Проблема с https - подозрение на вирус

Разместил в форуме Касперского тему:
------------------------------------------------------
[FONT=Arial]Не работает [/FONT][FONT=Arial]https[/FONT][FONT=Arial] после установки Касперского 6.0.[/FONT]
[FONT=Arial]Выглядит это так:[/FONT]
[FONT=Arial]При обращении к сайту (банковский, платежный) мнгновенно (видимо от сервера) появляется сообщение:[/FONT]
[FONT=Arial]-------------------------------------------------------------------------------------------------------------[/FONT]
[B][FONT=Arial]The requested URL could not be retrieved[/FONT][/B]

[FONT=Arial]The following error was encountered: [/FONT]
[FONT=Arial]The request was rejected because the port it was connecting to[/FONT]
[FONT=Arial]is not configured to receive the protocol being sent.[/FONT]
[FONT=Arial]Please contact your network administrator.[/FONT]

[FONT=Arial]Generated Mon, 28 Apr 2008 04:33:10 GMT by ([/FONT][FONT=Arial][URL="http://www.cisco.com/"][COLOR=#0000ff]Application and Content Networking System Software 4.2.13[/COLOR][/URL][/FONT][FONT=Arial])[/FONT]
[FONT=Arial]-------------------------------------------------------------------------------------------------------------[/FONT]
[B][FONT=Arial]Исходные данные:[/FONT][/B]
[FONT=Arial]На домашнем компьютере (соединение дайал-ап) установлены две абсолютно идентичные [/FONT][FONT=Arial]Win[/FONT][FONT=Arial] Х[/FONT][FONT=Arial]P[/FONT][FONT=Arial].[/FONT]
[FONT=Arial]Одна – общее пользование, другая – видеомонтаж. На первой стоял Касперский, на второй – нет.[/FONT]
[FONT=Arial]Первая при обращении по ССЛ выдает ошибку, вторая работает без проблем.[/FONT]
[FONT=Arial]Моя квалификация - продвинутый пользователь.[/FONT]
[B][FONT=Arial]Что делалось для исправления:[/FONT][/B]
[LIST][*][FONT=Arial]Проверено соответствие [/FONT][FONT=Arial]https 443 [/FONT][FONT=Arial]порту.[/FONT][*][FONT=Arial]Снесен и истреблен в реестре Касперский.[/FONT][*][FONT=Arial]Отключен виндовский файервол. Других программ на трафике нет.[/FONT][*][FONT=Arial]Прочитано все, что нашел в форумах на русском и английском и сделаны все шаманские упражнения на вкладках Эксплорера и пр..[/FONT][*][FONT=Arial]Сверены на соответствие между двумя оперционками (скриншотами):[/FONT][/LIST][FONT=Arial]- службы ;[/FONT]
[FONT=Arial]- ветки реестра, где упоминается [/FONT][FONT=Arial]https[/FONT][FONT=Arial] и [/FONT][FONT=Arial]SSL[/FONT][FONT=Arial].[/FONT]
[LIST][*][FONT=Arial]Проверены[/FONT][FONT=Arial]права[/FONT][FONT=Arial]в[/FONT][FONT=Arial]ветке[/FONT][FONT=Arial]реестра[/FONT][FONT=Arial] [COLOR=black]HKEY_CURRENT_USER\Software\Policies\Microsoft.[/COLOR][/FONT][/LIST][FONT=Arial]И еще что-то….. Может уже забыл.[/FONT]

[FONT=Arial]Прошу помощи, так как полагаю, что причина в установке Касперского.[/FONT]

[I][FONT=Arial]P[/FONT][/I][I][FONT=Arial].[/FONT][/I][I][FONT=Arial]S[/FONT][/I][I][FONT=Arial]. Теперь самое смешное. Терпел эту проблему : есть вторая ОС, есть КПК и пр.[/FONT][/I]
[I][FONT=Arial]Но на днях обновил Касперского 6 на 7 и все попытки проактивироваться закончились крахом.[/FONT][/I]
[I][FONT=Arial]Техслужба на запрос и скриншот ответила - скачивайте ключ.[/FONT][/I]
[I][FONT=Arial]НО активация и получение ключа по [/FONT][/I][I][FONT=Arial]https[/FONT][/I][I][FONT=Arial]!!!![/FONT][/I]
[I][FONT=Arial]----------------------------------------------------------------------------------[/FONT][/I]

[FONT=Arial][FONT=Verdana]После небольшого обсуждения направили на virusinfo[/FONT].[/FONT]
[FONT=Arial][FONT=Verdana]Прочитал правила. Выполнил процедуры согласно правилам, а так же сделал проверку диска и замену secdrv.sys.[/FONT][/FONT]
[FONT=Arial][FONT=Verdana]Выкладываю результаты:[/FONT][/FONT]
[FONT=Arial][FONT=Verdana]1. AVZ[/FONT][/FONT]
[FONT=Arial][FONT=Verdana]2. HiJack[/FONT][/FONT]
[FONT=Arial][FONT=Verdana]3. C GetSys проблема - зависает, похоже ближе к концу (см. скриншот). Запускал несколько раз - зависает в одном месту, а размер лога разный - плюс/минус 800 кв.[/FONT][/FONT]

[url]http://virusinfo.info/showpost.php?p=221625&postcount=2[/url]

[quote=Rene-gad;221626][URL]http://virusinfo.info/showpost.php?p=221625&postcount=2[/URL][/quote]
>Отключите проверку шифрованых соединений.
>Настройка - Проверка трафика - Не проверять зашифрованные >соединения

На траффике нет ничего: Касперский деинсталлирован, файервол отключен, прочих нет.

Да я и в логах ничего не нашел. :> Установка куков разрешена? Попробуйте через другой браузер, напр. Опера., если еще не пробовали, конечно. Удалите темп-файлы и старые куки: [url]http://virusinfo.info/showthread.php?t=10025[/url]

[quote=Rene-gad;221640]Да я и в логах ничего не нашел. :> Установка куков разрешена? Попробуйте через другой браузер, напр. Опера., если еще не пробовали, конечно. Удалите темп-файлы и старые куки: [URL]http://virusinfo.info/showthread.php?t=10025[/URL][/quote]

Разрешена.
Пробовал Оперу.
Все что можно на вкладках эксплорера делал (по советам из поиска),
в т.ч. и это.
Куки удалены, Ад-Аваре пользуюсь регулярно.

[size="1"][color="#666686"][B][I]Добавлено через 51 минуту[/I][/B][/color][/size]

Вопрос всем.

Если это не тема вирусинфо - посоветуйте, пожалуйста, куда лучше обратиться.

Сообщение от коллеги Kuzz
[QUOTE=Kuzz]Первая мысль:
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.ktk.ru:3128[/CODE]
он обязателен?
А отчет об ошибке напоминает сквидовский, и порт - тоже. Если там неправильно настроено/не настроено SSL-проксирование, то ничего хорошего и не будет.[/QUOTE]

[quote=Rene-gad;221667]Сообщение от коллеги Kuzz[/quote]
[FONT=Arial][B]>Исходные данные:
[/B]>На домашнем компьютере (соединение дайал-ап) установлены две абсолютно >идентичные Win ХP.[/FONT]
[FONT=Arial]>Одна – общее пользование, другая – видеомонтаж. На первой стоял >Касперский, на второй – нет.[/FONT]
[FONT=Arial]>Первая при обращении по ССЛ выдает ошибку, вторая работает без проблем.[/FONT]

[FONT=Arial]Может что-то еще сравнить? Службы сравнивал, по реестру вроде тоже (но м.б. что-нибудь пропустил).[/FONT]

Скажите, а Вы после удаления Каспера [URL="http://support.kaspersky.ru/faq/?qid=208635705"]KAVremover [/URL] применяли?

[quote=Rene-gad;221767]Скажите, а Вы после удаления Каспера [URL="http://support.kaspersky.ru/faq/?qid=208635705"]KAVremover [/URL]применяли?[/quote]

Нет, скачаю - попробую.
Спасибо за совет.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

[quote=shus;221965]Нет, скачаю - попробую.
Спасибо за совет.[/quote]
Попробовал.
Говорит "Касперски не обнаружен" (я его вручную вычищал, видать на совесть постарался).

[QUOTE=shus;221965]я его вручную вычищал, видать на совесть постарался.[/QUOTE]Видать ;) Еще одно идиотское предложение: создайте какой-нибудь новый аккаунт с правами админа и попробуйте соединиться оттуда с каким-нибудь https - адресом.

Совсем в порядке бреда: можно попросить сделать логи на той ОС, с которой проходит соединение по https?

Можно посмотреть, кто есть в LSP цепочке обработки TCP, вот этим:
[url]http://www.cexx.org/lspfix.zip[/url]
И потом посмотреть по каждой dll, чья она.
Обычно там немного, в ХР вот эти:
mswsock.dll
winrnr.dll
rsvpsp.dll

[quote=Rene-gad;221974]Видать ;) Еще одно идиотское предложение: создайте какой-нибудь новый аккаунт с правами админа и попробуйте соединиться оттуда с каким-нибудь https - адресом.[/quote]

Не проходит. Пробовал.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Numb;222014]Совсем в порядке бреда: можно попросить сделать логи на той ОС, с которой проходит соединение по https?[/quote]
Сделаю.
Если можно, чуть погодя.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[quote=Alexey P.;222127]Можно посмотреть, кто есть в LSP цепочке обработки TCP, вот этим:
[URL]http://www.cexx.org/lspfix.zip[/URL]
И потом посмотреть по каждой dll, чья она.
Обычно там немного, в ХР вот эти:
mswsock.dll
winrnr.dll
rsvpsp.dll[/quote]

Ради бога, поподробне.
Я хоть и продвинутый, но все же юзер.

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

Всем, кто соучаствует в моей проблеме:

1. Сделал офицальное обращение в Майкрософт, обещали после праздников связаться.

2. После всех упражнений на трех форумах еще раз вдумчиво посмотрел на сообщение об ошибке и предположил:
Это сообщение от провайдерского сервера, которое подразумевает, что у меня проблема с сертификатам или еще чем-то там, что собственно организует механизм шифрования - т.е. как гласит сообщение "порт не сконфигурирован соответствующим образом".
Если сам хттп в порядке, служба хттпс работает, порт хттпс - соответствующий, значит вопрос к протоколу (вернее механизму), который над всем этим.

[QUOTE=shus;222463]
Ради бога, поподробне.
Я хоть и продвинутый, но все же юзер.
[/QUOTE]
Скачайте упомянутую утиль: [url]http://www.cexx.org/lspfix.zip[/url]
Распакуйте из архива и запустите.
Посмотрите в левом окне список dll, участвующих в обработке пакетов TCP протокола. Напишите этот список здесь.
Перечисленные выше
mswsock.dll
winrnr.dll
rsvpsp.dll
можно не писать, они у всех есть. Что кроме них ?

[QUOTE=shus;222463]
Это сообщение от провайдерского сервера, которое подразумевает, что у меня проблема с сертификатам [/QUOTE]У Вас и не должно быть никакого сертификата, он должен быть у криптованной страницы и подтверждать ее подлинность (как напр. сертификаты подлинности фирмы [URL="http://www.verisign.com/"]Verisign[/URL])

[quote=Alexey P.;222479]Скачайте упомянутую утиль: [URL]http://www.cexx.org/lspfix.zip[/URL]
Распакуйте из архива и запустите.
Посмотрите в левом окне список dll, участвующих в обработке пакетов TCP протокола. Напишите этот список здесь.
Перечисленные выше
mswsock.dll
winrnr.dll
rsvpsp.dll
можно не писать, они у всех есть. Что кроме них ?[/quote]

nvprovau.dll (NWLink IPX/SPX/Net Bios Compt...
[IMG]http://virusinfo.info/attachment.php?attachmentid=45941&stc=1&d=1209741424[/IMG]

[quote=Rene-gad;222517]У Вас и не должно быть никакого сертификата, он должен быть у криптованной страницы и подтверждать ее подлинность (как напр. сертификаты подлинности фирмы [URL="http://www.verisign.com/"]Verisign[/URL])[/quote]
Спасибо.
Не очень понятно, но это моя проблема - пошел учить матчасть.

Эмм. А какие галочки стоят у вас в свойствах сетевого подключения?
Если есть галка напротив "NWLink IPX/SPX/Net Bios Compt" попробуйте её убрать.

[QUOTE=shus;222807]nvprovau.dll (NWLink IPX/SPX/Net Bios Compt...
[/QUOTE]
Пришлите эту длл через ссылку для карантина (см. вверху темы).
Вы Novell клиент ставили ?

[quote=anton_dr;222813]Эмм. А какие галочки стоят у вас в свойствах сетевого подключения?
Если есть галка напротив "NWLink IPX/SPX/Net Bios Compt" попробуйте её убрать.[/quote]
Нет даже в перечне.
См.скриншот.

[quote=Alexey P.;222817]Пришлите эту длл через ссылку для карантина (см. вверху темы).
Вы Novell клиент ставили ?[/quote]

1.Novell клиент не ставил. Сетевых подключений кроме дайл-апа не было и нет.

2. Проблемка : просто поиск эту дллку нигде не находит. Займусь повнимательнее - как найду, отправлю в карантин.

[size="1"][color="#666686"][B][I]Добавлено через 51 минуту[/I][/B][/color][/size]

1. Никаким поиском nvprovau.dll не находится.

2. Беда. Занялся самодеятельностью :
с помощью LSPFix сделал REMOVE nvprovau.dll из списка.
Теперь пропала совсем. При перезагрузке компа не появляется.
Найти нигде не могу.

3. В службах включена NetBT.sys (Net Bios через TCP/IP) - это надо или нет.

[QUOTE=shus;222968]1.Novell клиент не ставил. Сетевых подключений кроме дайл-апа не было и нет.
[/QUOTE]
Тогда оно еще более похоже на троян.
[QUOTE]
2. Проблемка : просто поиск эту дллку нигде не находит. Займусь повнимательнее - как найду, отправлю в карантин.

1. Никаким поиском nvprovau.dll не находится.

2. Беда. Занялся самодеятельностью :
с помощью LSPFix сделал REMOVE nvprovau.dll из списка.
Теперь пропала совсем. При перезагрузке компа не появляется.
Найти нигде не могу.
[/QUOTE]
Думаю, это не беда. https заработал ?

Вообще она обычно бывает тут:
c:\windows\system32\nvprovau.dll
можно тупо попробовать добавить её в карантин через AVZ, см. Файл - добавить в карантин по списку. Вообще странно - без этой длл у Вас не должен был работать интернет, т.е. она, видимо, всё же где-то есть.

[QUOTE]
3. В службах включена NetBT.sys (Net Bios через TCP/IP) - это надо или нет.[/QUOTE]
Если это соединение только в интернет - лучше выключить.
Оно бывает нужно только на интерфейсе в локальную сеть, если используется расшаривание директорий в эту сеть. Баловство это, конечно, но люди пользуются таким.

[quote=Numb;222014]Совсем в порядке бреда: можно попросить сделать логи на той ОС, с которой проходит соединение по https?[/quote]

1. Sysinfo.zip - лог первой ОС, но напоминаю, что GetSysInfo виснет и не доводит работу до конца (скриншот прикреплен).
Прикреплено раньше, система не дает повторон прикреплять в этой же теме.


2. Sysinfo2.zip - лог второй ОС, GetSysInfo заканчивает работу корректно.

[quote=Alexey P.;223000]Тогда оно еще более похоже на троян.

Думаю, это не беда. https заработал ?

Вообще она обычно бывает тут:
c:\windows\system32\nvprovau.dll
можно тупо попробовать добавить её в карантин через AVZ, см. Файл - добавить в карантин по списку. Вообще странно - без этой длл у Вас не должен был работать интернет, т.е. она, видимо, всё же где-то есть.


Если это соединение только в интернет - лучше выключить.
Оно бывает нужно только на интерфейсе в локальную сеть, если используется расшаривание директорий в эту сеть. Баловство это, конечно, но люди пользуются таким.[/quote]

Ура !!!! Тема закрыта. Заработало.
Всем огромное спасибо, респект и все такое.
В этом форуме не говорят "до встречи" , но как говорится ...


ДО СВИДАНИЯ!!