Пообщался в Одноклассниках....

После обращения к странице odnoklassniki.ru появилось ссобщение от DrWeb'a о том, сто некий архив с трояном просятся в cache4 (папку Opera), типа в куки хотят. Ессно, нажал "запретить", однако, сообщение появлялось через некоторое время снова. Подозреваю, что запуск малвари основан на допуске жабаскрипта, применяемого на вышеуказанном сайте.
Через некоторое время обнаружил, что некорректно работает explorer, папки не открывает, а сразу сворачивает на панель "пуск", которая там отсвечивает, пока еще раз не нажмешь. После проверки системы DrWeb'ом нашел шесть штук какой-то гадости в папке cache4. Все удалил, однако, после нового выхода в сеть доктор снова начал ругаться на сохранение малвари в ту же папку. Самое интересное, что когда я зашел на virusinfo, доктор опять выбросил флаг о запрете сохранения в указанную папку зараженного архива. АВЗ что-то нашел, посмотрите, пожалуйста....

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('StarWindServiceAE');
QuarantineFile('StarWindServiceAE.sys','');
QuarantineFile('C:\windows\hffext\hffsrv.exe','');
QuarantineFile('C:\windows\hffext\hffkbd.dll','');
QuarantineFile('C:\WINDOWS\hffext\HFFExt.dll','');
TerminateProcessByName('c:\windows\hffext\hffsrv.exe');
QuarantineFile('c:\windows\hffext\hffsrv.exe','');
DeleteFile('StarWindServiceAE.sys');
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 2 правил

Архив закачан. Сделал повторные логи, на всяк случай, по-моему,изменений пока нет...

Да, чуть не забыл. Какого-то х... в "моем компьютере" после проверки АВЗ появилась папка "Веб-папки". Думаю, что этот пассажир без билета...

так и должно быть в эталонной системе .... но можно и убрать
[code]
begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
end.
[/code]
логи делать никто не просил .... пока

Пишет "Скрипт выполнен без ошибок". Это все?

дальше немного подождем ответ вирлаба , по поводу карантина

ОК.:140:

Опять вири лезут!!!:O

HFFExt.dll, hffkbd.dll, hffsrv.exe_, rwiped.exe_, Test_D3D10.exe_
Вредоносный код в файлах не обнаружен.
У вас есть локальная сеть ?

Нет, я на домашнем...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=V_Bond;286465]HFFExt.dll, hffkbd.dll, hffsrv.exe_, rwiped.exe_, Test_D3D10.exe_[/QUOTE]
Три последних точно ни при чем...

[QUOTE=Вячеслав12;286466]Нет, я на домашнем...
[/QUOTE]
подключение к интернет какое ?

Удалите Ваш профиль Оперы или переименуйте его. Опера при этом д.б. закрыта. Запустите Оперу по новой.

Подключение ADSL через роутер. Да, похоже, что дырка в опере, у меня их почему-то две оказалось...

[size="1"][color="#666686"][B][I]Добавлено через 38 секунд[/I][/B][/color][/size]

Удалю полностью всю оперу и установлю по новой...

[QUOTE=Вячеслав12;286471] Удалю полностью всю оперу и установлю по новой...[/QUOTE]
Не исключено, что старый профиль при этом останется в
C:\Documents and Settings\user\Application Data\Opera (скрытая папка) !!!
Надо после удаления сначала ввести поиск по оставшимся папкам Оперы до того, как её заново установить!
PROGRAM FILES\Opera\UnInst\Install.log проверьте какие папки именно Опера устанавливает. Сохраните копию этого файла на рабстол для удобства потом...

Paul

Переустановил, естественно, после полного удаления ВСЕХ папок опреы в машине. Новые логи делать для очистки совести?:?
Теперь еще и корзина полностью не освобождается... Опять....:skull:
Чего дальше делать-то?
Тупик?

Сюда загляните: [url]http://virusinfo.info/showthread.php?t=30250[/url]

Вот что снова лезет в папку cache4 при переходе теперь уже на сайт Rambler.ru:
Exploit.Slider.3
Exploit.PDF.4
Exploit.Slider.4
Несмотря на все усилия, в т.ч. переустановку оперы, атака продолается. Система оснащена SP 3, все возможные дыры были предварительно залатаны при помощи руководства, имеющееся на сайте. Brain.exe и Hands.dll работают в прежнем режиме...:oops:

Что-то еще у Вас сидит и качает...А в Файрфоксе или в ИЕ та же проблема?

Гугль хром юзаю, но в нем нет такой траблы. IE не использую принципиально, дырка на дырке, файрфокс глючит, не юзаю. Сейчас перейду на гуглу...

[QUOTE=Вячеслав12;287314]Гугль хром юзаю, но в нем нет такой траблы. IE не использую принципиально, дырка на дырке, файрфокс глючит, не юзаю. Сейчас перейду на гуглу...[/QUOTE]
Гугла - оно еще новое и непонятное. Интересно ИЕ или Файрфокс, можно еще SeaMonkey попробовать.
ПС: киньте в личку страницу, где Др.Веб орет.

[QUOTE=Rene-gad;287315] ПС: киньте в личку страницу, где Др.Веб орет.[/QUOTE]
И мне тоже, пожалуйста. :) Желательно даже со скриншотом...

Paul

[QUOTE=Rene-gad;287315]
ПС: киньте в личку страницу, где Др.Веб орет.[/QUOTE]

Я так понял, что это все бессистемно происходит.Вчера-позавчера это были [url]www.odnoklassniki.ru[/url], сегодня [url]www.rambler.ru[/url]. Завтра попробую IE. На работе тоже использую опреу, таких проблем нет...:?

выполните скрипт
[code]
begin
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/code]
Повторите лог по п.2 Диагностики
ПС: У меня никаких проблем нет...

Подумал: а хрена ждать до завтра... IE молчит, как партизан на допросе. Моя любимая Опера оказалась с дырой...:attent:

[QUOTE=Вячеслав12;287326]Подумал: а хрена ждать до завтра... IE молчит, как партизан на допросе. Моя любимая Опера оказалась с дырой...[/QUOTE]
А откуда она у Вас? С офсайта?

[QUOTE=Rene-gad;287323] ПС: У меня никаких проблем нет...[/QUOTE]
У меня тоже нет; единственное общее между двумя страницами:

_http://www.tns-counter.ru/V13a
и
_http://www.tns-counter.ru/V13b

Paul

Пардон, отвлекся на выполнение скрипта. Скрипт выполнил.
Опера с официального сайта, версия 9.52, последнее обновление. Ранее таких глюков замечено не было.
Как сделать лог по пункту 2 диагностики? Не вкурил. У меня доктор, в правилах указано, что если доктор, то этот пункт нужно пропустить. Или имеется ввиду со 2 пункта все по новой?

[QUOTE=Вячеслав12;287339] Ранее таких глюков замечено не было.[/QUOTE]
А глюки не появились сразу после того, как вы установили Гугл Хром?

Paul

[quote=p2u;287337]У меня тоже нет;
Paul[/quote]

Вот я и в панике, на работе у меня все в порядке. Да и другие бродилки себя нормально чувствуют... хм...

[QUOTE=Вячеслав12;287339].
Как сделать лог по пункту 2 диагностики? Не вкурил. [/QUOTE]Курим вместе ... 8)

[quote=p2u;287340]А глюки не появились сразу после того, как вы установили Гугл Хром?

Paul[/quote]
Глюк появился 2 дня назад, когда я просто решил из оперы зайти в рамблер новости почитать. Зашел, блин... Доктор стал вопить, что в папку cache4 влез какой-то засранец, да еще и не один. Я их не пустил. Потом решил проверить всю систему, он мне и выдал, что там вот эти товарищи уже второй пузырь открывают, обосновались, в общем. Удалил их, как мог, стал глючить сначала explorer, затем корзина...:?

[QUOTE=Вячеслав12;287345] cache4 [/QUOTE]
Мне хотелось бы знать какие файлы лежат в этой папке с расширением [b].js[/b].
Можно искать в этой папке через AVZ - сервис - поиск файлов на диске
Задаём параметр поиска так: [b]*.js[/b]
и ищем в папке (я предпалагю, что Др. Веб реагирует именно на это место):
[code]Буква диска:\Documents and Settings\Ваш Профиль Windows\Application Data\Opera\Opera\profile\cache4[/code]
(можно задать в дереве с лева)
передайте имена всех файлов с таким расширением.

Paul

[quote=p2u;287359]Мне хотелось бы знать какие файлы лежат в этой папке с расширением [B].js[/B].

Paul[/quote]

Browser.js - единственный файл в этой папке.
Что касается логов - вот они. Прошу прощения за то, что не сразу въехал в изменение правил Диагностики - они меняются быстрее, чем я пользуюсь лечением машины... Предыдущий пункт 2 Диагностики, любовно отправленный на принтер пару месяцев назад, уж устарел оказываиццо....:rtfm:

c:\windows\hffext\hffsrv.exe
Сами установили? Это программа для скрытия файлов и папок, которая часто используется зловредами для того, чтобы скрыть файлы...

Paul

[QUOTE=p2u;287386]c:\windows\hffext\hffsrv.exe
Сами установили? Это программа для скрытия файлов и папок, которая часто используется зловредами для того, чтобы скрыть файлы...

Paul[/QUOTE]

Сам установил. Ранее в подобной реакции замечена не была. Снести?:(

[QUOTE=Вячеслав12;287491]Сам установил. Ранее в подобной реакции замечена не была. Снести?:([/QUOTE]
Нет, не обязательно. Это был просто контрольный вопрос. :)

Paul

[QUOTE=p2u;287502] Это был просто контрольный вопрос. :)

Paul[/QUOTE]

В голову....;)

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Я так понимаю, что оперу снова надо снести?:237:
Что-то не очень хочется с IE возиться, у меня к нему отвращение. С Firefox надо сидеть разбираться, что к чему, настраивать.... блин....

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]