Printable View
Не открываются любые страницы https. Антивирус - DrWeb8. При тестировании им обнаружен ряд угроз, которые удалены. Тем не менее после этого Dr.Web CureIt! обнаружил зараженный каталог в Program Files с файлами mpk.exe и mpk.dll, который также был удален. Но после перезапуска проблема с https не исчезла.
Уважаемый(ая) [B]DrWlad[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[FONT=Century Gothic][COLOR="#ff3333"][SIZE=3]> Выполните скрипт в AVZ:[/SIZE][/COLOR][/FONT]
[CODE]
begin
ClearQuarantine;
if not IsWOW64 then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
TerminateProcessByName('c:\windows\system32\mscrilkh.exe');
QuarantineFile('C:\WINDOWS\system32\xtgina.dll','');
QuarantineFile('C:\WINDOWS\system32\BeTwinServiceXP.exe','');
QuarantineFile('C:\WINDOWS\system32\mscrilkh.exe','');
DeleteService('Network Adapter Events');
DeleteFile('C:\WINDOWS\system32\mscrilkh.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер будет перезагружен.
> Используйте ссылку "[B]Прислать запрошенный карантин[/B]", которая находится над первым сообщением этой темы, чтобы прислать [B]quarantine.zip[/B].
> Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.
[COLOR="#ff3333"]_________________[/COLOR]
[SIZE=1][URL="http://virusinfo.info/showthread.php?t=7239"]> как выполнить скрипт в AVZ[/URL][/SIZE]
1. Скрипт выполнил. Система перезапустилась, результатов нет: https так и не запускаются в IE8. Пробовал IE8 без надстроек - то же.
2. Выслал карантин.
3. Сделал новые отчеты, высылаю.
Выполните скрипт в AVZ:
[CODE]begin
ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\xtgina.dll','');
QuarantineFile('C:\WINDOWS\System32\BeTwinServiceXP.exe','');
QuarantineFile('C:\WINDOWS\system32\ifkf_mfLEnWa_g.exe','');
DeleteFile('C:\WINDOWS\system32\ifkf_mfLEnWa_g.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LmihNjzSczsUOFeQZJkVKCBFoz');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + Сделайте лог быстрого сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]
Карантин отправил. Логи тоже. После этого запустил IE8 - https не запускается.
Удалите:
[QUOTE]
Обнаруженные параметры в реестре: 1
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|SysDebug32 (Trojan.Agent) -> Параметры: ≑頺暚蚳맲ʄﮧ뼀ﭿ䞹켧ꢄ챠ɕ멭㖅厗ዯ芴溆ཷ乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧¤텮ቼ儔㦋⤜椇떈瀈螰퇎乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧ুᖐꩋ䳮乕鱾༒넧䟩揓쁩륌䜗摠겻乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧乕鱾༒넧㪼ീ㼛 -> Действие не было предпринято.
Обнаруженные файлы: 1
C:\Documents and Settings\Olga\Application Data\txt.exe (Trojan.Downloader) -> Действие не было предпринято.
[/QUOTE]
Удалил, перезагрузил - то же самое (https - не открывается)
1. Можно внести сайт с https в доверенные
2. Проверить в настройках браузера стоит ли галочка на SSL
3. Проверить настроики фаервалла
Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL]
Проверьте не появились ли на компьютере лишние учётные записи с административными правами. Мой компьютер (правой кнопкой мыши) - Управление - Локальные пользователи и группы - Группы - Администраторы - Сделайте скриншот пользователей этой группы.
[b]PavelA[/b]
1. Во-первых, блокируются ВСЕ сайты https, во-вторых нужный мне сайт изначально вставлен в доверенные
2. Галочка на SSL стоит.
3. Фаервола нет, виндовый брендмауэр тоже отключил.
[b]mrak74[/b]
В учетных записях кроме основной ("Olga") есть действующая учетная запись из группы администраторов "SUPPORT_8712". Скриншот я выслать уже не могу, т.к. ее только что удалил. Перезапустил комп - все осталось по-прежнему, удаленная учетка не восстановилась.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Попробовал переустановить IE8. сначала инсталлятор удалил предыдущую версию IE8, причем после перезагрузки появилось сообщение о том, что была ошибка, отправлять ли мол отчет.
Снова запустил инсталлятор ie8 - началась установка и вышло сообщение, что установка не произвелась. В логе ie8.log нашел, почему именно не удалось установить:
Unwriteable key HKCR\.exe
Unwriteable key HKCR\lnkfile
Такое на другом компе уже было, там я изменил в реестре владельца на текщего и поставил ему полные права для этих разделов. На этом же компе это сделать не удалось: "Отказано в доступе".
Сделайте логи [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"][B]RSIT[/B][/URL]
С сертификатами Crypto Pro порядок ?
1. Логи RSIT прикрепил.
2. Сертификаты Crypto Pro на месте. И до заражения они нормально работали.
Выполните скрипт в AVZ:
[CODE]begin
RegSearch('HKLM','','LmihNjzSczsUOFeQZJkVKCBFoz');
SaveLog(GetAVZDirectory+'search.log');
end.[/CODE]
Файл search.log из папки с AVZ прикрепите к следующему сообщению.
Загрузил.
Все найденное, след от трояна, добавил себя в исключения брандмауэра. Необходимо удалить из реестра, предварительно сделав бэкап, для подстраховки. Так же эти следы можно увидеть через Панель управления - Брандмауэр Windows - Исключения, можно и там удалить, но через реестр надёжнее. Самостоятельно справитесь ?
Да.
Действия производимые с реестром, чаще всего срабатывают после перезагрузки. Отпишитесь о проблеме, после удаления этих строк и перезагрузки.
+ менйте пароли, на веббанкинги, почту и т.п.
Удалил ветки, перезагрузил - то же. К тому же брэндмауэр у меня отключен.Сейчас главная проблема в невозможности изменения разрешений к ключам HKCR\.exe
и HKCR\lnkfile - не устанавливается IE8. Уже потом будет основным недоступность hhtps. Хотя и сейчас под IE6 https также недоступен.
Все-таки Доктора на предмет блокировки https надо проверить.
Я инструменты в Докторе8 вижу, да и в Вашем логе тоже.
[quote="DrWlad;974035"]К тому же брэндмауэр у меня отключен[/quote]
Не через службы надеюсь отключали?
[quote="DrWlad;974035"]проблема в невозможности изменения разрешений к ключам HKCR\.exe
и HKCR\lnkfile[/quote]
У SYSTEM и Администраторы должен быть.
Перед установкой IE 8 попробуйте установить [url]http://www.microsoft.com/ru-ru/download/details.aspx?id=18[/url] обновление, сразу после него, попытайтесь снова установить IE8
[b]PavelA[/b]
Да, "попало". Только не по https, а по разрешениям к ключам HKCR\.exe
и HKCR\lnkfile - блокировал именно доктор (8-ка). В превентивной защите разрешил все, и этим ключам удалось поменять разрешения. Так что IE8 установить удалось. Правда при этом комп потребовал перезагрузки и я его выключил: я работаю удаленно через TeamViewer, снова восстановить подключение не могу - рабочий день у клиентов закончился. Так что спасибо, до завтра.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
[quote="mrak74;974039"]Не через службы надеюсь отключали?[/quote]
Нет, через ПУ.
Вобщем все - перзапустил систему.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mscrilkh.exe - [B]Trojan-Spy.Win32.Agent.cglf[/B] ( DrWEB: BackDoor.Termuser.129, BitDefender: Trojan.Generic.KDV.860341, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\xtgina.dll - [B]Trojan.Win32.FakeGina.dl[/B] ( DrWEB: Trojan.FakeGina.9, BitDefender: Gen:Variant.Graftor.43919, AVAST4: Win32:Malware-gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]