sberbank online - перенаправление на ложную страницу

на официальном сайте после введения имени/пароля просят номер телефона, карты и cv. Также нет доступа к каталогу ESET в Program files. Полностью ESET не удаляется и нельзя установить, сообщение - нет прав доступа, бывает сообщение: ошибка при обмене данных с ядром ESET (это уже два дня примерно, до начала работы зловреда) Пытался удалить в реестре записи ESET при помощи CCleaner - не берет, (удаляет, но снова появляются те же записи.). В логе 3 скрипта прога SDL нормальная, давно хорошо работает

Уважаемый(ая) [B]tol[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

просьба посмотреть логи

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Users\Anatol\AppData\Roaming\Microsoft Corporation\olepleRe.cr1', '');
DeleteFile('C:\Users\Anatol\AppData\Roaming\Microsoft Corporation\olepleRe.cr1', '32');
DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility', '64');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NvCplWow64');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Лог AdwCleaner (by Xplode). тоже прислать?

Конечно.

[url="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/url] в HijackThis (в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = 0http://configspacs.com/Wo1yRd/Pt65.uru[/code]

Удалите ESET Smart Security по инструкции из темы [URL="http://virusinfo.info/showthread.php?t=16646"]Инструкции и утилиты для полного удаления остатков антивирусных продуктов[/URL].

Сделайте новый лог HijackThis.

лог R1 - потом я удалил то, что было найдено
лог S1 - что получилось после удаления

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Снова лог R2 (то, что после удаления обнаруженного в логе R1) - (может, S1 это не то)

Лог HijackThis после фикса приложите.

ESET удалился, спасибо, но там пришлось вводить вручную название esetuninstaller и снесло все сетевые настройки, было видно, что после перезапуска сетевая карта (видимо) настраивалась. Перед удалением ESET предлагалось сохранить сетевые настройки, но я не знал, как это делать и мне надо быстрее снести ESET, подскажите пожалуйста на будущее, как сохранять сетевые настройки

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

эот R1 в Hijack не сразу удалился, потом еще раз появился, удалил снова, потом его не стало

Для верности такой лог сделайте.

Скачайте утилиту [URL="https://yadi.sk/d/HeoPGwfQZEaMW"]MiniToolBox[/URL] и сохраните на рабочем столе.

Запустите [U]при подключённом интернете[/U], отметьте следующие пункты:

[LIST][*]Список настроек прокси Internet Explorer[*]Список настроек прокси Firefox[*]Список из файла Hosts[*]Список настроек IP[*]Список настроек Winsock[*]Список последних 10 записей журнала событий[*]Список установленных программ[*]Только проблемных[*]Список юзеров, разделов и размера памяти[*]Список дампа памяти[*]список точек восстановления[/LIST]

и нажмите Старт.

После завершения сбора информации откроется отчет [b]Result.txt[/b], прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

лог MiniToolBox

[QUOTE]========================= Настройки прокси Firefox: ==============================

"network.proxy.autoconfig_url", "http://configspacs.com/Wo1yRd/Pt65.uru"
"network.proxy.type", 2[/QUOTE]
В настройках прокси Firefox удалите URL автоматической настройки сервиса прокси и установите режим "Без прокси". Убедитесь, что после сохранения настроек и закрытия FireFox параметры прокси сохранены.

я стираю [url]http://configspacs.com/Wo1yRd/Pt65.uru[/url] и ставлю настройку без прокси, потом ОК, запускаю Фокс и все там снова находится. Может по-другому надо?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

в настройке "Не использовать прокси для:" находится это - localhost,127.0.0.1 - это надо стереть?

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]Function Get_FF_ProfilePath() : String;

begin
Result := GetEnvironmentVariable('Appdata') +
'\Mozilla\Firefox\' + INIStrParamRead(GetEnvironmentVariable('Appdata') +
'\Mozilla\Firefox\profiles.ini', 'Profile0', 'Path', '');
exit;
end;

var
FF_Profile : String;

begin
ClearQuarantine;
FF_Profile := Get_FF_ProfilePath;
QuarantineFile(FF_Profile + '\prefs.js', '');
QuarantineFile(FF_Profile + '\preferences\prefcalls.js', '');
QuarantineFile(FF_Profile + '\preferences\winpref.js', '');
QuarantineFile(FF_Profile + '\preferences\greprefs.js', '');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/code]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

карантин отправлен

Удалите файл[CODE]C:\Users\Anatol\AppData\Roaming\Mozilla\Firefox\Profiles/0e720pvs.default\preferences\prefcalls.js[/CODE]
и установите заново настройки прокси в FireFox.

спасибо, запись [url]http://configspacs.com/Wo1yRd/Pt65.uru[/url] удалена (URL автоматической настройки сервиса прокси), но настройка Без прокси - не устанавливается, остается настройка там, где URL автоматической настройки сервиса прокси (Я захожу в Фоксе: инструменты - настройки - дополнительно - сеть - настроить. Остается запись тут: Не использовать прокси для: localhost,127.0.0.1 - это надо стереть?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

сейчас настройка Без прокси - действительна

Снова после включения компа сама настройка установилась: URL автоматической настройки сервиса прокси. Было: Без прокси

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Прилагаю скан UVS

Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v3.85.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref HTTP://CONFIGSPACS.COM/WO1YRD/PT65.URU
deltmp
restart[/CODE]
Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.

Удалите Java(TM) 6 Update 24, это устаревшая версия со множеством критических уязвимостей.
Установите [URL="http://www.java.com/ru/download/manual.jsp"]Java 8 Update 40[/URL].

Запустите программу Farbar Recovery Scan Tool. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками "Addition.txt", "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению.

поставил галки только там, где вы сказали, а то, что в Whitelist - убрал: registry, services, drives и проч.- правильно? Логи прилагаю

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Настройка Без прокси все равно сбивается на URL автоматической настройки сервиса прокси

Выполните скрипт в AVZ:[CODE]begin
ExecuteRepair(6);
end.[/CODE]
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-2443142181-4032422986-3370787100-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
AutoConfigURL: [S-1-5-21-2443142181-4032422986-3370787100-1000] => http://configspacs.com/Wo1yRd/Pt65.uru
FF NetworkProxy: "type", 2
CHR Extension: (Переводчик для Chrome 2) - C:\Users\Anatol\AppData\Local\Google\Chrome\User Data\Default\Extensions\djflhoibgkdhkhhcedjiklpkjnoahfmg [2015-01-13]
CHR HKLM\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho [Not Found]
OPR Extension: (Переводчик для Chrome 2) - C:\Users\Anatol\AppData\Roaming\Opera Software\Opera Stable\Extensions\djflhoibgkdhkhhcedjiklpkjnoahfmg [2015-01-13]
Task: {4EAF49AD-CE35-4694-AE9C-B371D3810414} - \Kbupdater Utility No Task File <==== ATTENTION
AlternateDataStreams: C:\Users\Anatol\Downloads\BILLS_ONLINE_ORDER_ACTION.eml:OECustomProperty
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

Без прокси не сохраняется, переходит вниз на URL ....
Сбер работает корректно, на другую страницу не отсылает.

Последите ещё, что с настройками прокси в FireFox.

работает некорректно, в течение сеанса работы настройка Без прокси сохраняется, но после отключения и включения Фокса снова стоит внизу на URL ...

Попробуйте [URL="https://support.mozilla.org/ru/kb/sbros-nastroek-firefox-dlya-poiska-i-ustraneniya-p"]Сброс настроек Firefox[/URL] - если не жалко текущие потерять.

Сбросил, теперь корректно, Без прокси после выхода из Фокса и входа. Неужели все?!:)

Последите за ситуацией пару дней.

Большое спасибо, самому бы ни за что не удалить. Как3вы думаете, стоит обновлять браузер, у новых версий действительно лучше защита, или вирусы и так рассчитаны на обновление браузеров?

Лучше обновлять своевременно и браузеры, и систему, и Java, и приложения Adobe - Adobe Acrobat/Reader и Adobe Flash Player.

При попытке войти в сбербанк через защищенное соединение Касперски, сообщение - Полученный при установке защищенного соединения сертификат не соответствует оригинальному сертификату
Нарушена цепочка сертификатов (ошибка: 0x00030002)
Настоятельно не рекомендуется посещать этот веб-сайт во избежание проблем с безопасностью и сохранением конфиденциальной информации.
Или это Каспер выдумывает, или действует вирус и подменяет сертификат?

Лог MiniToolBox новый сделайте.

лог прилагаю Minitool

Думаю, всё нормально.

Тогоа это косяк Каспера? Он не опознает сертификат Сбера? Вы, наверно, встречали такое?

Не скажу за антивирус Касперского, но нарушение цепочки сертификатов встречал. Вообще, есть повод задать вопрос техподдержке ЛК.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]