Китайские страницы!

[juva7]

Добрый день!

У меня такая же проблема, при подключение к интернету постоянно открываются китайские сайты:

www.caiyi8.com
qianming.eastad8.cn
kk.51kaokaoni.cn
love.kk.shadingding.com
person.9189.com

мы делали то, что написано в теме "Китайские хакеры", но не помогло, страницы так и открываются, восстановление системы отключено.

[AndreyKa]

Здравствуйте!

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
ClearQuarantine;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 QuarantineFile('c:\windows\system32\romttcc.dll','');
 QuarantineFile('C:\WINDOWS\Fonts\A9C0FF40.EXE','');
 QuarantineFile('C:\WINDOWS\Fonts\401410E0.DLL','');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\don25DD.tmp','');
 BC_DeleteSvc('fixustor');
 BC_DeleteSvc('serverdk');
 QuarantineFile('C:\WINDOWS\system32\server.exe','');
 QuarantineFile('C:\WINDOWS\vfhyjh.exe','');
 QuarantineFile('c:\windows\vfhyjh.exe','');
 DeleteFile('c:\windows\vfhyjh.exe');
 DeleteFile('C:\WINDOWS\vfhyjh.exe');
 DeleteFile('C:\WINDOWS\system32\server.exe');
 DeleteFile('C:\WINDOWS\TEMP\don25DD.tmp');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('C:\WINDOWS\Fonts\401410E0.DLL');
 DeleteFile('C:\WINDOWS\Fonts\A9C0FF40.EXE');
 DeleteFile('c:\windows\system32\romttcc.dll');
 DeleteFile('C:\WINDOWS\system32\RhmutjC.dll');
 DeleteFile('C:\WINDOWS\system32\RimrtsC.dll');
 DeleteFile('C:\WINDOWS\system32\RomttcC.dll');
 DeleteFile('C:\WINDOWS\system32\RwmltuC.dll');
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин через ссылку Прислать запрошенный карантин вверху темы, как написано в приложении 3 Правил.
Обновите базы AVZ!
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.

Установите Adobe Acrobat 9.1 или удалите старый.
Обновите Java.
Установите обновления безопасности на Windows.

[juva7]

Здравствуйте!

Всё сделал, карантин выслал, а вот новый лог:

[AndreyKa]

Закройте все программы.
Запустите AVZ. Выполните скрипт через меню Файл:

begin
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\Atevxx.exe','');
 BC_DeleteSvc('evxx');
 BC_DeleteSvc('serverdk');
 BC_DeleteSvc('gjunj');
 QuarantineFile('C:\WINDOWS\system32\firefox.exe','');
 BC_DeleteSvc('8E4ADF70');
 BC_DeleteSvc('vdi3nda1');
 DeleteFile('C:\WINDOWS\TEMP\don25DD.tmp');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('C:\WINDOWS\system32\firefox.exe');
 DeleteFile('C:\WINDOWS\Atevxx.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.

[juva7]

Скрипт выполнил. Карантин выслал, вот новый лог:

[thyrex]

Восстановление системы: включено

Отключить

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\server.exe','');
 DeleteService('serverdk');
 QuarantineFile('C:\WINDOWS\vfhyjh.exe','');
 DeleteService('gjunj');
 QuarantineFile('C:\WINDOWS\Fonts\A9C0FF40.EXE','');
 DeleteService('8E4ADF70');
 DeleteFile('C:\WINDOWS\Fonts\A9C0FF40.EXE');
 DeleteFile('C:\WINDOWS\vfhyjh.exe');
 DeleteFile('C:\WINDOWS\system32\server.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[juva7]

Отключить восстановление системы по тому пути, какой указан в правилах не получается, нет такой вкладки в свойствах.

Но я зашёл по пути: Пуск, Панель управления, Администрирование, Службы. там есть "Служба восстановления системы" и тип запуска "отключено".

Или скрипт для того и нужен чтоб отключить?

[AndreyKa]

В AVZ меню Файл Восстановление системы - в строчке
6. Удаление всех Polices (ограничений) …
поставьте галочку. Нажмите кнопку Выполнить ...
Попробуйте снова отключить службу восстановление системы по инструкции.

[juva7]

Сделал, но вкладка так и не появилась.

[thyrex]

Выполняйте скрипт

[juva7]

Скрипт выполнил. Карантин отправил. Здесь новые логи:

[juva7]

Страницы китайские больше не открываются и компьютер тоже больше не виснет.

[thyrex]

Пофиксить в HiJack

 R3 - URLSearchHook: (no name) -  - (no file)
R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
O2 - BHO: MyCentria Internet Mate v1.95 - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)

Перезагрузиться

Больше ничего плохого

Установите Internet Explorer 8
Обновите Java

[juva7]

Всё сделал.

Спасибо ребят вам всем за помощь!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\atevxx.exe - Trojan-Downloader.Win32.Agent.ckyp ( DrWEB: Trojan.DownLoad.42419 )
  2. c:\windows\system32\firefox.exe - Trojan-Downloader.Win32.Agent.cilm ( DrWEB: Trojan.Darkshell, BitDefender: Dropped:Rootkit.Agent.AIZW )