Подмена домашней страницы на http://darberry.ru

[gukovsem]

Поймал приблуду. В IE и Firefox при открытии либо закрытии (тут уж не понять) программы домашняя страница меняется на darberry.ru/signup. Если в работающем броузере поменять домашнюю страницу, то все ок, пока он не будет закрыт и не запушен заново. ОС Windows 7.
Буду очень благодарен!

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) - {930f1200-f5f1-4870-bac6-e233ec8e7023} - (no file)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://darberry.ru

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\program files\relevantknowledge\rlvknlg.exe');
 TerminateProcessByName('c:\program files\relevantknowledge\rlservice.exe');
 QuarantineFile('C:\Documents and Settings\User\Documents\Мои видеозаписи\VLCPortable\App\vlc\plugins\libpacketizer_mlp_plugin.dll','');
 QuarantineFile('C:\Users\User\Application Data\Beonno\abla.exe','');
 QuarantineFile('C:\Program Files\relevantknowledge\rlservice.exe','');
 DeleteFile('C:\Program Files\relevantknowledge\rlservice.exe');
 DeleteFileMask('C:\Program Files\relevantknowledge','*.*',true);
 DeleteDirectory('C:\Program Files\relevantknowledge');        
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Прокси сами настраивали? -

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy:3128
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 10.*.*.*;<local>;*.local

[gukovsem]

Немогу загрузить карантин.
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен
Прокся правильная.

\darberry.ru осталось

[olejah]

Повторите логи

[gukovsem]

Логи повторно.

[gukovsem]

Есть идеи как ето побороть?

[light59]

перед запуском скрипта AVZ запускали от имени админа?

[gukovsem]

Да, от имени администратора

[Bratez]

Немогу загрузить карантин.
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Странно. Ваших карантинов нет ни одного. А хотелось бы.

Попробуем еще раз.
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\Program Files\relevantknowledge\rlservice.exe','');
 QuarantineFile('C:\Users\User\AppData\Roaming\Beonno\abla.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=92805).

[gukovsem]

AVZ неможет выполнить скрипт зависает, пробывал вручную остановить сервис rlservice.exe всеравно переходит в автоматический режим запуска. Из процесов ничем немогу остановить rlvknlg.exe. Попробую записать LiveCD c EDR Commanderom результат напишу. Сервис отключил пробую выполнить скрипт АВЗ опять зависла. Только сейчас увидел что заблокирован доступ на установку и удаление программ. Увы но наверное буду сносить винду.