Вирус, максирующийся под privoxy.exe, и прочие вредоносные программы.

Здравствуйте.

Обнаружил, что на компьютере есть программа privoxy со своей службой, которая ставит в настройках всего, что выходит в Интернет (в том числе Настройки Интернета в панели управления Windows), прокси через локалхост, который по идее должна добавлять рекламу во все мои браузеры. Проблема в том, что несмотря на любое удаление или использование CureIT/KVRT в Безопасном режиме, Привокси возникает снова и снова после перезагрузки через день-другой, несмотря на то, что ловить мне его больше негде, так как мой Firefox обвешан NoScript, Ghostery и прочими вещами. Эти две антивирусные программы, CureIT/KVRT, кстати, ведут себя странно, то принимают Привокси за вирус, то нет, иногда находили целые трояны, а после не находят ничего.

Пункт первый Диагностики не выполнял, потому что у меня 64-битная система, поэтому лога всего два.

Уважаемый(ая) [B]Кирилл Терещук[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.

Пожалуйста.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
ProxyServer: [S-1-5-21-239968906-637643123-3086194783-1000] => 127.0.0.1:8118
CHR HKU\S-1-5-21-239968906-637643123-3086194783-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [bknbnapaddjdnbilpmlacdkjdkjmbjhd] - hxxp://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-239968906-637643123-3086194783-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fcfenmboojpjinhpgggodefccipikbpd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bknbnapaddjdnbilpmlacdkjdkjmbjhd] - hxxp://clients2.google.com/service/update2/crx
S4 PrivoxyService; C:\Program Files (x86)\Softcomp Software\privoxy.exe [371200 2015-11-30] (The Privoxy team - www.privoxy.org) [File not signed] <==== ATTENTION
2015-11-25 20:52 - 2013-12-05 19:55 - 00000000 ____D C:\Users\wangjihua
2015-11-25 20:52 - 2013-12-05 19:14 - 00000000 ____D C:\Users\wangzhisong
C:\Program Files (x86)\Softcomp Software
Task: {91E7FFCF-2CF4-4777-B410-B4B125368A2F} - \Admin Cleaner -> No File <==== ATTENTION
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Пожалуйста.

Проблема решена?

Если честно, понятия не имею. Он всегда через пару дней появлялся снова, поэтому так сразу трудно сказать.

Само собой такое не появляется. Что-то запускаете или устанавливаете нехорошее.

Загрузите SecurityCheck by glax24 [URL="http://virusinfo.info/soft/tool.php?tool=SecurityCheck"]отсюда[/URL] и сохраните на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.

К сожалению, я не могу скачать эту программу оттуда, даже после регистрации: "У Вас нет прав для просмотра этой страницы или для выполнения этого действия."

upd: по ссылке не работало, но я зашёл в тему вручную и скачал. Вот лог:

[QUOTE]Windows Firewall (MpsSvc) - The service has stopped[/QUOTE]
Системный брандмауэр лучше включить и настроить, снижает угрозу проникновения.

[QUOTE]Windows Defender (disabled and up to date)[/QUOTE]
Тоже лучше включить, какой-никакой а антивирус.

[QUOTE]Microsoft Silverlight v.5.1.40620.0 [color=red][b]Warning! [url=http://www.microsoft.com/getsilverlight/]Download Update[/url][/b][/color]
Bonjour v.3.0.0.10 [color=red][b]Warning! [url=http://www.apple.com/ru/support/bonjour/]Download Update[/url][/b][/color]
iTunes v.12.1.2.27 [color=red][b]Warning! [url=https://www.apple.com/itunes/download/]Download Update[/url][/b][/color][/QUOTE]

Эти приложения лучше иметь обновлёнными, есть уязвимости, используемые для взлома системы.

Бонжур удалил, Сильверлайт и айТьюнс обновил. Спасибо! Пока вроде прокси не появляется.

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Спасибо вам огромное за помощь!

Здравствуйте, а как-то можно переоткрыть тему? Просто произошло то, о чем и я говорил, после пары дней затишья всё вернулось:

- настройки браузера Firefox сбросились (замечал такое раньше, обнулились все исключения NoScript и Ghostery, хистори, настройки плагинов, настройки интерфейса и приватности), прокси браузера установилась на "использовать системную прокси"

- в системную прокси прописалась локальная прокси

- появились adware Privoxy и HDFG web

Заметил я это только потому, что программа HDFG web вылетела с ошибкой, о чем система выдала уведомление

При этом я не включаю никаких екзешников и прочих подозрительных файлов из сети, плагины против скриптов стоят, да и вообще я никогда ранее не ловил столь приставучую заразу. То есть, я никогда не был настолько глупым юзером, что постоянно ловил мелвейр и трояны. Такое ощущение, что она таки прописалась где-то в системе и всегда через некоторое время возникает вновь. Это не завязано ни на какие мои действия, просто вычищаю и через пару дней набор появляется заново. Может, это какой-то глубокий троян или руткит? Я слышал, что ставящий привокси троян как-то встраивается в браузер..

Флешками не пользовался долгие годы..

Обновите базы AVZ - и новые логи, как вначале...

Держите.. Фарбар и пройтись CureIT нужно?

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Program Files (x86)\Application Installer\ApplicationInstaller.exe', '');
DeleteFile('C:\Program Files (x86)\Application Installer\ApplicationInstaller.exe', '32');
DeleteFileMask('C:\Program Files (x86)\Application Installer', '*', true);
DeleteDirectory('C:\Program Files (x86)\Application Installer');
DelBHO('{CCF151D8-D089-449F-A5A4-D9909053F20F}');
DelBHO('{0C4CC089-D306-440D-9772-464E226F6539}');
ExecuteFile('schtasks.exe', '/delete /TN "Application Installer Uninstaller" /F', 0, 15000, true);
DelCLSID('{dd230880-495a-11d1-b064-008048ec2fc5}');
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Далее делайте логи FRST, дополнительно установите галочку "90 Days Files".

Пожалуйста.

Примените такой [B]fixlist.txt[/B]:[CODE]CreateRestorePoint:
(The Privoxy team - www.privoxy.org) C:\Program Files (x86)\Softcomp Software\privoxy.exe
R2 PrivoxyService; C:\Program Files (x86)\Softcomp Software\privoxy.exe [371200 2015-12-08] (The Privoxy team - www.privoxy.org) [File not signed] <==== ATTENTION
2015-12-08 18:48 - 2015-12-08 18:48 - 00000000 ____D C:\Program Files (x86)\Softcomp Software
Reboot:[/CODE]
После перезагрузки прикрепите Fixlog.txt.

Пожалуйста.

Последите какое-то время, думаю, установщик privoxy тоже зачистили.

Спасибо.

Там не только привокси, а целая эпидемия, недавно был какой-то HDFG web и куча левых процессов. Я послежу, но не закрывайте, плиз, тему, у меня плохое предчувствие насчёт этого..

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]