнаружен вирус. Использование интернета не желательно... Браузер зафиксировал попытки внесения изменений в его работу... Trojan.Win32.Ddox.ci ... "
Не помог Dr.Web (был установлен), временная утилита Касперского, авира (установлена сейчас)
Уважаемый(ая) [B]buh04[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
Сделайте лог MBAM:
[url]http://virusinfo.info/showthread.php?t=53070[/url]
и приложите.
[B]Nikkollo[/B], насколько я могу судить - этот лог чистый.
Угу... По другим логам тоже ничего интересного не нашел.
Прошу выполнить эту процедуру и загрузить там получившийся файл:
[url]http://virusinfo.info/showthread.php?t=3519[/url]
Информацию о загрузке приложите здесь.
[B]Nikkollo[/B], в том то и дело... Не один вирус мне приходилось буквально вручную убивать, а тут не знаю что и думать. Сам по выложенным логам проверил все файлы - бесполезно...
Файл сохранён как 110619_112246_virusinfo_files_OLGAN-PC_4dfddc06be417.zip
Размер файла 7405782
MD5 1bde1427afe066536e93811cf830a432
Да, забыл сказать... из-за этой заразы некотрые страницы могут отображаться вместо содержания как код этой страницы, на некотрые невозможно зайти...
Кибер тоже ничего не обнаружил...
Мысли заканчиваются... Сделайте пока так:
Установите все обновления безопасности, если найдутся:
[url]http://windowsupdate.microsoft.com/[/url]
Я пока возьму небольшой тайм-аут, с коллегами посоветуюсь.
[B]Nikkollo[/B], windows систематически обновляется.
эта фигня началась три дня назад, когда установилась целая партия обновлений windows (компьтером не пользовались недели три). Поэтому когда просто пытаюсь отследить все файлы с датой создания по этому сроку, вываливается куча файлов, связанных с обновлением в системных каталогах...
кэш браузеров в процессе экспериментов периодически очищаю, так же как и временные файлы...
[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]
да, еще такая фигня. в FF установлен плагин adblock - я вручную заблокировал графику этого баннера - ссылка идет на немецкий ip.
адрес: 213.133.103.221/update/images/*
В логах все стерильно. Это точно логи с проблемного ПК? Вы ничего не спутали?
[B]Bratez[/B], да, логи с проблемного ПК...
Запуская антивирусы от трех производителей, находил какую-ту фигню и удалял даже ту, которая просто вызывала подозрения(особенно в этом смысле выделялась параноидальная авира, нашедшая штук 40 непомню чего в основном в кэше java и в установочных файлах игрушек от alawar (достаточно древних).
Сегодня в последнее время, кстати, грузятся все страницы нормально (а не html-код, как бывало ранее), а банер все-равно всплывает.
ссылки на банере ведут соответственно на:
[url]http://update.mozilla.org/[/url]
[url]http://update.microsoft.com/[/url]
если получится, попробую сейчас добавить скрины банеров, страниц и диспетчера задач в то время когда висел банер в FF
сделайте лог syscheck с запущенными браузерами
ссылки явно какие-то левые... с нетбука по ним меня переадресует на нормальные сайты мозиллы и МС...
[B]Nephilim[/B], запустил опять скрипт, отключив авиру...
Запустите Internet Explorer. Кликните Сервис и выберите пункт «Свойства обозревателя». Откройте вкладку Подключения и в ней кликните по кнопке «настройка LAN». Вам будут показаны текущие настройки локальной сети. Посмотрите, стоит ли галочка напротив пункта «Использовать прокси-сервер для подключений LAN».
[B]Aleksandra[/B], нет, галочка не стоит. указано "автоматическое определение параметров".
новый лог вставил в свое предыдущее сообщение
Запустите Internet Explorer. Кликните Сервис и выберите пункт «Свойства обозревателя». Откройте вкладку Программы и в ней кликните по кнопке «Надстройки». Посмотрите, есть ли там что-то подозрительное.
[B]Aleksandra[/B], вроде ничего подозрительного нет... из не микрософтовского shokwave flash object, java plug-in 2 ssv helper, realplayer g2 control.
Попробуйте поочередно отключить все.
Запустил IE в режиме "без надстроек" - банер появился на 3-й открытой странице
В дополнениях для Firefox тоже ничего необычного нет?
[B]thyrex[/B], тоже ничего подозрительного, но попробовал отключить все плагины - результат тот же - на 3-й открытой странице повис банер...
Не закрывая браузеры, сделайте такой лог [url]http://virusinfo.info/showthread.php?t=78057[/url]
[B]Aleksandra[/B], не получается запустить vba32. синий экран, вызванный lt3q1eju.sys при включенных экранах и фв авиры и pgkj0wy3.sys при отключенных (если правильно понял - эти файлы от VBA32)
Лог делали в режиме ordinary? Антивирус отключали?
до режима и до лога я не дошел. после вопроса Would you like to run Vba32 Antirootkit on dedicated desktop with advanced security features on (recommended option)? отвечая и Нет и Да, комп умирает...
Эту сборку попробуйте.
pass: 123
стал наблюдать за фв авиры...
в момент появления банера последняя проверенная ссылка была:
[url]http://qocgle.com/loPtfdn3dSasoicn/js.php?t=r&tt=brw[/url]
когда нажал на "обновление" было вот что:
[url]http://213.133.103.217/bt_pdfn3skxler/index.php?uid=5008EF5E3F00D771001D922211570000&id=6&url=http%3A%2F%2Fupdate%2Emozilla%2Eorg%2Ff%2Fimages%2Fupdate%2Ejpg[/url]
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
[B]Aleksandra[/B], аналогично - синий экран в то же время...
не может это быть из-за авиры, хоть и с отключенными экранами и фв? может быть ее совсем удалить?
[QUOTE=buh04;799838]может быть ее совсем удалить?[/QUOTE]
Попробуйте...
нет, не дружит со мной эта vba32... снес авиру, перегрузил - синий экран на том же месте... пробовал даже safe mode - то же самое...
почитал соседние ветки - у всех вирусы как вирусы - лечатся легким движением... а тут... как-то обидно даже...
Сделайте лог [URL="http://images.malwareremoval.com/random/ru/RSIT.exe"]RSIT.[/URL]
сделал
1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Mozilla Firefox\update.exe','');
QuarantineFile('C:\Users\OLGAN~1\AppData\Local\Temp\0.9868431169816121.exe','');
DeleteFile('C:\Users\OLGAN~1\AppData\Local\Temp\0.9868431169816121.exe');
DeleteFile('C:\Program Files\Mozilla Firefox\update.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
3. Выполните скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите файл quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=103946[/url]
сейчас сделаю, но эти атавизмы (остались разрешения для файрволла) от прошлых инфекций - я вручную убрал эти ключи из реестра, а файлов таких уже нет.
Скорее всего так и есть, но кто знает...
да, в карантине пусто, по ссылке выдается Ошибка загрузки. Данный файл уже был загружен
[size="1"][color="#666686"][B][I]Добавлено через 6 часов 0 минут[/I][/B][/color][/size]
установил в файрволле авиры блокировку всех исходящих и входящих пакетов с двух ip - 213.133.103.217 и 213.133.103.221. банер пока не появляется...
авира сообщает о блокировке пакетов... но это наверно не совсем то решение...
так и не нашел нормальное решение проблемы...
банер не выскакивает, но инет тормозит... наверно от того, что браузеры постоянно пытаются залезть на qocgle.com...
пробовал запускать другие "лечебные" проги, рекомендуемые в соседних ветках.
Combofix вызывает синий экран BAD_POOL_HEADER
Gmer запустился... посмотрите, кто разбирается, пожалуйста лог, может всплывет что...
c:\windows\system32\WS2_32.dll запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Решил проблему благодаря совету [B]gjf[/B] в соседней ветке путем восстановления загрузочного сектора. Хотя насколько я понял, утилита от Касперского теперь тоже лечит эту заразу.
Спасибо всем за участие в решении проблемы!