Блокировка обновление АВ, редирект на сайт westernuion

**tuttam** · 22.01.2013, 17:32

Доброго времени суток!

Проблема заключаться в следующем:

В качестве стартовой страницы браузера установился сайт westernunion.com заблокированы интернет сайты самых популярных антивиросов - Avira, Касперский, ДокторВэб и т.д.
Иногда

На данный момент на ПК установлен АВ Avira, находит один вирус, но после его удаления качественно ничего не меняется - обновления антивируса не работают, сайты АВ компаний не открываются, в качестве стартовой страницы также весит сайт westerunion.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 22.01.2013, 17:35

Уважаемый(ая) tuttam, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 22.01.2013, 19:29

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Windows\system32\xuuheoi.dll','');
  QuarantineFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE','');
  QuarantineFile('C:\Users\Diana\AppData\Local\Temp\009430~1.EXE','');
  DeleteFile('C:\Users\Diana\AppData\Local\Temp\009430~1.EXE');
  DeleteFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE');
  DeleteFile('C:\Windows\system32\xuuheoi.dll');
  DelBHO('{DBC80044-A445-435b-BC74-9C25C1C588A9}');
   RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
  RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
  RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
  RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
  RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
  RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
  ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

**tuttam** · 23.01.2013, 12:33

Доброго дня!

Благодарю за решение, но к сожалению не помогло, проблема осталась. В прикреплении карантин и новые логи.

**mrak74** · 23.01.2013, 12:43

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe','');
 DeleteFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows\CurrentVersion\Run','Ybogcoe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

очистите кэш и cookies-файлы браузеров

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

**tuttam** · 23.01.2013, 15:17

Сообщение от mrak74

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe','');
 DeleteFile('C:\Users\Diana\AppData\Roaming\Miopsy\befy.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows\CurrentVersion\Run','Ybogcoe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

очистите кэш и cookies-файлы браузеров

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

Доброго дня!

Было выполнено все по пунктам, к сожалению проблема не устранена.

**mrak74** · 23.01.2013, 16:09

Сделайте лог полного сканирования MBAM + Сделайте логи RSIT

**tuttam** · 24.01.2013, 11:15

Сообщение от mrak74

Сделайте лог полного сканирования MBAM + Сделайте логи RSIT

Доброго дня !
В прикреплении логи.
Интересно то, что после установки в систему ПО MBAM, стал блокироваться как подозрительный, сайт termocomfort.by, именно тот сайт, предположительно с которого началась вся эпопея с данным вирусом.

Вот кусочек лога

Код:

2013/01/24 10:02:10 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51437, Process: avwebgrd.exe)
2013/01/24 10:02:18 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51441, Process: avwebgrd.exe)
2013/01/24 10:02:18 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51443, Process: avwebgrd.exe)
2013/01/24 10:03:22 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51452, Process: firefox.exe)
2013/01/24 10:03:22 +0300 HST0101 Diana IP-BLOCK 93.125.99.2 (Type: outgoing, Port: 51453, Process: firefox.exe)

**mrak74** · 24.01.2013, 12:30

Антивирус обновляется ?

Выполните скрипт в AVZ:

Код:

begin
  ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
   QuarantineFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Выполните очистку системы программой Ccleaner.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + приложите второй лог от RSIT (info.txt)

**tuttam** · 24.01.2013, 17:12

Сообщение от mrak74

Антивирус обновляется ?

Выполните скрипт в AVZ:

Код:

begin
  ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
   QuarantineFile('C:\Users\Diana\AppData\Local\Temp\078258~1.EXE','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Выполните очистку системы программой Ccleaner.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log ) + приложите второй лог от RSIT (info.txt)

Выполнено!

**Techno** · 27.01.2013, 11:29

Внимание

Хватит карантин к теме прикреплять!!!

Сообщение от regist

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Какие проблемы остались?

В реестре надо удалить:

Код:

HKEY_USERS, S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows NT\CurrentVersion\Windows, Run
HKEY_USERS, S-1-5-21-33170505-1852995773-1167196073-1004\Software\Microsoft\Windows NT\CurrentVersion\Windows, Load

**thyrex** · 27.01.2013, 11:48

+ перед удалением этих записей в реестре, нужно вернуть права на эту ветку

**tuttam** · 30.01.2013, 13:13

Сообщение от thyrex

+ перед удалением этих записей в реестре, нужно вернуть права на эту ветку

Ветки удалил, проблема осталась.

Сайты антивирусных компаний не открываются, АВ АВИРА не обновляется.
В качестве стартовой странице сайт westernunion.com

**PavelA** · 30.01.2013, 16:16

В AVZ "Восст. системы" п.21 отметить и выполнить.
В командной строке выполнить команду route -f. Перезагрузить компьютер.

Проверить что с проблемами.

**tuttam** · 31.01.2013, 18:25

Сообщение от PavelA

В AVZ "Восст. системы" п.21 отметить и выполнить.
В командной строке выполнить команду route -f. Перезагрузить компьютер.

Проверить что с проблемами.

Ничего не изменилось, разве что пи загрузке стал вылет "alert" с сообщением о том, что не удалось запустить файл 7898766.exe .