Постоянное обращение к вредоносному сайту

[B]Здравствуйте ![/B]
Опишу свою проблему с самого начала.

Сначала при загрузке рабочего стола стала вылезать ошибка Explorer.exe.
После этого появлялся пустой рабочий стол.
Установленный антивирус - нод32.
После загрузки в защищенном режиме комп. мог загрузиться нормально, но при следующей перезагрузки проблема повторялась.
С этой проблемой справился с помощью восстановления с точки двухнедельной давности.
После этого решил проверить комп на вирусы....
Установил программу [B]Malwarebytes Anti-Malware[/B].
Программа стала выдавать сообщения следующего вида:
[B]Malwarebytes Anti-Malware
Была предотвращена попытка доступа к вредоносному сайту:
90.156.178.40[/B]

Полностью проделал все описанные процедуры...
И не один раз.
Но сообщения продолжают все так же появляться.
Причем их появление совпадает (как мне кажется) с работой [B]Firefox[/B].
[B]Если возможно, помогите ! SOS ![/B] :(:(:(

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\totalcmd\cglptnt.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\regguard.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\rwdyz.sys','');
DeleteService('uamdkvmyk');
DeleteFile('C:\WINDOWS\system32\drivers\rwdyz.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Выполните скрипт из этой темы [url]http://virusinfo.info/showthread.php?t=43700[/url]

Сделайте новые логи

все сделал, перезагрузил - обращение к вредоносному сайту не исчезло пока...
действую далее - выполню скрипт с указанной вами страницы и пришлю новые логи.
вот карантин -

Читайте внимательно, как нужно прислать карантин

Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

[QUOTE=thyrex;659595]...
Сделайте лог [URL]http://virusinfo.info/showpost.php?p=493610&postcount=1[/URL][/QUOTE]

сделал

Что теперь с проблемой?

После перезагрузки (после окончания работы программы ComboFix), выдало сообщение об ошибке explorer...
Из диспетчера перезагрузил...
Загрузилось нормально.
Вредоносный сайт так же зовет в гости.:(
При работе firefox.

Поищите в FireFox неизвестные дополнения

Проверьте в ярлыке для запуска FireFox, не приписался ли какой-либо "хвост" к исполняемому файлу

все дополнения отключил, хвоста нет...
проблема осталась.
в логе avz ушли красные строки...
но осталась только одна -
[COLOR="Red"]CmpCallCallBacks = 00088F76
Disable callback - уже нейтирализованы [/COLOR]

причем каждый раз - та же строка.

Попробуйте переустановить FireFox с полным удалением его папок на диске.

Проверьте, проявляется ли проблема при работе с другими браузерами

[QUOTE=thyrex;659799]Попробуйте переустановить FireFox с полным удалением его папок на диске.

Проверьте, проявляется ли проблема при работе с другими браузерами[/QUOTE]

Да, проявляется и в IE и в Хроме...

Попробуйте в этих браузерах отключить использование JavaScript и проследить за ситуацией

Лог МВАМ предоставьте. Да и новые логи AVZ тоже

[COLOR="Red"]CmpCallCallBacks = 00088F76
Disable callback - уже нейтирализованы [/COLOR]

В общем осталось только это (при выполнении стандартного скрипта avz).
Вредно это или нет ?

Нет

[B]thyrex[/B],

Большое спасибо за помощь и терпение !
Вы мне ОЧЕНЬ помогли !
С огромным уважением к Вам лично и ко всему вашему коллективу !

Спасибо и Вам за оценку работы

Поскольку отключение JavaScript, я так понимаю, помогло, Вам осталось найти вредоносный скрипт

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

[QUOTE=thyrex;660120]Спасибо и Вам за оценку работы

Поскольку отключение JavaScript, я так понимаю, помогло, Вам осталось найти вредоносный скрипт

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL][/QUOTE]


Нет, Java я не отключал.
Помогло, как мне кажется авто-обновление модуля ComboFix.
После этого обновления я повторил действия по вашей инструкции.
И ушли красные строки все, кроме указанной. И пропало постоянное сообщение о вредоносном сайте.
Так получается, еще надо удалить вредоносный скрипт...
А я подумал было, что победа полная !
Что мне сделать, чтобы убить хада ?

Раз дело было не в отключении JavaScript значит ничего искать не нужно

к моему огромному сожалению, обращение к вредоносному сайту вернулось =(
Как вы и предполагали - причина в скрипте.
Так как при отключении скриптов в браузере, проблема не проявляется.
Как его (скрипт) обезвредить ?

Ищите все файлы с расширением js, собирайте в одну папку, запаковывайте и прекрепляйте к сообщению на форуме

[QUOTE=thyrex;661250]Ищите все файлы с расширением js, собирайте в одну папку, запаковывайте и прекрепляйте к сообщению на форуме[/QUOTE]


Сейчас занимаюсь сопоставлением данных.
оказывается ip сайта, на который я собрался зайти совпал с ip вредоносного сайта...
Вот так было:
Захожу на файлообменник (rghost.ru)
Включил плагин флага в firefox
И увидел, что[B] ip в предупреждении программы Malwarebytes' Anti-Malware
полностью совпадает с ip сайта[/B] !
Но сайт ведь нормальный ?
Но даже дело не в этом...
Может система чистая, а просто программа "сверхбдительная" ?

[QUOTE='mast;661270']Может система чистая, а просто программа "сверхбдительная" ?[/QUOTE]Если срабатывает только МВАМ, то вполне возможно

да, именно так - [B]только[/B] он !
nod32 молчит.
логи avz - чистые пока (с той строкой все понятно).
Буду теперь логи avz почаще смотреть.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]