Несколько вирей, измененный хостс, вебалта, баннер разблокировки в опере

Здравствуйте! Помогите пожалуйста почистить всю эту нечисть, и привести браузер в порядок.

У девушки на ноуте примерно с начала января MSE обнаруживал вот что:

Exploit: win32/pdfjsc.AEW
Trojan: win32/Foinmer.B
PWS: win32/Fareit.gen!I
Exploit: Java/Blacole
Exploit: Java/CVE-2012-1723
VirTool: win32/Obfuscator.ACP
и еще был openCandy.

При этом везде прописалась вебалта и мэйлру. На половину сайтов не пускает баннер, предлагает разблокировать. В хостс лишние строчки, и удалить их чтото не получается, "только чтение" снимал.

Уважаемый(ая) [B]ekb.maxi[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Пофиксите при помощи hijackthis:

[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mail.ru/cnt/7227
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search

O1 - Hosts: 37.10.117.83 mc.yandex.ru admulti.com counter.rambler.ru counter.spylog.com www.google-analytics.com
O1 - Hosts: 37.10.117.82 m.odnoklassniki.ru m.vk.com my.mail.ru www.odnoklassniki.ru odnoklassniki.ru vk.com wap.odnoklassniki.ru

O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)[/CODE]

Проблема решена?

Нет, не решена, к сожалению.

Баннер блокировки остался, поиск везде мэйлру, вебалта снова стартовой вылезла.

После фикса в хайджэке остается строчка:

[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mail.ru/cnt/7227[/CODE]

Сделайте новые отчеты.

syscure тоже делать чтоль? АВЗ комп сутки сканирует...

[quote="ekb.maxi;964385"]syscure тоже делать чтоль? АВЗ комп сутки сканирует...[/quote]
А зачем вы запускали сканер?

не сканер, а скрипт лечения и сбора инфо для вас, как по инструкции вообщето. Так вот лечение идет оч. долго.

Сделайте только скрипт №2, этого будет достаточно.

Сделано

Судя по этим отчетам все в порядке.
Давайте ещё так сделаем: [url]http://virusinfo.info/showthread.php?t=53070[/url]

Сделано

Удалите все, что обнаружил МВАМ.

Удалил все, кроме медиаджета. Баннер пока вроде не появлялся, а вот вебалта осталась при загрузке браузеров. И поиск мэйлру встает по умолчанию, несмотря на удаление его в настройках...

hijackthis.log сделайте

Вот пожалуйста

В IE никакой вебальты нет. Если она есть в других браузерах - поменяйте стартовую страницу вручную.
Поиск майл.ру вполне легитимный. Скорее всего, в системе присутствует программа guard mail.ru, которая защищает смену поиска и домашней страницы. Ее можно удалить через панель управления.

Доброй ночи! Вообщем я обновил яву, адоб ридер, оперу тоже до последней версии. В хиджаке пофиксил мэйлру. Но:
1) В ИЕ вебальты нет, согласен, но в новой опере она снова вылазит.
2) МСЕ каждый день обнаруживает PossibleHostsFileHijack.
3) Вчера запускал еще раз мбам, лог прилагается, он еще одну бяку находил.
такое ощущение что гдето еще какаято гадость сидит...

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

Пожалуйста

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref /C
delref HTTP://HOME.WEBALTA.RU
zoo %SystemDrive%\XELDZ
regt 14
restart[/CODE]

сделайте новый образ автозапуска.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ посмотрите если после скрипта останутся файлы
[CODE]C:\WINDOWS\TASKS\AT1.JOB
C:\WINDOWS\TASKS\AT2.JOB[/CODE]

то удалите их вручную.

Карантин загрузил, только я не понял поставился пароль вирус или нет.
После ребута ат1 и ат2 нет, проверил.

А почему вы в скрипте написали ссылку [CODE]home.webalta.ru[/CODE], у нас в опере вылазит постоянно [CODE]start.webalta.ru[/CODE]

что сейчас с проблемой ?

старт.вебалта.ру вылазит по прежнему при запуске оперы. В настройках стоит не выдавать домашнюю страницу, а отображать панель быстрого запуска... Опера недавно была обновлена, кэш почищен был.
Все остальное вроде норм.
По поводу отосланного карантина и лога увс вы ничего не прокомментировали.

[quote="ekb.maxi;968064"]старт.вебалта.ру вылазит по прежнему при запуске оперы.[/quote]
Ярлык запуска проверяли на тему наличия там лишнего.

Запустите оперу прямо из директории не с ярлыка.

Спасибо большое, ярлык удалил, сделал по новой, сейчас вроде все ок.
Спасибо за помощь.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]