Навязчивая webalta в браузерах

Помогите пожалуйста избавиться от сверхнавязчивой webalt(ы)
Эта хрень установилась в качестве домашней страницы и поиска по умолчанию во всех браузерах (Mozilla и IE). Пользуюсь в основном Mozilla.
Ручное удаление из реестра всех вхождений "webalta" и прописывание домашней страницы в браузерах не помогает. При следующей перезагрузке - все возвращается.

Заранее спасибо за помощь.

Уважаемый(ая) [B]And24[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[URL="http://www.speedbit.com/Symantec_Security_Response.htm"]Download Accelerator Plus[/URL] устанавливали ? если нет, то деинсталируйте его.

Ask Toolbar тоже рекомендую удалить.

Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

+ Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.

[QUOTE=regist;895038][URL="http://www.speedbit.com/Symantec_Security_Response.htm"]Download Accelerator Plus[/URL] устанавливали ? если нет, то деинсталируйте его.[/QUOTE]
Устанавливал. Причем давно, так что это вряд ли от него появилась такая зараза.

Ask Toolbar из Mozillы удален. Видимо остался в IE. Просто я им практически не пользуюсь.

Проверьте свойства ярлыков браузеров (поле [I]Объект[/I]).

Правой кнопкой мыши по ярлыку браузера - Свойства.
Закладка Ярлык, поле Объект.
Там вебальту восмотрите и удалите если есть.

[QUOTE=Bratez;895054]Проверьте свойства ярлыков браузеров (поле [I]Объект[/I]).[/QUOTE]точно! что-то затупил. Надо было сразу проверить.
Ярлыки почистил.

Но тем не менее сканирование МВАМ доделаю (просто очень долго идет - уже полтора часа, а выполнено всего процентов на 30).

Это еще не все. Надо prefs.js и user.js поизучать, поисправлять. Это, если ручками. Если утилитами, то надо Комбофикс напускать.

[QUOTE=PavelA;895066]Это еще не все. Надо prefs.js и user.js поизучать, поисправлять. Это, если ручками. Если утилитами, то надо Комбофикс напускать.[/QUOTE]
prefs.js - правил руками, ещё до обращения на форум
а вот user.js - не обнаружил такого файла. По идее он должен лежать там же где и первый, но нету его там

[COLOR="silver"]- - - Updated - - -[/COLOR]

[QUOTE=regist;895038]Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

+ Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.[/QUOTE]

Сделал лог МВАМ - прикрепляю его к сообщению.

+ загрузил файл подозрительных объектов собранный утилитой AVZ
Файл сохранён как 120611_123400_virusinfo_files_HOMEKOMP_4fd5e5b80968b.zip
Размер файла 18373879
MD5 88cbb51fddc173261ac4ece312b915c7

Я бы посоветовал внимательнее относиться к выбору креков к программам
Когда такое встречается, то все возможно:
[QUOTE]I:\Video\Photoshop Plugin`s\The Panorama Factory 3.3\crack.exe (Worm.Brontok) -> Действие не было предпринято.[/QUOTE]

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только

[CODE]Обнаруженные ключи в реестре: 3
HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\lay.eProtocol (Trojan.WebMoner) -> Действие не было предпринято.
Объекты реестра обнаружены: 4
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowHelp (PUM.Hijack.StartMenu) -> Плохо: (0) Хорошо: (1) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Temp\286212442.exe (Trojan.FakeAlert.Gen) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\wndsksi.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.
[/CODE]

креки патчи на ваше усмотрение, но там могут быть вирусы.

Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]

+ [B]смените все важные пароли ![/B] у вас видны следы от заражения трояном карбером, а он люит воровать пароли (особенно банковские).

[COLOR="silver"]- - - Updated - - -[/COLOR]

[quote="And24;895070"]+ загрузил файл подозрительных объектов собранный утилитой AVZ[/quote]
занесены в базу безопасных AVZ: 27
В очереди на добавление в базу безопасных:
высокий приоритет: 15
обычный приоритет: 12

[QUOTE=regist;895135][url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только[/QUOTE]

Еще раз запустил сканирование MBAM что бы удалить указанное.....
Получил какой-то странный результат:
вот это:
[CODE]HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner)
HKCR\lay.eProtocol (Trojan.WebMoner)[/CODE]
нашлось вновь и было удалено

а вот эти записи:
[CODE]HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowHelp (PUM.Hijack.StartMenu) -> Плохо: (0) Хорошо: (1) -> Действие не было предпринято.
Объекты реестра обнаружены: 4
C:\Documents and Settings\Admin\Local Settings\Temp\286212442.exe (Trojan.FakeAlert.Gen) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\wndsksi.inf (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.[/CODE]
найдены не были.....

Папку temp и systen32 почистил руками, а вот файлы wndsksi.inf, igfxtray.dat не обнаружены

Поставил на сканирование MBAM еще раз.... Чуть позже выложу новый лог.

[QUOTE=regist;895135]Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url][/QUOTE]

Логи программой RSIT сделать не смог.
Антивирус отключил.
При сканировании получаю ошибку:

[ATTACH=CONFIG]366426[/ATTACH]

Запуск из папки где находится HijackThis.exe - результаты такие же - ошибка.

[COLOR="silver"]- - - Updated - - -[/COLOR]

Еще раз пересканировал MBAM. Все что было указано удалил.
Сделать лог программой RSIT так и не смог по указанной выше причине.

Обновите базы AVZ и сделайте ещё раз лог [COLOR="#0000CD"]virusinfo_syscheck.zip[/COLOR]


RSIT может повредился при скачивание? попробуйте скачать ещё раз.

[COLOR="silver"]- - - Updated - - -[/COLOR]

и сделайте на всякий случай ещё раз лог MBAM.

[QUOTE=regist;895250]Обновите базы AVZ и сделайте ещё раз лог [COLOR="#0000CD"]virusinfo_syscheck.zip[/COLOR]
RSIT может повредился при скачивание? попробуйте скачать ещё раз.
и сделайте на всякий случай ещё раз лог MBAM.[/QUOTE]

Прикладываю новый [B]virusinfo_syscheck.zip[/B]
И лог сделанный с помощью MBAM

С программой RSIT та же самая история. Повторное скачивание ни с основного сайта, ни с зеркала ситуацию не изменило - выскакивает та же самая ошибка :(

P.S. к стати. После всех этих манипуляций. Заглючила "панель быстрого запуска". Почему то после каждой перезагрузки она отключается. Приходится включать ее, но этого хватает ровно до следующей перезагрузки. не удобно однако....

[quote="And24;895285"]Заглючила "панель быстрого запуска". Почему то после каждой перезагрузки она отключается.[/quote]
Выполните скрипт

[CODE]begin
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(false);
end.[/CODE]

компьютер перезагрузиться.

после его выполнения фоновую картинку рабочего стола надо будет установить заново, отпишитесь что с проблемой ?

[QUOTE=regist;895361]Выполните скрипт
отпишитесь что с проблемой ?[/QUOTE]

А это был скрипт для чего?
Если для "возвращения" панели быстрого запуска, то не помогло. Панель после перезагрузки пришлось опять вызволять руками.

А что с последними логами MBAM? Там все нормально?
Да и логи RSIT я ведь так и не смог сделать. Другой альтернативы нет?

[COLOR="silver"]- - - Updated - - -[/COLOR]

Нда.... проверил файл prefs.js в профиле по умолчанию Mozilla там эта зараза [B]webalta[/B] опять прописана поисковиком по умолчанию :( Причем в списке поисковых машин видимых в браузере она не отображается, но если написать что-то отличное от URL в адресной строке Mozilla и на жать на энтер, то грузится именно webalta......

Файл prefs.js в очередной раз поправил руками.....

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]


[quote="And24;895430"]А это был скрипт для чего?
Если для "возвращения" панели быстрого запуска,[/quote]
да, для неё.

[COLOR="silver"]- - - Updated - - -[/COLOR]

+ пожалуйста экспортируйте из реестра ветки

[CODE]HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Streams\Desktop
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced[/CODE]
полученные reg файлы заархивируйте и прикрепите к своему следующему сообщению.

[QUOTE=regist;895432]Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
+ пожалуйста экспортируйте из реестра ветки
[/QUOTE]

Лог и ветки реестра прикрепил.

network.proxy.http - 106.187.36.159 прокси сами настраивали ?

[QUOTE=regist;895452]network.proxy.http - 106.187.36.159 прокси сами настраивали ?[/QUOTE]не могу вспомнить.....:blush:

В данный момент в настройках браузера стоит - [B]без прокси[/B]

А что с логом ComboFix?

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
[code]
KillAll::

DeQuarantine::
C:\Qoobox\Quarantine\c:\windows\system32\odbcad32.exe

Firefox::
FF - prefs.js: keyword.URL - hxxp://webalta.ru/search?from=FF&q=
FF - prefs.js: network.proxy.ftp - 106.187.36.159
FF - prefs.js: network.proxy.ftp_port - 3128
FF - prefs.js: network.proxy.http - 106.187.36.159
FF - prefs.js: network.proxy.http_port - 3128
FF - prefs.js: network.proxy.socks - 106.187.36.159
FF - prefs.js: network.proxy.socks_port - 3128
FF - prefs.js: network.proxy.ssl - 106.187.36.159
FF - prefs.js: network.proxy.ssl_port - 3128

FileLook::

DirLook::
Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

отпишитесь, что с проблемами.

[QUOTE=regist;895461]Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на диск С.
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
отпишитесь, что с проблемами.[/QUOTE]

Сохранил код в файл. Перетащил его на иконку. Программа отработала - компьютер перезагрузился . .... завис. Вернее висело окно ComboFix без всякого действия порядка 20-30 минут.... Пришлось перезагрузиться.
Еще раз запустил ComboFix. Новый лог прикладываю.

P.S. Панель быстрого запуска не появилась. Поиск в браузере вроде как перестал перенаправлять на webata .....

[b]And24[/b], обратите внимание,
[quote="regist;895461"]сохраните как файл с названием CFScript.txt [B]на диск С.[/B][/quote]
сохраните на этот раз на диск С и файл комбофикса тоже перенесите в корень диска C:\ и повторите процедуру.

[QUOTE=regist;895479][b]And24[/b]сохраните на этот раз на диск С и файл комбофикса тоже перенесите в корень диска C:\ и повторите процедуру.[/QUOTE]
Результат тот же.... перезагрука и висит окно комбофикса.

Что-то от троянов/вирусов осталось в системе, или это борьба за панель быстрого запуска?

[quote="And24;895489"]Что-то от троянов/вирусов осталось в системе,[/quote] Это борьба с остатками Вебалты + сборкой от Зверя, которой является Ваша система.

1.Насчет быстрого запуска - сама директория с иконками на диске сохранилась? Примерно в этом месте: %AppData%\Microsoft\Internet Explorer\Quick Launch

2.проверь наличие ключика в реестре: HKEY_Current_User\software\microsoft\windows\currentversion\policies\explorer
change the NoSaveSettings. Это можно сделать через AVZ или regedit.

3. Диск с дистрибутивом есть? Если да, то попробуй выполнить sfc /scannow

[QUOTE=PavelA;895508]Это борьба с остатками Вебалты + сборкой от Зверя, которой является Ваша система.
1.Насчет быстрого запуска - сама директория с иконками на диске сохранилась? Примерно в этом месте: %AppData%\Microsoft\Internet Explorer\Quick Launch[/QUOTE]
Иконки все есть. Я ведь каждый раз заново подключаю панель. На всякий случай проверил - все там.

[QUOTE=PavelA;895508]2.проверь наличие ключика в реестре: HKEY_Current_User\software\microsoft\windows\currentversion\policies\explorer
change the NoSaveSettings. Это можно сделать через AVZ или regedit.[/QUOTE]

Параметра [B]NoSaveSettings [/B]не увидел. У меня эта ветка выглядит так:

[ATTACH=CONFIG]366693[/ATTACH]

[QUOTE=PavelA;895508]3. Диск с дистрибутивом есть? Если да, то попробуй выполнить sfc /scannow[/QUOTE]
Именно того дистрибутива видимо уже нет. Другой от XP подойдет?

[quote="And24;895612"]Именно того дистрибутива видимо уже нет. Другой от XP подойдет?[/quote]
подойдёт если он той же локализации и с тем же сервис паком.

[COLOR="silver"]- - - Updated - - -[/COLOR]

[quote="And24;895489"]Результат тот же.... перезагрука и висит окно комбофикса.[/quote]
новый лог работы комбофикса прикрепите ;)

[QUOTE=regist;895628]подойдёт если он той же локализации и с тем же сервис паком.[/QUOTE]
а можно как то натравить команду sfc /scannow на виртуальный диск с дистрибутивом windows?
Подключил образ через daemon tools но при запуске команды диск с дистрибутивом указать не получается....

[QUOTE=regist;895628]новый лог работы комбофикса прикрепите ;)[/QUOTE]
прикладываю новый лог

все чисто?

Нет. Все плохо. Вебалта восстановилась из небытия. Придется подходить к этому вопросу радикально. Удалите профиль пользователя в Мозилле, при запуске она попросит создать новый. Согдаситесь и посмотрите будет Вебалта в настройках или нет.

[QUOTE=PavelA;895941]Нет. Все плохо. Вебалта восстановилась из небытия. Придется подходить к этому вопросу радикально. Удалите профиль пользователя в Мозилле, при запуске она попросит создать новый. Согдаситесь и посмотрите будет Вебалта в настройках или нет.[/QUOTE]

Удалил профиль в Мозилле. Создал новый.

Выполнил [B]sfc /scannow[/B] - панель быстрого запуска так и не восстановилась. Ярлыки с нее целы, но при каждом перезапуске подключать ее приходится в ручную.....

Сделал новый лог работы комбофикса....

ВебАлты не видно.

Пуск -- Выполнить regsvr32 /u shell32.dll затем regsvr32 /i shell32.dll

[QUOTE=PavelA;896006]ВебАлты не видно.[/QUOTE]
Спасибо.
[QUOTE=PavelA;896006]Пуск -- Выполнить regsvr32 /u shell32.dll затем regsvr32 /i shell32.dll[/QUOTE]
выполнил.
Панель быстрого запуска все так же отключается при перезагрузке......

Решил для себя вопрос по другому. Установил [B]True Launch Bar[/B]. При перезагрузке панель выжила :)
Тему можно закрывать.

[quote="And24;896009"]Панель быстрого запуска все так же отключается при перезагрузке......[/quote]
Значит, кроме ключей в реестре и этой библиотеки для нее еще что-то надо.

Спасибо за терпение.

[QUOTE=PavelA;896025]Спасибо за терпение.[/QUOTE]
Это всем вам, возившимся с моими проблемами в этой теме, СПАСИБО!

- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix[/URL]