Антивирус заблокировал некую страницу, которую я не открывал

Здравствуйте,

Вообще говоря, проверка моя больше профилактическая, т.к. никаких проявлений чего-то непосредственно зловредного не наблюдается, но для успокоения совести, как говорится... С полчаса назад работал в интернете, вкладки были все проверенные, никаких "левых" сайтов; кажется, помню, что начал искать что-то в Гугле и, пока страница грузилась, переключился на чтение другой вкладки. Через несколько секунд AVG мне выдал окно (см. скриншот). Твиттером я пользуюсь, да, но этот адрес вижу впервые, и уж тем более у меня такой вкладки открыто не было. Что это? Кусок чего-то из содержимого, найденного Гуглом в тот момент? (они же сейчас ввели свой Мгновенный Поиск, мало ли). Или же мне действительно стоит бояться чего-то, сидящего в системе?

Да, кстати, там в логах увидите некий Pdf 2 Word - знаю, что троян, но он в этом точно не виноват - в свое время засек его сам, уже давно, но по какой-то причине забыл удалить папку. Он там просто лежал, "обезвреженный и забытый". AVZ вроде как поместил в карантин, так что если надо, этот самый карантин могу прислать, но сам файл, увы, буквально сразу же был удален антивирем.

Кстати, сейчас в HiJackThis заметил строчку про прокси-сервер. Не знаю, насколько это отражает действительность, но в настройках IE использование прокси не задано (сам проверил только что), кроме того, там для текущего подключения (SkyNet) вообще нет "профиля", если я правильно это понимаю, но для Beeline (иногда использую, когда у провайдера проблемы) есть - вот у него в настройках как раз никакого прокси не прописано.

Да, и еще - смотрю сейчас сам на лог, WDICA.sys, PDCOMP, PDFRAME, PDRELI, PDRFRAME - это ок? Судя по выдаче гугла, они каким-то боком относятся к неизвестной мне программе Autoruns?.. И в портах time_wait'ы с приложениями [0]. (Хотя после перезагрузки и перезапуска браузера (с большим количеством вкладок, мб в них было дело) их уже нет).

Плохого не увидел.

А все же насчет прокси, которого я не прописывал и которого я не вижу в настройках сам, но видит HiJackThis?

Процитируйте эти строки HiJackThis

Так вон же, в самом логе:

[quote]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 194.160.76.5:80[/quote]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] эту строку

Сделал. Странно просто, что хоть это и прописано в реестре, в настройках (IE) это никак не отражено, да и 2ip, например, говорит мой настоящий IP-адрес, а не айпи этого прокси.

Чуть тревожно поэтому, вместе с этими драйверами и блоком страницы, которую я не открывал. Мб мне сделать какой-то специализированный лог?

Давайте следаем лог [URL="http://virusinfo.info/showthread.php?t=53070"]МВАМ[/URL]

Вот

Некоторые тревоги точно ложные, но вот 4 каких-то левых параметра в explorer в реестре и system32\lowsec... Хотяя, помнится, в начале января этого года у меня было заражение чем-то вроде sdra64, насколько я помню, эта папка, что называется, "идет в комплекте с ним" - в январе тогда всё успешно излечилось. Дата создания папки, собственно, 9 января 2010 г. и есть. Файл user.ds.lll в ней: 9 создан 9 января 2010 г., 2:46:48, изменен 9 января 2010 г., 2:47:13.

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] -

[CODE]Зараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

Объекты реестра заражены:
HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> No action taken.

Зараженные папки:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.[/CODE]

- Повторите лог МВАМ

Можно только диск C: ? Т.к. на других дисках ничего не найдено (кроме пары ложных тревог на D и G, за которые точно ручаюсь, что ложные или не имеющие к теме отношения, вроде пары кейгенов, к-рых никогда даже не запускал)

Так там и есть только диск С, один файл, остальное не рубим.

Не, я имел в виду, сканировать MBAM'ом только C. :)

Ок, если только уверены, что там ничего криминального.

Ну то есть, C и прилагающиеся "системные места" (реестр и т.п.) - впрочем, это и так по умолчанию сканируется. Я имел в виду, отказаться от D, E, F и прочих - всё, что найдено и записано в лог, я "знаю лично" - половина из них - древние демосцены, лежащие там года с 2005-го, пара так и не запущенных в свое время кейгенов и какая-то тоже древняя, еще с прошлого компьютера, программа знакомого.

Да я понял, отказываемся. Но только это на Вашей совести. Удалять-то будем и лог повторять?

Удалил, сканируется. Просто это не особо быстро происходит.

Собственно, вот

Лог чист, что скажете насчёт проблемы?

Ну, никаких блоков левых страниц больше не происходило (тьфу-тьфу), но я прогнал еще раз AVZ - в списке драйверов все так же WDICA, PDCOMP, PDFRAME, PDRELI, PDRFRAME без описаний. Некоторые сайты описывают эти драйвера как малвар (самих файлов на диске нет). Есть упоминания в реестре, а именно HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\PDCOMP, HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\PDFRAME, HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\PDRELI, HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\PDRFRAME, HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\WDICA, все пять одинаковые по содержанию - ErrorControl 0, Start 3, Type 1.

И еще абсолютно такие же ветки в HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\PDFRAME и т.п. и HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PDFRAME и т.п.

[QUOTE='FynjyZn;706777']WDICA, PDCOMP, PDFRAME, PDRELI, PDRFRAME[/QUOTE] Это нормальные файлы, ссылки в реестре на которые присутствуют почти в любой системе.

Ну тогда, собственно, все ок. Спасибо! :)

Обновите систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
* Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)

* Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3

- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)

- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com/"]тут[/URL]

[B]Снова блок страницы[/B]

Твою ж мать... Рано я радовался. Только что AVG заблочил очередную якобы открытую Хромом страницу. Тоже /twitter/03, только адрес другой. Опять же, ни на какие левые страницы не заходил, и этот алерт случился "при моем бездействии", так сказать (т.е. не при клике и т.п.) Посмотрел Process ID - принадлежит главному процессу Хрома, а не какой-нибудь отдельной вкладке.

Что же я подхватил... Новые логи какие-нибудь сделать?

В теме, которой уже поставлен статус "Излечено", снова неприятности. Т.к. я не уверен, что ее заметят (даже после поста в ней она не выделилась в списке, и у нее по-прежнему статус Излечено), решил просто создать тему по-новой и дать ссылку на старую:

[url]http://virusinfo.info/showthread.php?t=87918[/url]

Если надо продолжать в той, ответьте там, пожалуйста.

[QUOTE]Обновите систему
- SP2 обновите до Service Pack 3(может потребоваться активация)
* Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)

* Microsoft остановил поддержку и выпуск обновлений безопасности для ОС Windows XP без установленного SP3

- Установите Internet-Explorer 8.(даже если Вы его не используете)

- Поставте все последние обновления системы Windows - тут [/QUOTE]Думается мне Вы это игнорировали :) Нет?


Сделайте лог [URL=http://virusinfo.info/showthread.php?t=58309]ComboFix[/URL]

Не проигнорировал, просто не успел еще. Думал завтра этим как раз заняться, но сейчас, я так понимаю, лучше сначала убить заразу? Обновление системы заткнет дыры, но вряд ли избавит от вируса, уже сидящего внутри. Лог Combofix сделал, прикладываю.

Из замеченных в процессе странностей:

1) ComboFix при запуске сказал мне выключить AVG, что я и сделал. Нажал ОК, через пару секунд выскочила [u]пустая[/u] ошибка, после чего компьютер пошел перезагружаться, и дальше уже в досовском окне был сам процесс.

2) Во время Stage 3 выскочила виндовая ошибка о том, что приложение PEV.cfxxe совершило недопустимую операцию и будет закрыто. После этого проверка продолжилась дальше.

3) Stage 49 выполнялась как-то очень долго, хотя не знаю, может, это нормально.

---------------

После окончательной перезагрузки:

1) Google Chrome считает, что он не дефолтный браузер - фигня, поправил
3) Блокнот забыл настройку "переносить по словам". - фигня, поправил
2) Пропала языковая панель рядом с треем. Соотв. галочка стоит, а иконки en/ru нет. При этом языки, как видите, переключаются. - а вот это не поправить...

Может быть, еще что-то, но эти вещи сразу бросились в глаза.

Лог вот. Длл от Агента точно ни при чем, а вот inst.exe...

P.S. Качаю SP3, мне можно прямо сейчас поставить или дождаться результатов по КомбоФиксу, чтобы не изменить ничего с момента скана?

[i]Апд:[/i] А хотя вот, сейчас уже есть иконка en/ru около трея. Не заметил, когда именно появилась и в результате чего.

Хм. То ли это глюки на VirusTotal, то ли у меня, но из-под Хрома я натурально устал ждать загрузки хоть чего-нибудь на странице (Хром находил сайт, все ок, грузил его, но на странице так ничего и не грузилось), а в Файрфоксе кое-как открывается, но безумно медленно. Чуть ли не по строчке в минуту. С интернетом все в порядке, другие сайты открываются шустро. Касперский, Др. Веб и т.п. - тоже.

Или же это какие-то временные проблемы на самом VT?

[i]Апд:[/i] а не, теперь уже все ок с VT.

Глянул в netstat еще - когда вырублено вообще все, хоть как-то связанное с интернетом - никаких соединений нет (иногда, очень редко, раз в несколько секунд прибавляется 50-100 Кб ко входящему трафику, но соединений ни с чем нет). Когда открыт браузер - есть соединение еще иногда (в основном во время активных действий в нем) с парой адресов, принадлежащих гуглу, а еще (не всегда) - unknown.hostforweb.com:http. Вот этот я так и не понял, что это.

[QUOTE='FynjyZn;706851']Лог вот. Длл от Агента точно ни при чем, а вот inst.exe...

P.S. Качаю SP3, мне можно прямо сейчас поставить или дождаться результатов по КомбоФиксу, чтобы не изменить ничего с момента скана?

Апд: А хотя вот, сейчас уже есть иконка en/ru около трея. Не заметил, когда именно появилась и в результате чего. [/QUOTE]Вообще нежелательно прикасаться к ПК во время работы комбофикс...

Установите SP3 и отпишитесь о состоянии

Я не трогал ничего, кроме сообщения об ошибке PEV.cfxxe - без закрытия этого сообщения работа дальше не продолжалась (как только закрыл - stage 3 и другие тут же поехали дальше, причем довольно резво).

Хорошо, вечером поставлю SP3 (сейчас уже "убегаю") и понаблюдаю за ошибкой - она появлялась все-таки весьма нечасто, вон в прошлый раз почти сутки прошли между появлениями.

А из лога Combofix выводы сейчас какие-нибудь есть?

[size="1"][color="#666686"][B][I]Добавлено через 10 часов 48 минут[/I][/B][/color][/size]

Пишу сейчас с ноутбука. SP3 в процессе установки, что смущает - эта самая установка как будто "зависла" на самом последнем этапе - "Завершение установки, Подробно: выполнение очистки". Все остальные этапы (бекап старых файлов, проверка ключа, установка новых) прошли довольно быстро и без ошибок, а сейчас вот. Уже 60 минут (действительно столько, засёк) установка находится на этом этапе "Выполнение очистки". При этом окно не зависшее, свободно двигается, жесткий диск активно используется, рабочий стол периодически обновляется (как при нажатии F5) и, кстати, место на C: скачет от 2 с лишним Гб (примерно столько должно было остаться после установки) до буквально 300-400 Мб, постепенно уменьшаясь и потом снова увеличиваясь.

Мне стоит беспокоиться? Ответьте поскорее, пожалуйста, насиловать компьютер перезагрузкой во время этого я не рискну, но мне кажется, что это не совсем нормально. В конце концов, установка уже прошла, а эта самая "очистка" уже длится больше часа и то жрет место на диске С, то возвращает его обратно. Бред какой-то. Вырубать компьютер, думаю, мб опасно, но не держать же его "вечно" в таком состоянии...

[size="1"][color="#666686"][B][I]Добавлено через 1 час 6 минут[/I][/B][/color][/size]

Спустя еще где-то с полчаса SP3 все-таки закончило ставиться, сожрав в результате места на C: больше, чем обещало.

Итого: поставил SP3, IE8, все апдейты. Насчет проблемы, если честно, не знаю - она же появлялась в почти случайное время и не очень часто. Посмотрю, что будет. Если надо, могу опять какой-то лог сделать.

Переименованный inst.exe (который был в Application Data) из карантина ComboFix'а, может, залить/прислать куда-нибудь?

После всего этого вконтакте выдает такое: (см. вложение)

Что это? Правда или подмененная страница? Как узнать? В заголовке http://vkontakte.ru/login.php?act=change_pass&<...>

Сделайте новые логи AVZ и hijackthis

Вот

Да, кстати, в Application Data рядом с inst.exe (которого там, разумеется, уже нет) есть pcouffin.cat, pcouffin.ini, pcouffin.txt и (!) pcouffin.sys. Судя по ini, было установлено некое pcouffin от VSO. Там же рядом есть vso_ts_preview.xml.

Оппа, сам у себя заметил только что в AVZ:

catchme
Драйвер: Выгрузить, Удалить, Отключить, Удалить через BC catchme Не запущен C:\DOCUME~1\User1\LOCALS~1\Temp\catchme.sys
Скрипт: Kарантин, Удалить, Удалить через BC Base

Еще есть C:\Qoobox\Quarantine\catchme.txt и (o_O) посмотрите, где нашлась хрень:

Это от компонентов Комбофикс

Хм, точно? Несколько ссылок говорят, что "бывает от комбофикс, а чаще всего бывает кейлоггером" (учитывая, что у меня с контактом... там еще пока не рискнул вводить пароль)

В смысле, не подумайте, что сомневаюсь в вас, просто из того, что сам пока успел найти. Да и нахождение "страницы" в "Моем компьютере" (причем по клику правой клавишей по этому "файлу" выдается меню на английском, хотя система русская) выглядит, ну прямо сказать, очень странно.

Я так понимаю, если я удалю combofix, как описано в соотв. теме, этот catchme должен пропасть, и вот если нет, тогда действительно нехорошая вещь?

Да, и... что с логами?

P.S. Проверил вконтакте.ру со своим логином и паролем с другого компьютера (совершенно точно чистого) - при входе в учетку там тоже предлагают сменить пароль, т.к. рассылался спам. Так что в подлинности страницы я теперь уверен (правда, пока еще не заходил / не менял), другое дело, что чего мне стоит опасаться теперь. Это был кейлоггер, или пароль откуда-то еще программа "достала", или что. Ну и, соответственно, хотелось бы знать, сидит ли у меня еще что-то до сих пор. Пароли к другим сайтам, слава богу, целы.

[i]Апд:[/i] Занятно, попытка удаления ComboFix в точности, как описано в той теме (с ключом /u) привела к полнейшему его игнорированию и прогону теста снова. :)) Вы не просили, конечно, но раз уж он сделался... Может, будет полезным.

Из всяких подозрительных вещей (просто перечислю):
папки "temp" (пустые), созданные в C:\Documents and Settings\LocalService\Local Settings, C:\Documents and Settings\NetworkService\Local Settings, C:\Documents and Settings\User1\Local Settings, C:\WINDOWS\system32\config\systemprofile\Local Settings и C:\Documents and Settings\User1\Application Data\Mra\**@**.ru - созданы почти одновременно

В частности, C:\Documents and Settings\User1\Local Settings\temp\~DF9214.tmp

C:\Documents and Settings\User1\Local Settings\Apps\2.0 - создана совсем недавно, там папки 11DKTPDR.RCD, DJ358AR7.O4T, PW7T3RTM.GZ2, RHOL3Q03.9PH, внутри находится примерно такое: C:\Documents and Settings\User1\Local Settings\Apps\2.0\PW7T3RTM.GZ2\N2KJYDYH.TO4\clic...exe_9a8dfcd080ccb114_0001.0002_none_19406a31b53cc9d1

батники с именами вроде A0005473 в C:\System Volume Information\_restore{B9249E0B-1E2E-49D9-BE0D-E131D19A0FDC}\RP93

Хотя, может, это у меня уже сверх-подозрительность, не знаю... Это из файлов, измененных в последние полтора часа. Хотелось бы узнать мнение, насколько это все опасно, и насчет логов.

Вроде как пока что все в норме. Два вопроса по последствиям от combofix:

1) пропало переключение языков рядом с треем, хотя собственно переключение происходит. Однако не всегда (иногда приходится несколько раз жать alt+shift, чтобы сработало).

2) иногда ([u]очень[/u] редко) маленькие странности с русскими символами - в DOS-приложениях, кажется, сменилась кодировка (вроде бы точно такая же смена, как в логе комбофикса в именах папок с русскими именами), еще неправильная кодировка в диагностических вещах, запускаемых до собственно ОС (вроде СканДиска и т.п.), а также на одном сайте в заголовках текстов, генерируемых на странице уже в процессе просмотра - хотя, мб, это их собственный временный глюк, выглядит это примерно как Ирада -> [квадратики]а[квадратик]а.

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 3 минуты[/I][/B][/color][/size]

Да, и еще, только что. На C в районе 1.5 - 2 Гб свободного места было, вдруг в трее всплыло уведомление, что на C кончается место. И правда - 150 Мб вдруг стало. Через несколько секунд и одно моргание рабочего стола (как при F5) - стало 2.12, то есть примерно как раньше, ну плюс-минус чуть-чуть. В общем, поведение примерно как при установке SP3. Это что вообще было?

Догадываюсь, что успел подзадолбать всем этим, но все-таки показалось странным.

[url=http://virusinfo.info/showpost.php?p=500136&postcount=2]Удалите[/url] комбофикс

Я же говорю - я вводил именно с этим ключом (да, без опечаток, пробовал и /Uninstall, и /u), но этот ключ, похоже, игнорировался, и combofix просто начинал сканирование.