Не открываются сайты антивирусников - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - Не открываются сайты антивирусников (http://forum.oszone.net/showthread.php?t=118570)

RomaRS

28-09-2008 22:45 911220

Не открываются сайты антивирусников

Проблема следующая. Явно схватил троян или что-то, интернет тормозит, антивирусные сайты будь то kaspersky.ru, viruslist.com, norton.com и др. перехватываются на локалхосте (проверил по tracert) и выдается ошибка Unable to connect. Перепробовал три браузера, чистил куки и реестр, CCLeaner, проверял на вирусы касперским, нортоном, аваксом :) проблема в том, что базы обновить невозможно (опять же, блокированы сервера антивирусов). поэтому самое новое чем пользовался где-то за лето этого года :)
Левых программ не запущено, по крайней мере отключал все что только можно :) Если только не инфицированы сис.файлы, но опять же антивирус ничего не нашел. Пересоздавал подключение - тоже не помогло.

Собственно вопрос. Где могут прописаны такие перехваты вызовов серверов? Если все же нужна проверка на вирусы с последними базами, то как их обновить НЕ с сервера самого касперского? где на жестком диске дира баз, я не обнаружил просто :)

Vitac_Black

28-09-2008 23:28 911255

RomaRS, Посмотри Сюда и выложи логи

RomaRS

29-09-2008 00:06 911287

Ни одну из ссылок скачать не могу по той же причине - блокированы все подобные сервера :)
боюсь и AVZ обновить базы не получится...

Софт-то в окалке найду, но базы боюсь не обновлю; так что если можно, скажите где обновления еще можно скачать..

Severny

29-09-2008 00:09 911289

В AVZ меню Файл - Выполнить скрипт. Скопируй код и нажми "Запустить".
Будут ли открываться сайты?

Код:

begin

 ClearHostsFile;

end.

После полные логи.
Если не получится, то делайте логи не обновленным AVZ.
http://forum.oszone.net/post-911255-2.html

RomaRS

29-09-2008 02:52 911348

Вложений: 2

После скрипта сайты антивирусов по-прежнему не открываются. Удалось-таки обновить базы AVZ со второго сервера :) Высылаю логи.

Pili	29-09-2008 09:39 911443

RomaRS, очистите временные файлы, отключите восстановление системы! Деинсталлируйте MaxAntiSpy, если больше не используете Symantec - удалите
В AVZ - файл - выполнить скрипт – выделить и скопировать текст ниже в окно выполнения скрипта AVZ и нажать кнопку «Запустить». На время выполнения скрипта выключите антивирус и firewall, отключите интернет.

Код:

begin

ClearQuarantine;

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 SetServiceStart('TCCrystalCpuInfo', 4);

 SetServiceStart('MaxAntiSpyFilter', 4);

 SetServiceStart('Ood08ogepw', 4);

 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ood08ogepw.sys','');

 QuarantineFile('C:\WINDOWS\Temp\TCCpuInfo.sys','');

 QuarantineFile('C:\UTIL\MaxAntiSpy\SSS.sys','');

 QuarantineFile('C:\WINDOWS\system32\HookDLL.DLL','');

 QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');

 QuarantineFile('C:\WINDOWS\System32\Drivers\ak7cm1fn.SYS','');

 QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');

 DeleteFile('C:\WINDOWS\system32\csrcs.exe');

 DeleteFile('C:\UTIL\MaxAntiSpy\SSS.sys');

 DeleteFile('C:\WINDOWS\Temp\TCCpuInfo.sys');

 DeleteFile('C:\WINDOWS\onfwbsak.dll');

 DeleteFile('C:\_ARCHIV\_PROGRAMS\HTTPTunnel 4.44.exe');

 DeleteFile('C:\_ARCHIV\_SYSTEM\WinXP\WINDOWS\_OLD\azentretien.dll');

 DeleteFile('C:\WINDOWS\system32\DRIVERS\Ood08ogepw.sys');

 DeleteService('Ood08ogepw');

 DeleteService('MaxAntiSpyFilter');

 DeleteService('TCCrystalCpuInfo');

BC_ImportAll;

ExecuteSysClean;

BC_DeleteSvc('MaxAntiSpyFilter');

BC_DeleteSvc('TCCrystalCpuInfo');

BC_Activate;

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт

Код:

begin        

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');

end.

Файл quarantine.zip отправьте на user15802[at]mail.ru, в теле письма укажите ссылку на тему.
Запустите файл hijackthis.exe, нажмите кнопку "Do a system scan only", в открывшемся окне поставьте галочки напротив указанных строк и нажмите кнопку "Fix Checked".

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.daemon-search.com/startpage

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = LE Team. We can do more...

O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - (no file)

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Policies\Explorer\Run: [csrcs] C:\WINDOWS\system32\csrcs.exe

Повторите логи. virusinfo_cure.zip вкладывать не надо.
ответ из вирлаба:

Цитата:

New malicious software was found in the attached file.
It's detection will be included in the next update.

RomaRS

29-09-2008 12:45 911558

Выполнил, отправил quarantime.zip.

На команде

Код:

ExecuteSysClean;

выдавалась ошибка

Код:

Invalid data type for "

закомментил ее, выполнил скрипты. Сайты по-прежнему не открываются.

Кстати заметил, в фоне иногда запускается iexplorer, что тоже наводит на подозрения :)
Сейчас отправлю новые логи.

Pili	29-09-2008 12:56 911567

RomaRS, сам скрипт не содержит ошибок, комментировать строчку не надо было, повторите ещё раз скрипт (убрал команды удаления временных файлов), не забудьте выкл. антивирус на время вып-ия скрипта. Карантин пришел пустой.

RomaRS

29-09-2008 14:35 911629

Вложений: 2

Да не выполняется он.

Код:

invalid data type for "

на той строчке, и всё.
Вот подобная ошибка была:
http://virusinfo.info/showthread.php?t=10840#7

Лекарства от нее не нахожу. Пробовал и переустанавливать, и все процессы убивал, без avzguard пробовал, да безрезультатно.
Отправляю последние логи.

RomaRS

29-09-2008 15:07 911661

Вложений: 2

На всякий случай высылаю отчет по выполнению скрипта.

Pili	29-09-2008 15:52 911702

RomaRS, Outpost (возможно он и блокирует скрипт) и KIS2009 скорее всего конфликтуют, попробуйте деинсталлировать Outpost, в KIS2009 своего функционала достаточно. Не хватает ещё одного лога virusinfo_syscheck.zip. Вы с помощью CureIT систему проверяли? Если нет - проведите полное сканирование с помощью cureit в безопасном режиме.
Отключите восстановление системы! Выполните скрипт (отключите на время все защитные программы)

Код:

begin

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 SetServiceStart('Ood08ogepw', 4);

 QuarantineFile('C:\Program Files\HACKER\CrackersKit\Rebuilding\ImpRec\Plugin\aspr1.dll','');

 QuarantineFile('C:\Program Files\AUTORUN\Autorun Creator\dfj432.dll','');

 QuarantineFile('C:\WINDOWS\system32\muangsys.dll','');

 QuarantineFile('C:\WINDOWS\winlogon.exe','');

 QuarantineFile('C:\WINDOWS\services.exe','');

 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ood08ogepw.sys','');

 QuarantineFile('C:\WINDOWS\System32\HookDLL.DLL','');

 DeleteFile('C:\WINDOWS\system32\DRIVERS\Ood08ogepw.sys');

 DeleteFile('C:\WINDOWS\services.exe');

 DeleteFile('C:\WINDOWS\winlogon.exe');

 DeleteService('Ood08ogepw');

BC_ImportAll;

ExecuteSysClean;

BC_DeleteSvc('Ood08ogepw');

BC_Activate;

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки выполнить ещё скрипт

Код:

begin        

CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');

end.

Файл quarantine2.zip отправьте на user15802[at]mail.ru, в теле письма укажите ссылку на тему.
Если не получится, выполните скрипт без строчек

Цитата:

SearchRootkit(true, true);
SetAVZGuardStatus(True);

Если не получится, выполните тоже самое в безопасном режиме.
Скачайте Malwarebytes' Anti-Malware, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results - нажмите "Remove Selected". Откройте лог и скопируйте в сообщение.
Повторите логи virusinfo_syscure.zip, virusinfo_syscheck.zip, hijackthis

Tigr	29-09-2008 18:01 911805

RomaRS, в папке ...:\WINDOWS\system32\drivers\etc найди файл hosts. Открой его с помощью блокнота и обрати внимание на все строки, в начале к-х не стоит признак комментария - #. Рекомендую в связке с антивирусом использовать антишпион. Например, Ad-Aware SE. Если не сможешь найти сам, отпишись в РМ, но быстрого ответа не обещаю.

Pili	29-09-2008 21:39 911967

Tigr, c hosts файлом там всё нормально, если и было что-то в нем лишнее, сброшено скриптом поста 4, в KIS2009 есть свой антишпион (и доп. в Outpost), сначала удалим те зловреды, которые в логах есть.

RomaRS

30-09-2008 00:56 912080

Со скриптом для AVZ всё те же проблемы. перепробовал все вышесказанное.

Лог от Malwarebytes' Anti-Malware 1.28

Код:

Malwarebytes' Anti-Malware 1.28

Версия базы данных: 1222

Windows 5.1.2600 Service Pack 3



30.09.2008 0:51:52

mbam-log-2008-09-30 (00-51-52).txt



Тип проверки: Быстрая

Проверено объектов: 58390

Прошло времени: 4 minute(s), 59 second(s)



Заражено процессов в памяти: 0

Заражено модулей в памяти: 0

Заражено ключей реестра: 3

Заражено значений реестра: 0

Заражено параметров реестра: 2

Заражено папок: 0

Заражено файлов: 11



Заражено процессов в памяти:

(Вредоносные программы не обнаружены)



Заражено модулей в памяти:

(Вредоносные программы не обнаружены)



Заражено ключей реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\tdss (Trojan.Agent) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\WR (Malware.Trace) -> Quarantined and deleted successfully.



Заражено значений реестра:

(Вредоносные программы не обнаружены)



Заражено параметров реестра:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\ -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: system32\ -> Quarantined and deleted successfully.



Заражено папок:

(Вредоносные программы не обнаружены)



Заражено файлов:

C:\WINDOWS\ebrn.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\CSRSS.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\drivers\ (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\SMSS.EXE (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\fbxrqtwn.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\blphcro4j0ec8a.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\lphcro4j0ec8a.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\phcro4j0ec8a.bmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.

C:\WINDOWS\SVCHOST.INI (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

C:\WINDOWS\LSASS.EXE (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

RomaRS

30-09-2008 02:16 912096

После проделанных выше операций сделал смог обновиться касперский. Сделал проверку, почистил CCleaner'ом, сайты открылись, тормоза интернета пропали. собственно, проблем пока не наблюдаю :)

остается интересным вопрос с библиотекой HookDLL и почему не работает скрипт))

А так, всем спасибо!

Pili	30-09-2008 08:32 912166

RomaRS, HookDLL.DLL проверьте на virustotal.com
При запуске MBAM вы выбрали Тип проверки: Быстрая, перезапустите MBAM и выберите полную проверку, после окончания проверки выложите новый лог.
Если не работает скрипт в AVZ можно пойти другим путем.
1. Скачайте SDFix - описание тут, загрузитесь в безопасном режиме, запустите утилиту (RunThis.bat - подтвердить, нажав "Y"), после окончания сканирования запакуйте и вложите C:\Report.txt в сообщение.
2. Скачайте ComboFix здесь или здесь и сохраните на рабочий стол (не переименовывайте Combofix).
Не забудьте установить Recovery Console по инструкции - how-to-use-combofix, и http://support.microsoft.com/kb/310994 - скачайте установочный файл для своей ОС (напр. Windows XP с пакетом обновления 2 (SP2)) на рабочий стол, закройте все остальные приложения и мышкой перенесите установочный файл на иконку ComboFix, подтвердите лицензионное соглашение и установите Microsoft Recovery Console.
- Внимание! Обязательно закройте все браузеры, закройте и отключите все антивирусное и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
- Запустите combofix.exe, когда процесс завершится скопируйте и скопируйте текст из C:\ComboFix.txt в сообщение, еcли лог окажется очень большой, прикрепите ComboFix.txt к сообщению
3. Скачайте RSIT, сохраните на рабочий стол и запустите, когда закончится процесс сканирования, скопируйте текст из файлов log.txt и info.txt в следующее сообщение или запакуйте эти файлы и прикрепите архив.

Время: 03:07.