Проблема с Internet Explorer

Printable View

19.01.2011, 19:55
novivlad

Вложений: 3

Проблема с Internet Explorer

Здравствуйте! Большая просьба помочь восстановить работу IE.
Когда открываю его, то вместо главной страницы грузится какая-то реклама (на весь экран) :"SSEDIC - Building a Thematic Network for European eID" и далее просьба что-то загрузить или написать имэйл о присоединение к партнёрской программе. При введении в строке браузера любого сайта всё равно появляется эта картинка.
Отключал все приложения браузера - не помогло.
Проверял утилитой CureIt - что-то нашла, удалила, но браузер по прежнему не работает.
Антивирус NOD вообще ничего не нашёл;)
Большая просьба помочь. Инструкции по диагностике выполнил. необходимые файлы прилагаю.
Заранее большое спасибо!
19.01.2011, 21:08
V_Bond

160.80.212.80:80 - ваш прокси ?
19.01.2011, 22:36
novivlad

Похоже на мой. Извините, точно не знаю, но по моему этот прокси.
А IP определяется как "Ваш текущий IP-адрес: 62.221.85.99
Ваш хост: 99.85.221.62.dyn.idknet.com" Провайдер указан мой.
19.01.2011, 23:29
novivlad

Вот что ещё нашёл с сайта провайдера - может это поможет: "Серверы DNS 10.211.0.1, 10.211.0.5
217.19.208.18, 217.19.208.19

Диапазон динамических IP-адресов 217.19.208.0 - 217.19.223.255
80.94.240.0 - 80.94.255.255

77.235.96.0 - 77.235.127.255

62.221.64.0 - 62.221.127.255

95.153.64.0 - 95.153.127.255

Почтовый сервер SMTP mail.idknet.com

Почтовый сервер POP3 pop.idknet.com

Файловый сервер

ftp.idknet.com

WWW сервер

[url]www.idknet.com[/url]

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Странно... Может и ошибаюсь - практически все прокси Приднестровья начинаются с 212

[size="1"][color="#666686"][B][I]Добавлено через 33 минуты[/I][/B][/color][/size]

[QUOTE=V_Bond;757509]160.80.212.80:80 - ваш прокси ?[/QUOTE]
Сорри, ошибся в пред. сообщении. нет, это оказывается не мой прокси. Я погуглил и узнал, что это прокси Итальянский. Вот так сюрпризы!
Даю ссылку на источник инфо:[URL]http://www.ip-adress.com/Proxy_Details/160.80.212.80:80:Anonymous[/URL]
20.01.2011, 08:57
V_Bond

пофиксите
[code]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 160.80.212.80:80
[/code]
20.01.2011, 10:45
novivlad

Пробовал. Утилита фиксит, но всё остаётся по прежнему и когда снова сканирую этой-же утилитой - снова выдаёт строку с этим прокси.
20.01.2011, 10:47
V_Bond

выполните [url]http://virusinfo.info/showthread.php?t=53070[/url] + лог hijackthis
20.01.2011, 13:30
novivlad

[QUOTE=V_Bond;757655]выполните [URL]http://virusinfo.info/showthread.php?t=53070[/URL] + лог hijackthis[/QUOTE]

Сделал как вы сказали. Прикрепляю запрошенные файлы.
20.01.2011, 14:21
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\Onm.exe','');
QuarantineFile('C:\WINDOWS\TEMP\Onn.exe','');
DelCLSID('{6B830884-20E3-4AB6-B672-2629F0F72071}');
QuarantineFile('C:\WINDOWS\system32\sshnas21.dll','');
QuarantineFile('C:\Documents and Settings\star\Application Data\CMedia\CMedia.dll','');
DeleteFile('C:\Documents and Settings\star\Application Data\CMedia\CMedia.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{6B830884-20E3-4AB6-B672-2629F0F72071}');
DeleteFile('C:\WINDOWS\system32\sshnas21.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SSHNAS\Parameters','ServiceDll');
DeleteFile('%windir%\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job');
DeleteFile('%windir%\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job');
DeleteFile('C:\WINDOWS\TEMP\Onm.exe');
DeleteFile('C:\WINDOWS\TEMP\Onn.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B] оставшееся из этого
[CODE]
Заражённые ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\UAYQDZP39B (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\UO8KTAT1GY (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SSHNAS (Trojan.Renos) -> No action taken.

Заражённые папки:
c:\documents and settings\star\application data\FieryAds (Adware.FieryAds) -> No action taken.

Заражённые файлы:
c:\system volume information\_restore{b818718c-b285-4c59-829b-2d3b05e42f83}\RP495\A0130134.exe (Backdoor.Agent) -> No action taken.
c:\documents and settings\star\application data\fieryads.dat (Adware.FieryAds) -> No action taken.
c:\WINDOWS\Tasks\{22116563-108c-42c0-a7ce-60161b75e508}.job (Trojan.Downloader) -> No action taken.
c:\WINDOWS\Tasks\{35dc3473-a719-4d14-b7c1-fd326ca84a0c}.job (Trojan.Downloader) -> No action taken.
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 160.80.212.80:80
[/CODE]

- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
- Сделайте повторный лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
20.01.2011, 16:22
novivlad

Всё сделал. Посылаю файлы. Обновить AVZ не удалось. Появляется надпись: " Ошибка в ходе автоматического обновления. Ошибка загрузки файла с описанием обновления avzupd.zip - файл повреждён"
Также при попытке загрузить файл quarantine.zip ваша система выдаёт, что данный файл уже был загружен.
Прикрепить письмом?
20.01.2011, 16:50
polword

Скачайте [URL="http://exfile.ru/151405"]отсюда[/URL] архив с новыми базами, распакуйте его. Удалите папку [B]Base[/B] и скопируйте вместо неё разархивированную. Сделайте новые логи virusinfo_syscure.zip и virusinfo_syscheck.zip.
20.01.2011, 17:10
novivlad

Базы обновил. Новые логи высылаю.
20.01.2011, 17:12
novivlad

Извините, вот корректные логи
20.01.2011, 20:59
regist

[B]novivlad[/B], - Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519]тут[/url]. Результат загрузки напишите в сообщении.
20.01.2011, 22:34
novivlad

Файл сохранён как 110120_223125_virusinfo_files_PCNET_4d388d8dd4f4f.zip
Размер файла 1427097
MD5 f56fc8ee5fc2078d0440aafed7324316
Вот. Также оставил подобное сообщение на той странице на которую вы ссылались.
20.01.2011, 23:40
polword

[QUOTE]Архив 110120_223125_virusinfo_files_PCNET_4d388d8dd4f4f. zip, загружен 20.01.2011 23:00:15, размер 1427097 байт
Всего файлов: 5 (исполняемых 5), из них:
зловреды или опасные объекты: 0
подозрительные: 0
занесены в базу безопасных AVZ: 1
В очереди на добавление в базу безопасных:
высокий приоритет: 1
обычный приоритет: 3[/QUOTE]

что с проблемой?
21.01.2011, 00:31
novivlad

Увы, пока без изменений. IE по прежнему при любом запросе грузит одну и ту же страницу. Я вчера, когда выискивал чей это прокси, то выяснил какой именно организации он принадлежит - по иронии это исследовательская лаборатория в области компьютерных технологий при одном институте Рима, Италия. А на их сайте та же эмблема, что и у меня блокирующая браузер. Если надо, могу прислать вам их данные - может вы список специальный ведёте зловредов всяких)
Да и ещё одна проблема: при поиске (когда случайно в строке браузера ошибочно что-то вводишь) поиск перенаправляется на небезизвестную WebAlta.
21.01.2011, 16:01
novivlad

Может что-то ещё сделать? Или IE не излечим?
25.01.2011, 16:37
novivlad

Я извиняюсь, может что-то ещё сделать для устранения проблемы?
26.01.2011, 06:46
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('ujic.sys','');
DeleteFile('ujic.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог [COLOR="Blue"][B]virusinfo_syscure.zip[/B][/COLOR]
31.01.2011, 19:49
novivlad

Здравствуйте. Несколько дней назад я нашёл в regedit этот IP и удалил - был в папке где настройки интернета. Потом сбросил IE, перезапустил - браузер заработал нормально. Но hijack всё равно находит его, но он вроде больше не мешал. Случайный поиск также переходит на якобы домашнюю WebAlta во всех браузерах.
Сейчас выполнил все ваши скрипты. Файлы прикрепляю. Единственно - при загрузке карантина ваша система пишет, что данный файл уже загружен.
31.01.2011, 19:55
novivlad

Дополнение- сейчас проверил в IE случайный поиск переходит на вполне нормальную BING, хотя в настройках стоит Гугл. В Мозилле также на WebAlta всё переходит.
01.02.2011, 06:32
polword

[URL="http://roadvictory.ru/webalta.html"]тут [/URL]посмотрите
01.02.2011, 16:53
novivlad

Пробовал. Файл user.js в мозилле отсутствует.
В файле prefs.js стартовая страница стоит Google, но в этом же файле нашёл такую строку- user_pref("browser.search.defaultenginename", "Webalta Search");
Исправил на Google
Других намёков на webalta в этом файле нет
Также и regedit - ничего про неё не находит.
Браузер перезапустил - снова - стартовая гугл, но если случайно ошибиться с набором букв в поисковой строке, то выводит на Web Alta