Страницы открываются в виде исходного кода

В браузерах Mozilla Firefox и Opera многие страницы сегодня начали открываться в виде исходного кода. Приходится по нескольку раз обновлять страницу. Версии браузеров самые последние. Стоит обновлённый Nod32. Для надёжности просканировал систему свежей версией Dr Web Cureit. Нашёл и удалил qltcoff.dll, но проблема остаётся...

Уважаемый(ая) [B]Nod777[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].

В логах ничего плохого не видно.

Очистите кэш браузеров.

Рекомендуется установить SP3 и последующие обновления.
(Может потребоваться повторная активация Windows).

[QUOTE=Bratez;801474]В логах ничего плохого не видно.

Очистите кэш браузеров.

Рекомендуется установить SP3 и последующие обновления.
(Может потребоваться повторная активация Windows).[/QUOTE]

Понятно. Но очень странно... На ровном месте появилось :/

Очистка кэша помогла?

[QUOTE=thyrex;801484]Очистка кэша помогла?[/QUOTE]

Нет, не помогла. Через древний IE 6 кстати всё нормально открывается. Проблемы только с Оперой и Мозиллой. Во чудеса! :)

Сделайте лог [url]http://virusinfo.info/showthread.php?t=57249[/url] с запущенными браузерами

[QUOTE=thyrex;801492]Сделайте лог [url]http://virusinfo.info/showthread.php?t=57249[/url] с запущенными браузерами[/QUOTE]

Вот пожалуйста. И ещё одно интересное наблюдение. Пробовал запускать Firefox Portable. Результат тот же что и с установленными браузерами.

[B]Nod777[/B], скачайте [URL="http://rghost.ru/12115311"]вот эту версию Rootkit Unhooker[/URL] и сохраните в любую папку. На имя файла внимание не обращайте.
Старую версию удалите. После этого запустите новую версию и повторите логи.

[QUOTE=gjf;801541][B]Nod777[/B], скачайте [URL="http://rghost.ru/12115311"]вот эту версию Rootkit Unhooker[/URL] и сохраните в любую папку. На имя файла внимание не обращайте.
Старую версию удалите. После этого запустите новую версию и повторите логи.[/QUOTE]

Сделал

Скачайте и распакуйте в отдельную папку [URL="http://rghost.ru/12136211"]вот этот архив[/URL]. Запустите файл PETools.exe. В открывшемся окне наведите мышкой на процесс любого запущенного браузера и выберите в меню по правому клику Dump Region:
[URL=http://img84.imageshack.us/i/71869487.jpg/][IMG]http://img84.imageshack.us/img84/2561/71869487.jpg[/IMG][/URL]

В открывшемся окне в поле Address оставьте нули, а в поле Size укажите 1000000. Нажмите кнопку Dump. Полученный файл сохраните в архив и пришлите по кнопке "Карантин" вверху страницы.

[QUOTE=gjf;801607]В открывшемся окне в поле Address оставьте нули, а в поле Size укажите 1000000. Нажмите кнопку Dump. Полученный файл сохраните в архив и пришлите по кнопке "Карантин" вверху страницы.[/QUOTE]

Загрузил

Сделайте поиск по системному диску таких файлов:
[CODE]IntMayak.dll
sysintm.dll[/CODE]

О результатах сообщите.

[QUOTE=gjf;801884]Сделайте поиск по системному диску таких файлов:
[CODE]IntMayak.dll
sysintm.dll[/CODE]

О результатах сообщите.[/QUOTE]

Такие файлы при поиске найдены не были.

Ещё не сколько наблюдений:
1. Поставил SP3. Всё по старому.
2. Проверился свежей версией AVP Toоl от Касперского. "Чисто"
3. При обращении через любой браузер по адресу update.microsoft.com открывается явно фейковая страница, на которой меня предупреждают об троянской угрозе и предлагают за деньги скачать "мегакритичное" обновление для Internet Explorer. Файл hosts при этом не модифицирован.

Вообще у меня есть подозрение что самой заразы в системе уже нет. А исходный код вместо страниц в браузерах из-за того что вирус успел в реестре чёто напрописывать...

К сожалению, Вы не единственный. Ситуация у Вас непростая и похожа на новый вирус. Что-то подобное уже описывалось [URL="http://www.eset.eu/encyclopaedia/win32-agent-oga-trojan-dropper-clxl-trojandropper-dunik-rts-muldrop1-40321"]здесь[/URL]. Из дампов, которые Вы сохранили, Лаборатория Касперского извлекла библиотеку, ответственную за перехваты обращений браузеров. Она вошла в новое семейство Trojan.Win32.Cidox. Детект на них будет добавлен в Kaspersky Virus Removal где-то к вечеру.

Потому всё, что могу Вам посоветовать в сложившейся ситуации - завтра скачать свежий Kaspersky Virus Removal и полностью просканировать хотя бы системный диск. Больше у меня пока идей нет, может подскажут коллеги.

[B]gjf[/B], Хорошо. Спасибо!

Так, ситуация обновляется и накаляется. Выполните следующее.
1. Скачайте [URL="http://support.kaspersky.ru/downloads/utils/tdsskiller.zip"]вот эту утилиту[/URL] и распакуйте в любую папку.
2. В Блокноте наберите следующий текст и сохраните в ту же папку как start.bat
[CODE]TDSSKiller.exe -qmbr -qpath C:\MBR_Dump
[/CODE]
3. Запустите start.bat. Вы должны обладать правами Администратора.
4. Содержимое папки C:\MBR_Dump заархивируйте в zip-архив и пришлите по ссылке Карантин вверху темы.

[QUOTE=gjf;802010]Содержимое папки C:\MBR_Dump заархивируйте в zip-архив и пришлите по ссылке Карантин вверху темы.[/QUOTE]

Отправил

Очень хорошо. Теперь точно таким же образом пришлите ntldr, который лежит в корне системного диска. Увидеть его можно, включив показ системных и скрытых файлов в Проводнике. Либо воспользуйтесь AVZ.

[QUOTE=gjf;802024]Теперь точно таким же образом пришлите ntldr, который лежит в корне системного диска.[/QUOTE]

Отправил

Я понимаю, что мы требуем от Вас довольно многое, вместо того, чтобы обеспечить быструю помощь. От лица хелперской команды приношу Вам свои извинения, но Вы должны понимать - у Вас заражение новым видом буткита, а это требует серьёзного лечения и исследования.

Надеюсь то, что своими действиями Вы помогаете предотвратить такое заражение у других - Вас воодушевит :)

У Вас есть какой-либо загрузочный LiveCD диск? Было бы крайне полезно получить ntldr с системного раздела, загрузившись с LiveCD. Можете такое сделать?

[QUOTE=gjf;802044] Можете такое сделать?[/QUOTE]

Мог бы конечно. Но я работаю приходящим сисадмином. И всё что я вам отправил, я забирал через Team Viewer. А вот физически у машины я врядли буду раньше понедельника... :)

Это печально. Ну будем надеяться, что другие пострадавшие смогут. Потому как найти вредоносную dll удалось, но удалить её, не понимая, что её скрывает и защищает - невозможно. А в рабочей системе, когда этот "скрыватель и защитник" активен, это сделать не удастся.

[B]gjf[/B], Да, будем надеяться. Если от меня ещё что-то нужно будет, пишите.

[B]Nod777[/B], ну если в понедельник доберётесь до машины - вспомните о моей просьбе на всякий случай :)

[B]gjf[/B], Обязательно

На данный момент решение проблемы следующее.
1. Загрузитесь с системного диска и перейдите в режиме Консоли Восстановления (Recovery Console)
2. Віполните команду:
[CODE]fixboot c:[/CODE]
3. Перезагрузите систему.

[B]gjf[/B], До заражённого компьютера добрался только сегодня. Наверное уже не нужно, но всё же отправляю вам ntldr взятый после загрузки с live cd

Проблему решили?

[B]thyrex[/B], Да fixboot C: помогло

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]