Пострадавшим от фишинговых страниц Сбербанк-Онлайн

Добрый день!
Сразу хочу оговориться и извиниться, я не успел прочитать правила подготовки новой темы и выполнил запуск AVZ с опцией “Выполнять лечение-Спросить у пол-ля». Правда никаких интерактивных вопросов в ходе проверки не последовало. Поэтому запуск по рекомендуемому вами скрипту оказался вторичным и лог, очевидно, не будет содержать ранее найденного. Прошу прошения, но именно поэтому для начала прилагаю не только 2 требуемых файла (система 64 бита), но и предыдущий файл лога AVZ с нестандартным именем, иначе картина будет неясной. Далее, хотел как можно более подробно описать в скриншотах ситуацию, но нельзя, очевидно. Может, после запросите…Тогда пока словесное описание:
Есть ноут Windows 10 64bit с IE11 и Chrome и десктоп с WinXP и FF, оба выходят попеременно через одно и тоже ADSL инет-соединение МГТС. На ноуте рабочая учетка с правами админа, но не встроенного аккаунта админа. Сразу скажу, на компьютере проблема не замечена. Проблемный – ноут, он используется для информационных, новостных целей, безобидной с виду игры, а также Сбербанк-онлайн(частота захода раз в месяц), по развлекательным сайтам не ходит, правда обменивается флэшкой с десктопом. На сотовом телефоне не установлено ни какого мобильного клиент-банка. Как таковых антивирусов, FW не было установлено ни где.
Внезапно однажды войдя на привычную страницу входа в сбербанк-онлайн, как всегда последовало СМС от банка с номера 900 с одноразовым кодом, а после входа такое же привычное уведомление СМС о факте входа, но увидел непривычную картину в виде подмененной страницы (кстати, именно такой. как я выяснил позже, нет на странице предупреждения Сбера).<скрин предполагается>
Я на тот момент не знал, что даже на сайте сбера есть описание фишинговых страниц и что такое существует в принципе, но подумал, что это некое нововведение и ввел 3 цифры номера. <скрин предполагается>
Тут уже подозрение резко переросло в тревогу, я разорвал соединение, ничего не продолжал, снял все эти картинки, а позже закрыл крестиком окно. Не описываю последовавшие блокировки карты и мобильного банка. Скажу только, что на проблемном ноуте сразу было установлено антивирусное ПО Касперского Free, в самых тяжелых настройках был пройдено сканирование, включая поиск возможных руткитов. Результат отрицательный, заражений нет. В ОС дополнительно включил нативный Firewall, уровень безопасности в IE выставлен Выше среднего. Плагин Касперского для проверки ssl-сертификатов включен как в iE, так и в FF.
Тем не менее, уже после перевыпуска новой карты, а также связанного с этим получения новых аутентификационных данных для сб-онлайн я вновь попытался зайти с этого ноута в систему. Значок ssl-сайта был зеленым, сертификат банка проверен Касперским (это возникло от внедренного плагина?) и подтвержден. Тем не менее, в следующих попытках входа он выглядел как в аттаче (а ведь легитимный сайт сбера защищен вроде Thawte и период действия сертификата не тот), тут пример недоступности страницы регистрации по нажатию одноименной кнопки фишингового сайта.<скрин предполагается>
Снял исходный код страницы, url которой всегда выглядит вот так:
[URL]https://online.sberbank.ru/PhizIC/confirm/mobile1.do/?id=186&h=3c2a2338305e75237644746fd059a536[/URL]
или так [URL]https://online.sberbank.ru/PhizIC/confirm/way4.do/?id=207&p=mob&h=9331537189aa6d81a8bf06acd967de3a[/URL]
Первый вариант при заходе Firefox, второй IE. Сам исходный код файла way4.do, если интересно, готов приложить.

Важный нюанс. С использованием того же провайдера, но на компьютере, который также был протестирован на предмет вирусов тем же бесплатным антивирусом и также ничего не было найдено, в т.ч. и AutoConfigURL, был сделан удачный пробный заход с новыми аутентф. данными через FF в личный кабинет сб-онлайн. Все было удачно, без фишинговых страниц. Причем тексты пар СМС, соответствующие успешному входу и неуспешному (на зараженном ноуте) полностью идентичны, за исключением собственно паролей, конечно.

[U]ТЕПЕРЬ о ТОМ, ЧТО СДЕЛАНО до прочтения правил, [/U]ибо сам форум был найден позже.
Прогнал AVZ 4.46, предварительно сделав из меню Файл-Резервное копирование снимок до лечения на всякий случай. Лог приложил бы, да нельзя пока. Из серьезного, как мне кажется , он нашел заполненный каким-то piterame.com AutoConfigURL в текущем аккаунте и удалил его. НО!! Он так излечил мне систему, что, во-первых, собственно проблема все равно осталась в FF, а вот [B]IE вообще не открывает [/B]никакую страницу в инете: вводишь абсолютно любой url и ноль реакции ,никаких шибок на экране. Рядом живущий FF все открывает. Может восстановить файл User_iE_<дата>.reg или откатить еще как-то?

Прогнал также hijack, ничего не фикся , лог прилагаю.

Файл хостов содержал единственную незакоменченную запись со 127,0,0,1 unusualperson.com, но дата модификации файла старая, гораздо до возникновения проблемы, но на всякий случай закоментарил и её.
Что изменилось при входе единственно работающего на зараженном ноуте браузера FF после лечения AVZ? Это то, что не поступает второго СМС от банка о факте успешного входа, как было ранее…

Пожалуйста, жду вашей помощи, какие шаги предпринимать далее?!

Уважаемый(ая) [B]fuzzy[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

Спасибо за скорый отклик!
Что характерно, я точно смотрел ,что ни в ветке HKCU, ни в ветке соответствующего пользователя {......} не было ключа AutoConfigURL. И даже при его отсутствии проблема сохранялась, и IE к тому же не работал вообще. Прогон FRST вновь выявил гадость. Ну, убрал...
p.s. извините, не вижу , как в быстром, а не расширенном режиме ответа прикреплять Требуемые файлы?

[QUOTE=fuzzy;1382845]Прогон FRST вновь выявил гадость. Ну, убрал...[/QUOTE]
Давайте, раз уж сюда пришли - без самодеятельности.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
CHR HKU\S-1-5-21-1422821301-2940809417-614508225-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
AutoConfigURL: [S-1-5-21-1422821301-2940809417-614508225-1000] => hxxp://piterame.com/OlShm96a/9CnD2w.euk
SearchScopes: HKLM -> {2fa28606-de77-4029-af96-b231e3b8f827} URL = hxxp://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF
SearchScopes: HKLM-x32 -> {2fa28606-de77-4029-af96-b231e3b8f827} URL = hxxp://eu.ask.com/web?q={searchterms}&l=dis&o=HPNTDF
2016-03-16 20:26 - 2016-03-16 20:26 - 0000000 ____H () C:\Users\fuzzy\AppData\Local\BIT2BC3.tmp
2016-03-22 21:41 - 2016-03-22 21:41 - 0000000 ____H () C:\Users\fuzzy\AppData\Local\BIT4649.tmp
2016-03-20 22:34 - 2016-03-20 22:34 - 0000000 ____H () C:\Users\fuzzy\AppData\Local\BIT6F76.tmp
2016-03-17 20:56 - 2016-03-17 20:56 - 0000000 ____H () C:\Users\fuzzy\AppData\Local\BIT78EC.tmp
2016-03-24 14:56 - 2016-03-24 14:56 - 0000000 ____H () C:\Users\fuzzy\AppData\Local\BITE177.tmp
2016-03-19 17:14 - 2016-03-19 17:14 - 0000000 ____H () C:\Users\fuzzy\AppData\Local\BITFEF1.tmp
2016-03-16 20:26 - 2016-03-16 20:26 - 0000000 _____ () C:\Users\fuzzy\AppData\Local\{344E39FE-4C55-4FF2-B0CC-FF36DBBC8C8C}
2016-03-22 21:41 - 2016-03-22 21:41 - 0000000 _____ () C:\Users\fuzzy\AppData\Local\{4D58A920-D11A-48A2-B641-5AFEAC13F1E8}
2016-03-19 17:14 - 2016-03-19 17:14 - 0000000 _____ () C:\Users\fuzzy\AppData\Local\{5D3910DD-FFBF-427D-9A3D-9A3E388263F3}
2016-03-17 20:56 - 2016-03-17 20:56 - 0000000 _____ () C:\Users\fuzzy\AppData\Local\{991206CF-652C-4C91-BDF4-9109547D529A}
2016-03-24 14:56 - 2016-03-24 14:56 - 0000000 _____ () C:\Users\fuzzy\AppData\Local\{B9108BB6-C0FA-4A80-96AE-B4E49041DE1F}
2016-03-20 22:34 - 2016-03-20 22:34 - 0000000 _____ () C:\Users\fuzzy\AppData\Local\{EDD4FCD4-F125-40F5-B1DA-9F88A63A4161}
Task: {148026BC-1C83-49C5-B753-960E54A18A23} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {3B8D2F98-C10D-4B20-A931-CDA7D5EB8CE6} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {3E07D359-705A-4E20-88B9-DD302D4AFC3B} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {444D0256-617D-4871-BB24-4AE5F1666091} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {4801B3A6-8C9F-4253-A8A8-3C79F2BCA7D1} - \MirageAgent -> No File <==== ATTENTION
Task: {52A0A49B-2FBB-4B59-AC10-45AE8001ECCB} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {57335379-F59B-44EC-AEC0-69E4D15FF5A3} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {75420599-2492-4B8D-95B0-0216AC2293F1} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {C19263C8-8F71-4A80-B456-A4810D9A4140} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {D22AA53F-C067-4D9B-8C6F-89D4AEBD7DF9} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {FA55A13F-0E2C-4B9A-BB79-03E8ABAEB246} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\Temp:10D14739 [216]
AlternateDataStreams: C:\ProgramData\Temp:6EB5A6F9 [228]
RemoveProxy:
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[QUOTE=fuzzy;1382845]p.s. извините, не вижу , как в быстром, а не расширенном режиме ответа прикреплять Требуемые файлы?[/QUOTE]
Никак.

1. Браузер IE по-прежнему не открывает ни один сайт
2. в HKCU и HKEY_users вновь прописаны [url]http://piterame.com/OlShm96a/9CnD2w.euk[/url], именно Http, а не hxxp, т.е. HKU\S-1-5-21-1422821301-2940809417-614508225-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\AutoConfigURL
3. лог прикладываю
4. по-прежнему существует непустой:
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings
5. на месте удаляемого HKU\S-1-5-21-1422821301-2940809417-614508225-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings присутствует странное и заполненное двоичным значением имя некоего параметра в виде 3х ромбиков со знаками вопроса внутри
6. HKU\S-1-5-21-1422821301-2940809417-614508225-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings благополучно осталось нетронутым
7. HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\ - Что именно удалялось, не ясно. Но по факту сейчас там есть ключи от HP, Java и ATI.

Как вы смотрите вот на такое с точки зрения доп. шагов по удалению в safemode не только Autoconfigurl, но и параметра ProxyEnable и ProxyServer (у меня его нет), и снятие автоопределение настроек в свойствах подключения IE:
[url]https://www.youtube.com/watch?v=5cxc9zuMi1g[/url]

[QUOTE=fuzzy;1382888]Как вы смотрите вот на такое с точки зрения доп. шагов по удалению в safemode не только Autoconfigurl, но и параметра ProxyEnable и ProxyServer (у меня его нет), и снятие автоопределение настроек в свойствах подключения IE:[/QUOTE]
Думаю, простое обновление не поможет.

Компьютер в домене? Какие-либо групповые политики установлены? Если нет -примените такой fixlist.txt:[CODE]GroupPolicyScripts: Restriction <======= ATTENTION
GroupPolicyScripts\User: Restriction <======= ATTENTION
RemoveProxy:
EmptyTemp:
Reboot:[/CODE]
Прикрепите новый Fixlog.txt и сообщите результат.

Что Вы имели в виду под обновлением? Каким? В ролике вроде бы ничего про это, только про совет удалять ключи ProxyEnable и ProxyServer. Я про них и спросил.

Домашний компьютер не в домене, какие-либо групповые политики специально мной не устанавливались, поэтому выполнил Ваш новый фикс. Перегруз. Сразу в реестр, но там вновь сидит AutoconfigURL в 2х местах, видимо никак не мувится фиксом...
Далее обрадовался - IE однократно после установления инет-соединения вышел на сайт, наобум взятый из избранного. Но рано, через несколько секунд уже не захотел ничего открывать.
В общем все по-прежнему. Дело серьезное? Другие советуемые на форуме в схожих ветках фишинга утилиты не помогут?

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Запустил, прилагаю. Утилита с обширным функционалом, но до указаний ничего не делаю. Жду

Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
delref HTTPS://CHROME.GOOGLE.COM/WEBSTORE/DETAIL/LPEEAGHDJMHLAKOJJCGFDHGCEJDAEFMI
delref HTTP://PITERAME.COM/OLSHM96A/9CND2W.EUK
delref %SystemDrive%\PROGRAM FILES (X86)\WILDTANGENT GAMES\APP\BROWSERINTEGRATION\REGISTERED\0\WTAPP_PRESENCEDETECTOR.DLL
delref %SystemDrive%\PROGRAM FILES\JAVA\JRE1.8.0_31\BIN\WSDETECT.DLL
delref {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBC}\[CLSID]
deltmp
restart[/CODE]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Сообщите, что с параметром AutoconfigURL,

Autoconfig Url нет ни в одном из 2х мест в реестре уже спустя 5 мин после загрузки.
Но проблема с не открытием IE любого сайта остается.
Новое же то, что теперь в Chrome при входе по одноименной кнопке в Сбербанк-онлайн сам браузер пишет, что соединение не секьюрно, что ssl-сертификат недействительный, вижу ,что issuer неверный, и https в адресной строке перечеркнут. Кроме того, как и ранее кнопка Регистрация рядом со входом сбера ведет якобы на несуществующую страницу. Всего этого безобразия нет на действительном сайте Сбербанка.
Что делать далее?

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].

Не помогает, ситуация никак не изменилась по отношению к каждому браузеру. Намеренно ввожу сайты, на которых ранее вообще не бывал никогда. Мне кажется, в отношении IE стал какой-то глобальный запрет в настройках Windows.
И фишинг несмотря на отсутствие удаленной причины не побежден.
Может еще CCleaner прогнать дополнительно?
Ранее ,еще перед началом обращения на форум я предварительно перед лечением AVZ сделал бэкап текущего состояния. На тот момент IE был хотя бы рабочим в части открытия сайтов. Бэкап состоит из нескольких .reg файлов, в частности из User_IE_20160522-144932.reg. Целесообразно восстановить его полностью или можно прислать вначале для анализа? Только вот даже маленький не прикрепляется, у меня достигнут какой-то лимит...

Упакуйте .reg файлы в архив, не влезет - загрузите его на rghost.ru и дайте ссылку.
Попробуйте [URL="https://support.google.com/chrome/answer/3296214?hl=ru"]Сброс настроек браузера Chrome[/URL] и [URL="https://www.google.ru/chrome/cleanup-tool/"]Инструмент очистки Chrome[/URL].

Плохая новость. Сегодня загрузился, вновь AutoconfigUrl в 2х местах.
Действительно существует лимит кол-ва закачанных файлов или ограничение по общему их размеру от одного пользователя? Нельзя ли мне удалить часть из них как Вами уже просмотренных?
Залил на rghost.ru ( [url]http://rgho.st/8yFhP88bg[/url] ), время хранения файла архива со всеми сделанными avz reg-файлами предварительного бэкапа 5 дней.
Также залил [url]http://rgho.st/8S4jdBtxF[/url] всю ветку Internet Settings реестра, вдруг какие-то еще ключи там дадут наводку...
Инструмент очистки хрома написал "Ничего не найдено" и в конце также предложил сделать сброс своих настроек ,что я уже делал.
И еще, по форуму сайта. Каков период таймаута бездействия после залогинивания на форум и в процессе написания и подготовки сообщения? Такое ощущение, что он катастрофически мал, постоянно в процессе подготовки Вам сообщения натыкаюсь на отсутствие прав дальнейшего редактирования или сохранения, приходится logoff/logon на форум.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я не прекращаю попыток бороться с этой заразой, но я уже нервничаю.
Дополнительная информация. Новые файлы залил [url]http://rgho.st/8LYWgCj4L[/url]
Это найдено проверкой реестра из-под AVZ.
Уже позже натолкнулся на такую же проблему у иностранцев (с выявленными мною тоже ключами), которые и реанимируют гадость при каждой новой загрузке.
Забэкапил подозрительное и удалил. Службу "Вспомогательная служба IP", ответственную за iphlpsvc, остановил и запретил. Без нее Интернет на IPv4 работает, в т.ч. на https, но почему-то не на все сайты. Например, сотовый оператор МТС и некий банк в ЛК дают зеленый ssl-сертификат, а вот Сбер и ВТБ - предупреждение системы безопасности.
iphlpsvc-Proxymgr.reg это тот кусок реестра, который пока остался вместе с CLSID-ами в HKLM.
Перегрузился. Опять autoconfigurl везде!!!!
Тогда забэкапил на всякий случай подветку ProxyMgr и удалил под корень эти 2 CLSID-а в HKLM, возможно и они причина возрождения.
Перегрузился. Реестр пока везде чист. НО!!! По-прежнему не могу открыть IE ничего, а Chrome натыкается на незащищенную страницу Сбера.
Я в отчаянии.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Правильно ли я понял ,что общение по данной теме закончено со вашей стороны?

[QUOTE=fuzzy;1383069]Правильно ли я понял ,что общение по данной теме закончено со вашей стороны?[/QUOTE]

Нет. Просто нет возможности круглосуточно отслеживать тему.
[SIZE=1][b]Info_bot[/b] выше дал ссылку на вариант привилегированной помощи.[/SIZE]

Бэкапы реестра посмотрю, пока проверьтесь утилитой [URL="http://support.kaspersky.ru/downloads/utils/capperkiller.exe"]CapperKiller[/URL].

Проверил, 0 угроз. Скоро перепробую все ваши утилиты
По поводу плюсового сервиса ,я уже туда писал через форму, до сих пор нет ответа. Вопрос был, как понимать отсутствие среди списка поддерживаемых платформ Windows 10?

Просто упустили, дополним.

Попробуем добить гада.

Примените такой fixlist.txt в Farbar Recovery Scan Tool:[CODE][-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\iphlpsvc\Parameters\ProxyMgr\{9D3582F4-9CB6-4BC1-8726-22151DF60114}]
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\iphlpsvc\Parameters\ProxyMgr\{E430A06E-9C61-4983-9953-003C140F2A05}]
RemoveProxy:
EmptyTemp:
Reboot:[/CODE]
После перезагрузки - новый Fixlog.txt приложите и результат сообщите.

Я могу сделать, но я фактически уже удалил ,как писал выше,в реестре эти 2 классида как из CCS, так и из копии CS001. И перегружался. Твари больше нигде в реестре нет, но и результата работоспособности тоже, ибо видимое проявление заразы осталось прежним ,точно также как и мертвость IE!
Все-таки пробовать через FRST?

Тогда так пока сделайте. Запустите FRST, в окно поиска вставьте [B]AutoConfigUrl[/B] и нажмите [B]Search Registry[/B]. По завершению откроется файл с результатами, приложите его.

Неистребима тварь ,вновь там в 2 местах
Наверное, она подгружается из инета постоянно, я же в нем сижу.
Но в HKLM CLSIDов не образовалось.

Но с другой стороны, что с этими autoconfigurl, что без них - неустраивающий результат один и тот же.

Есть ли тулза, которая не просто будет мониторить на лету модификацию реестра, но и поймет и запишет в лог, какой процесс, когда и от имени какого аккаунта это делает?
Может тогда вычистить реестр в очередной раз, создать нового не привилегированного пользователя ,каким-то образом отобрать у него права на запись в определенные ветки реестра, и уже только под ним заходить работать в надежде ,что с новым профилем пользователя будет все хорошо , в т.ч. и в его экземпляре IE?

"Из интернета" саамо такое не загружается.
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
RegKeyParamWrite('HKEY_USERS', 'S-1-5-21-1422821301-2940809417-614508225-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
RegKeyParamDel('HKEY_USERS', 'S-1-5-21-1422821301-2940809417-614508225-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'AutoConfigURL');
end.[/code]
Сообщите, что выдаст программа.

Если не поможет - будем искать причину дальше.

Да, первый параметр вставился со значением 0, второй удалился. Написал, что скрипт выполнился без ошибок.
[U][B]ВАЖНОЕ ДОПОЛНЕНИЕ!!![/B][/U]
Помните, в моем посте #6 я писал про
"5. на месте удаляемого HKU\S-1-5-21-1422821301-2940809417-614508225-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Int ernet Settings\Connections\\DefaultConnectionSettings присутствует странное и заполненное двоичным значением имя некоего параметра в виде 3х ромбиков со знаками вопроса внутри"

Так вот эти 4 ромбика скорее всего те же самые буквы соединения с именем МГТС. А оно у меня действительно есть. Прикол в том, что тут же рядом с этим параметром есть такой же параметр, но уже с правильными буквами МГТС. А вот во внутренностях его, в двоичном коде (если раскрыть параметр) явным образом виднеются этот самый piterame.com. И в третьем присутствующем в этой ветке параметре SavedLegacySettings тоже самое содержимое.

При детальном рассмотрении почти идентичны между собой только SavedLegacySettings и МГТС, а вот именно "ромбики" и есть видимо оригинальное прошлое (до заражение) чистое соединение, ибо внутри нет piterame.com. Поэтому зараза после уничтожения вновь прет ко мне ТОЛЬКО после установления зараженного соединения через "МГТС"

Заменил двоичным содержимым внутри оригинальной строки без твари две остальные строки и пересоздал новое ADSL соединение. Возможно, эти строки можно и не держать, а удалить вовсе. Новое все равно создается не в этом месте.
Итог, фишинговая страница ушла, хромом вхожу нормально, IE начал открывать сайты, включая сбер, каспер говорит, что ssl сертификат нормальный.
Но все же именно ослом по кнопке Вход сбера висит и ничего не открывает, хотя в регистрацию пускает правильно.

Издержки всего этого лечения скриптами - похерен MS Office starter без возможности восстановления, т.к продукт был OEM. Задели.

[QUOTE=fuzzy;1383430]Помните, в моем посте #6 я писал про
"5. на месте удаляемого HKU\S-1-5-21-1422821301-2940809417-614508225-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Int ernet Settings\Connections\\DefaultConnectionSettings присутствует странное и заполненное двоичным значением имя некоего параметра в виде 3х ромбиков со знаками вопроса внутри"[/QUOTE]
Можно привести экспорт этих веток реестра?

[QUOTE=fuzzy;1383430]Итог, фишинговая страница ушла, хромом вхожу нормально, IE начал открывать сайты, включая сбер, каспер говорит, что ssl сертификат нормальный.
Но все же именно ослом по кнопке Вход сбера висит и ничего не открывает, хотя в регистрацию пускает правильно.[/QUOTE]
Попробуйте сброс IE, правда, возможно, придётся переустановить надстройки. "Свойства обозревателя" -> "Дополнительно" -> "Сброс...".

[QUOTE=fuzzy;1383430]Издержки всего этого лечения скриптами - похерен MS Office starter без возможности восстановления, т.к продукт был OEM. Задели.[/QUOTE]
Это, похоже, Ваша самодеятельность "Восстановлением системы" в AVZ.

[QUOTE=Vvvyg;1383436]Можно привести экспорт этих веток реестра?
Попробуйте сброс IE, правда, возможно, придётся переустановить надстройки. "Свойства обозревателя" -> "Дополнительно" -> "Сброс...".
[/QUOTE]

А в этих параметрах не содержится логин-пароль к соединению для всеобщего обозрения?

Такой сброс несколько раз до этого делал (пока IE не работал). И сейчас сделал, нужно перегрузиться. Но всегда из 3х или 4-х шагов первый, "Сброс пользовательских настроек" с красным крестиком, т.е. якобы невозможен.

А может быть непрогрузка страницы со входом в Сбер следствием того, что я ранее, столкнувшись с проблемой недействительного ssl-сертификата фишинговой страницы, запретил во всплывающем окне Касперского Free, уже тогда стоявшего у меня, ходить на этот сайт по https? Вот только не помню, делал я это в IE или в хроме. Может эта настройка в Каспере запомнилась и теперь по правилу тоже не пускает? Имеет значение в этом случае для антивируса, из какого браузера я создал такое "правило"?

[QUOTE=fuzzy;1383480]А в этих параметрах не содержится логин-пароль к соединению для всеобщего обозрения?[/QUOTE]

Упакуйте с паролем, пароль - мне в личные сообщения.

Опять лимит превышен. [url]http://rgho.st/8hNgnCFRF[/url] В личку отправлю.

Не ответили на второй вопрос насчет запрета в касперском. Или есть иная причина? Ибо после сброса и перегруза все по-прежнему, пыжится открыть и без результата. Стал пробовать другие сайты, которые хром открывает, тоже просто долго грузит, либо зависает системно, либо потребляет до 25% ЦП даже на открывшемся одном сайте (всего 1 закладка). Что-то в нем после всего.

Думаю запрет в антивирусе распространяется на сайт. Возможно, для приложения IE тоже какие-то ограничения задали.
В безопасном режиме с поддержкой сети как?

Единственное ,что я "настраивал", это нажал кнопку Разорвать соединение, когда в касперском всплыло предупреждение ,что сертификат недействительный. Не знаю, что за этим действием кроется у него, но пролазив в его настройках, не нашел занесенного в черные списки сайта или приложения IE. Однако, и при отключенной службе антивируса картина с браузером такая же.

Никак. По F5 вошел якобы с поддержкой сети, но adsl-Соединение не логинится.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.81.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

Exec wevtutil.exe epl System system.evtx
Exec wevtutil.exe epl Application Application.evtx
Exec wevtutil.exe epl Security Security.evtx
Exec pack\7za.exe a -t7z -sdel -mx9 -m0=ppmd:o=32:mem=512m Events.7z *.evtx[/code]
В папке с UVS появится архив [B]Events.7z[/B], загрузите его на rghost.ru и дайте ссылку в теме.

rghost перестал (у меня одного?) работать, поэтому [url]http://файлообменник.рф/g2j01ggn3z73.html[/url]
На всякий случай вложил в архив и созданный вместе с эвентом текстовый лог

Поддержка касперского советовала просто установить однократно их сертификат, распространяющийся на все поддерживаемые ими браузеры (хром, осел, лис). И якобы проблем не будет, а как такового перманентного запрета входа на сайт, от прохода на который когда-то единожды отказался, нет. Я сделал, но ничего кардинального не произошло.

Rghost иногда бывает недоступен.

Не нравится мне то, что в журналах множество ошибок дисков, большая часть относится, скорее всего, к сменным носителям, но и к HDD тоже. Нет проблем с дисками? От этого любые глюки могут вылезти.

СМенных носителей не было во время съема логов. На диски не жаловался. Есть только выявленная проблема с невозможностью войти вновь созданным пользователем из-за автоматического не создания системой соотв. нового профиля. Оказывается не у одного меня такая проблема после миграции с семерки на десятку. Причина в битой папке default, а сем ее заменить ,если нет дистриба windows?

В журналах записи о сбоях - за весь май.

Дистрибутив 10-ки можно скачать с помощью [URL="https://www.microsoft.com/ru-ru/software-download/windows10"]средства для создания носителя[/URL].

имеете в виду Eventlog? там о дисках ничего подозрительного.
Под рукой нет свободной флэшки размером больше 2 Гб, нужно от 3х. Мне нужно же только временно. Попробовал создать iso c размещением не на DVD, а в директорию на харде, тем более предлагает указать путь. Потом бы расковырял iso-Образ. Средство, не успев начаться, завершается с фразой Запуск не удался в силу неизвестной ошибки и ее код.
P.S. Нашел флэшку. Но результат оказался тем же плачевным. Не запускается средство. Зря только удалил информацию с флэшки, готовя ее.

Мы постепенно все дальше уходим от основной проблемы. Папка default мне нужна была только для того, чтобы создав нового пользователя войти от него и попробовать запустить им IE, может будет лучше. Хотя верится с трудом

А что у вас с форумом, куда пропали последние мои посты в этой теме и ваши ответ после сбоя и невозможности входа на сайт? Их было 38 шт. Восстановили старую копию?

[quote="fuzzy;1384036"]Восстановили старую копию?[/quote]Увы, именно так

Теперь бы восстановить или заменить хэлпера, а то решение буксует.

Мне не приходили извещения об ответах.

Решение буксует отчасти из-за Вашей пытливости и самостоятельности. В чём-то это дало положительный результат, а вчём-то только добавило проблем. Точек восстановления нет, как я вижу. Попробуйте через файл User_IE_20160522-144932.reg откатить ситуацию с IE.