Перенаправление на левый сайт при открытии браузера! [Trojan-Downloader.MSIL.Agent.hqd, Trojan.MSIL.Agent.fnfy ]

[COLOR=#333333][FONT=arial]День добрый, нужна помощь![/FONT][/COLOR]
[COLOR=#333333][FONT=arial]При открытии оперы и гугл хрома в адресной строке появляется сайт [/FONT][/COLOR][удалено][COLOR=#333333][FONT=arial], который в течении секунды перенаправляет либо на yahoo.com, либо на [/FONT][/COLOR][удалено][COLOR=#333333][FONT=arial]. Сам ярлык видно, что заражен, потому что в поле обьект прописан этот левый сайт "C:\Program Files\Opera\26.0.1656.60\opera.exe" [/FONT][/COLOR][удалено][COLOR=#333333][FONT=arial]. Видно что вирус новый, потому что все упоминания о нем числятся начиная с 21-го числа.[/FONT][/COLOR]

[COLOR=#333333][FONT=arial]Что не помогло:[/FONT][/COLOR]
[COLOR=#333333][FONT=arial]- лечение ярлыка. Пробовал и пересоздавать его и просто удалять все лишнее с поля обьект и все равно после перезагрузки пк появляется та же проблема. [/FONT][/COLOR]
[COLOR=#333333][FONT=arial]- проверка антивирусными утилитами.[/FONT][/COLOR]
[COLOR=#333333][FONT=arial]- Отключение расширений в браузерах.

[FONT=arial]Делал поиск по реестру по запросу "[/FONT][/FONT][/COLOR][FONT=arial][COLOR=#333333]ads.ads-ki.com". Выдало результат в котором присутствовали записи с этим названием (прикрепляю фото), я их удалил, после этого отошел на час от ноутбука и по приходу(ноутбук не перезагружался) в ярлыках опять появилась эта зараза, а в реестре в строке Star Page опять стоит значение - [/COLOR][/FONT][удалено][COLOR=#333333][FONT=arial].
[/FONT][/COLOR]

Уважаемый(ая) [B]Boogdan[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

+ Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/url]

[ATTACH]529496[/ATTACH]
[ATTACH]529498[/ATTACH]
[ATTACH]529499[/ATTACH]

Логи по правилам где?

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Держите. Ярлык оперы пропал совсем с рабочего стола, после того как провел данное действие, а в хроме убралось вроде все лишнее с поля обьект. ИЕ и Мазила до сих пор заражены

Дубль 2
[quote="thyrex;1220498"]Логи по правилам где?[/quote]

[QUOTE=thyrex;1220498]Логи по правилам где?

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list][/QUOTE]

Извините, может что не понимаю)
Все что написали выполнил, файлик прикрепил

[url]http://virusinfo.info/pravila.html[/url]

Вот

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Богдан\AppData\Roaming\Steam\Reversed\steam.exe','');
QuarantineFile('C:\Users\Богдан\AppData\Roaming\glister\nvm.dll','');
QuarantineFile('C:\Program Files\VPets\VPets.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\xpsp2res.dll','');
QuarantineFile('c:\users\Богдан\appdata\roaming\identities\smfilter.exe','');
QuarantineFile('c:\users\Богдан\appdata\roaming\identities\appservice.exe','');
QuarantineFile('c:\users\Богдан\appdata\roaming\glitz\admin.exe','');
DeleteFile('C:\Program Files\Internet Explorer\xpsp2res.dll','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
DeleteFile('C:\Program Files\VPets\VPets.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VPetsPlayer','command');
DeleteFile('C:\Users\Богдан\AppData\Roaming\Steam\Reversed\steam.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Steam-S-1-8-22-9865GUI','32');
DeleteFileMask('C:\Users\Богдан\AppData\Roaming\Steam\Reversed', '*', true);
DeleteDirectory('C:\Users\Богдан\AppData\Roaming\Steam\Reversed');
DeleteFileMask('C:\Program Files\VPets', '*', true);
DeleteDirectory('C:\Program Files\VPets');
DeleteFileMask('C:\VPets', '*', true);
DeleteDirectory('C:\VPets');
DeleteFileMask('D:\VPets', '*', true);
DeleteDirectory('D:\VPets');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Обновите базы AVZ

Сделайте новые логи

Все сделал!
Вот тут человек с аналогичной проблемой в комментариях пишет, что помогло то, что удалил какие-то записи с автозагрузок.
[url]http://otvet.mail.ru/question/174410371[/url]

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

есть

Поместите в карантин МВАМ все, [B]кроме[/B]
[QUOTE]Trojan.Dropped, C:\Windows\System32\hidcon.exe, , [213018dff099ff379acb86aa09f9827e],
Malware.Packer.Krunchy, D:\??N???????\AFPM7\CA_AllFusion_Process_Modeller_v7.2_by_EDGE.zip, , [ada49c5b9bee7eb89dbeafc2d030669a],
PUP.Keygen.Intro, D:\??N???????\Crossword Forge\CORE10k.EXE, , [72df29ceed9c0432e3ea5fe559ac9a66],
RiskWare.Tool.Vkbot, D:\N??°?±??N??°?°N??°N??°\??N?N??????°\VkBOT\VkBot.exe, , [2c2517e0b5d493a30c183b834db80000], [/QUOTE]

[QUOTE=thyrex;1221515]Поместите в карантин МВАМ все, [B]кроме[/B][/QUOTE]

Подскажите, пожалуйста, а как поместить в карантин нужные файлы?
Потому что сканирование длилось почти 9 часов и не запускать же по второму кругу это все дело

Сканировать заново (можно отметить только диск С)

сделано

Что с проблемой?

Ярлыки зараженные, в поле обьект до сих пор этот сайт. Почистить?...и если да, то как лучше просто очистить поле обьект или пересоздать их? Или оно должно было само очистится?

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]

Опера и Хром вылечился, ИЕ и Мазила нет, хотя и в ИЕ и в мазиле в поле обьект нету посторонних записей. В реестре в поле Start Page до сих пор стоит значение ads.ads-ki.com

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Ой извините, я на автомате уже и прогнал через clearLNK. Вот сами логи с Check Browsers' LNK

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Спустя 2 часа опять вирус вернулся в оперу и хром( Система даже не перезагружалась. Все работало в обычном режиме.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

сделал

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Списался я еще с человеком, у которого была та же проблема и который вылечился. И он говорит, что ему помогло то, что убил какой-то процесс с автозагрузок + потер его корни и на диске. Цитирую:
"C:\Users\admin\AppData\Roaming\glister в этой папке помимо nvm.dll была куча всякого барахла, я сделал следующее: 1) скопировал всю папку glister на флешку (на тот случай, если понадобится восстановить ее) 2) удалил ее полностью, перезагрузил компьютер. Папка восстановилась автоматически и в ней осталось только 2 файла nvm и nvm.dll"

Сделал я свой скрин полных автозагрузок (прикрепляю) и смотрю, что и у меня есть какой-то непонятный процесс reg_svr, который исходит с той же папки, что и у него c:\users\Богдан\appdata\roaming\glister\nvm.dll. Перешел я в эту папку и тут есть 3 файла: nvm, nvm.dll (скрытый) и mss_update.exe (скрытый)...вот на счет последнего файла очень сомневаюсь нужен ли он и не в нем ли вся беда. Что скажите, может удалить его или сделать так как тот человек удалив всю папку?

Пофиксите в HiJack
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ads.ads-ki.com[/CODE]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

Firefox::
FF - ProfilePath - c:\users\Богдан\AppData\Roaming\Mozilla\Firefox\Profiles\u1jlw2z0.default\
FF - prefs.js: browser.startup.homepage - hxxp://ads.ads-ki.com

DirLook::
c:\users\Богдан\AppData\Roaming\Steam
c:\users\Богдан\AppData\Roaming\glitz
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

сделано

Жду ответа из вирлаба по Вашим файлам из вчерашнего карантина

Хорошо, спасибо, ждем

напоминаю про себя на всякий случай)

[QUOTE]C:\Users\Богдан\AppData\Roaming\glister
c:\users\Богдан\appdata\roaming\glitz
c:\users\Богдан\appdata\roaming\identities[/QUOTE]под снос со всем содержимым

Cнес. За это время ИЕ и мазила заново заразились, ну и хром и опера тоже. Провести опять процедуры описанные в сообщениях #21 #25?

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/B92LqRQ.png[/img]

Проблемка)
Подскажите, пожалуйста, как почистить историю вложений, а то уже не могу добавить новые файлы, а старые не нахожу как удалить с архива вложений

[quote="Boogdan;1223729"]Подскажите, пожалуйста, как почистить историю вложений[/quote]Мой кабинет - Вложения

есть

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1485280063-2597048751-2304792302-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-1485280063-2597048751-2304792302-1000 -> {171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} URL = http://websearch.ask.com/redirect?client=ie&tb=FF&o=14594&src=crm&q={searchTerms}&locale=ru_US&apn_ptnrs=FV&apn_dtid=YYYYYYYYUA&apn_uid=AD3E1B3E-1166-4B65-88A2-2477F6C606EF&apn_sauid=BDB12C4E-45CB-4384-A96C-1FE4C93DBA4D
SearchScopes: HKU\S-1-5-21-1485280063-2597048751-2304792302-1000 -> {AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8} URL = http://www.daemon-search.com/search?q={searchTerms}
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
Toolbar: HKU\S-1-5-21-1485280063-2597048751-2304792302-1000 -> No Name - {32099AAC-C132-4136-9E9A-4E364A424E17} - No File
Toolbar: HKU\S-1-5-21-1485280063-2597048751-2304792302-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
FF Homepage: hxxp://ads.ads-ki.com
FF SearchPlugin: C:\Program Files\mozilla firefox\browser\searchplugins\priceru.xml
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

сделано. Ярлыки еще заражены

Check_Browsers_LNK.log новый сделайте

Хром, опера, мазила чистые. Ие заражен

Лог HiJack сделайте