Антивирус постоянно блокирует вредоносный сайт+не могу избавиться от speed2 [Trojan-Ransom.Win32.PornoAsset.beuy ]

Printable View

10.11.2012, 19:04
Anni

Вложений: 3

Антивирус постоянно блокирует вредоносный сайт+не могу избавиться от speed2 [Trojan-Ransom.Win32.PornoAsset.beuy ]

Здравствуйте. у меня антивирус Avast. Со вчерашнего дня постоянно блокирует какой то сайт, причем каждые секунд 20 возмущается,пишет:
объект : goodef.info/ дальше набор букв, который постоянно меняется
URL : MAL
процесс: C/Windows/system 32/svchost.exe
пробовала cureit, после перезагрузки антивирус опять пищит , плюс недавно вместо домашней страницы прицепилась weldata,ее убрала вручную, дня 2 назад такая же ерунда со speed2, его убрать не получилось никак, так же был заблокирован выход на все соц сети, после доктора веба на соц сети выходить я могу, а speed2 сидит.Заранее спасибо
10.11.2012, 19:06
Info_bot

Уважаемый(ая) [B]Anni[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
10.11.2012, 20:41
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\11126921FdOh','');
QuarantineFile('C:\Program Files\HotVirtualKeyboard\hvk.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\YhOICFh8TvM.exe','');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\YhOICFh8TvM.exe');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\11126921FdOh');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','11127375');
ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

- Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=125-page-uploadclean][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.
10.11.2012, 21:27
Anni

у меня проблема с антивирусом, я не могу его отключить, требует пароль, который я и не знала никогда.Отключение пароля обязательный пункт? или можно как то обойти это?
10.11.2012, 21:33
thyrex

Пропустите этот пункт

+ к предыдущим рекломендациям

Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
11.11.2012, 00:34
Anni

Вложений: 5

из за своей невнимательности я забыла, куда сохранила отчет MBAM поэтому прикрепила rules.zip,может это и не он, тогда подскажите , как его найти)
11.11.2012, 00:39
thyrex

[quote="Anni;938436"]rules.zip,может это и не он[/quote]Нет, не он

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://browserhelp2.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O18 - Protocol: base64 - (no CLSID) - (no file)
O18 - Protocol: chrome - (no CLSID) - (no file)
O18 - Protocol: prox - (no CLSID) - (no file)[/CODE]
11.11.2012, 00:50
Anni

сделала
11.11.2012, 00:51
regist

повторите лог HijackThis

StartNow Toolbar, Sputnik\Mail, Ask Toolbar чем из этого пользуетесь ?

Лог MBAM можно найти в следующей папке:

[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE]
11.11.2012, 01:27
Anni

Вложений: 2

вот новый лог HijackThis

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

из этих программ не пользуюсь ни одной.Спасибо, сейчас поищу

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

тяжело дался поиск этого файла)
11.11.2012, 10:24
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

D:\Линейка\anabius.ru\dsetup.dll (Malware.Gen) -> Действие не было предпринято.
D:\Линейка\system\DSetup.ab2 (Malware.Gen) -> Действие не было предпринято.
D:\Линейка\system\DSetup.dll (Malware.Gen) -> Действие не было предпринято.
D:\Линейка\thefreya.com\dsetup.dll (Malware.Gen) -> Действие не было предпринято.[/code]
11.11.2012, 11:42
regist

[quote="Anni;938447"]из этих программ не пользуюсь ни одной.[/quote]
деинсталируйте их.

Сделайте новый лог MBAM и hijackthis

+ [LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
11.11.2012, 13:04
Anni

Вложений: 4

я не смогла удалить mail/sputnik пишет: не удается удалить .Нет доступа. Остальные 2 программы вроде удалились. MBAM почему то сохранила 2 файла

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Стал тормозить браузер, пользуюсь оперой

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

а, один из них старый лог
11.11.2012, 13:49
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('D:\Линейка\anabius.ru\dsetup.dll', 'MBAM: Malware.Gen');
QuarantineFile('D:\Линейка\system\DSetup.ab2', 'MBAM: Malware.Gen');
QuarantineFile('D:\Линейка\system\DSetup.dll', 'MBAM: Malware.Gen');
QuarantineFile('D:\Линейка\thefreya.com\dsetup.dll', 'MBAM: Malware.Gen');
QuarantineFile('C:\WINDOWS\system32\ieunitdrf.inf', 'MBAM: ');
QuarantineFile('C:\Program Files\Common Files\jqyrg4inedzz13m', 'MBAM: ');
DeleteFile('C:\WINDOWS\system32\ieunitdrf.inf');
DeleteFile('C:\Program Files\Common Files\jqyrg4inedzz13m');
ExecuteRepair(20);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Delete"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST][B]Внимание: [COLOR="Red"]Для успешного удаления может потребоваться [U]перезагрузка компьютера[/U]!!![/COLOR][/B]

сделайте новый лог MBAM.
11.11.2012, 19:06
Anni

Вложений: 2

я вот не поняла, мне надо запустить AdwCleaner (by Xplode) (запустить имеется ввиду сначала просканировать, потом жать делет, или просто запустить прогу и сразу жать делет?)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

MBAM нового лога не создал, только этот,хотя я проверяла им
11.11.2012, 19:33
regist

Удалите папку
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE]
со всем содержимым.

Запустите MBAM, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE]
Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2012-11-09 (07-32-51).txt
11.11.2012, 21:52
Anni

Вложений: 1

вот лог

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

я не понимаю, что не так сделала, удалила я эту папку %appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs
просканировала компьютер, начала сохранять отчет мне выплыло сообщение что задан неверный путь, т.к. папки этой нет уже, я указала другой, вроде все нормально, сохранилось. При загрузки вложения на сайт мне пишет что файл поврежден. В итоге открыла опять MBAM и с отчетов скопировала.Нереально долго сканирует эта программа, более полутора часов, поэтому отправила этот отчет

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

завтра буду заново сканировать , только незнаю какой правильный путь указать файлу, чтоб он не повреждался.А можно просто из открытого отчета скопировать в текстовый документ и прикрепить?
11.11.2012, 23:35
regist

увы это не тот лог.
[quote="Anni;938725"]отчет мне выплыло сообщение что задан неверный путь, т.к. папки этой нет уже,[/quote]
тогда создайте просто пустую папку Logs ...
[quote="Anni;938725"]А можно просто из открытого отчета скопировать в текстовый документ и прикрепить?[/quote]
[quote="regist;938700"]после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.[/quote]
12.11.2012, 11:36
Anni

Вложений: 1

вроде получилось, отдельное спасибо regist за обьяснение)

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

еще хотела бы спросить, с чем связано, что вчера и сегодня, а особенно во время сканирования MBAM, и загрузки компьютера с самого кейса я слышу ммм, щелкающий звук, не могу сравнить его с чем то) изредка как будто писк?
12.11.2012, 13:47
regist

В логах ничего плохого нет. Деинсталируйте MBAM, удалите карантин AVZ.

- Откройте файл [url=http://df.ru/~kad/ScanVuln.txt][B]ScanVuln.txt[/B][/url]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

придерживайтесь рекомендаций:

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

по поводу звука/шума ничего посоветовать не могу, может просто надо почистить от пыли, может ещё что ...
12.11.2012, 14:00
Anni

а как быть с домашней страницей в опере? в хроме пропал SPEED, а в опере остался
12.11.2012, 15:04
regist

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]
12.11.2012, 16:18
Anni

Вложений: 1

вот
12.11.2012, 23:21
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref HTTP://BROWSERHELP2.RU[/CODE]

что с проблемой ?
13.11.2012, 09:07
Anni

благодарю за помощь, опера открывает домашнюю страницу, все нормально, uVS файла ZOO не создал, там простой текстовый документ.Извините, я не поняла, его нужно архивировать и присылать в карантин? regist,спасибо что уделили внимание, у меня еще 1 вопрос чайника, скрипт из ScanVuln.txt, там надо всю страничку скопировать для скрипта?
13.11.2012, 14:08
regist

[quote="Anni;939176"]там простой текстовый документ.Извините, я не поняла, его нужно архивировать и присылать в карантин?[/quote]
нет не надо.

[quote="Anni;939176"]у меня еще 1 вопрос чайника, скрипт из ScanVuln.txt, там надо всю страничку скопировать для скрипта?[/quote]
да, или чтобы вам было проще

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]begin
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
13.11.2012, 15:49
Anni

буду устанавливать обновления, список немалый... не знаю ток как с SP3 быть. Большое спасибо Вам, regist, за Ваше терпение и содействие.
13.11.2012, 15:59
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\yhoicfh8tvm.exe - [B]Trojan-Ransom.Win32.PornoAsset.beuy[/B] ( DrWEB: Trojan.Carberp.789, BitDefender: Trojan.Downloader.Carberp.BU )[/LIST][/LIST]