Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   Проблемы с отображением страниц в браузерах (http://forum.oszone.net/showthread.php?t=254290)

Владимир124 18-02-2013 09:34 2093175
Проблемы с отображением страниц в браузерах
 
ывававыаыва

Владимир124 18-02-2013 09:35 2093179
Ребят! помагите дело в том что на днях когда запускаю браузеры, некотрорые вообще не отображают и не грузятся белый фон просто (хром)! Мозила и опера как то прогружаются переодически, иногда появляется только html коды, реклама вылазит какаята, а еще просит написать номер телефона, и на него мол вышлется код скрины, и логи предоставляю... помагите пожалуйста!)

regist 18-02-2013 13:50 2093311
Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
  ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  SetServiceStart('newdriver', 4);
  StopService('newdriver');
  QuarantineFile('C:\Windows\apppatch\wvuwxbd.exe','');
  QuarantineFile('C:\Users\Владимир\0.2565232995890845.exe','');
  QuarantineFile('C:\Windows\gigalan.txt','');
  QuarantineFile('C:\Windows\system32\wnumung.dll','');
  DeleteFile('C:\Windows\system32\wnumung.dll');
  DeleteFile('C:\Windows\gigalan.txt');
  DeleteFile('C:\Users\Владимир\0.2565232995890845.exe');
  DeleteFile('C:\Windows\apppatch\wvuwxbd.exe');
  DeleteService('newdriver');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
после выполнения скрипта компьютер перезагрузится.
после перезагрузки выполнить второй скрипт:

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Полученный архив отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

apeha.ru - этот сайт стартовой страницей вы сами поставили ? Если нет

Профиксите в HijackThis

Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.apeha.ru
Выполните ещё один скрипт AVZ


Код:
begin
SetAVZPMStatus(false);
RebootWindows(false);
end.
Сделайте новые логи virusinfo_syscheck.zip; log.txt, info.txt.

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:
Код:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs
Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2012-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве

по окончанию лечения не забудьте сменить пароли !

Владимир124 18-02-2013 15:53 2093415
вот новые логи, только почему то новый info.txt не сделался как я понял...ыыы

regist 18-02-2013 16:26 2093446
утилиты запускали правой кнопкой от имени админа ? повторите ещё раз написанное в предыдущем посте и сделайте новые логи включа лог MBAM.

+ рекомендую тулбары, которые не используете деинсталировать.

Владимир124 18-02-2013 19:11 2093598
вот лог с МВАМ , остальные переделать пока не успел, но если нужно обязательно переделаю...!?))

regist 18-02-2013 20:06 2093660
Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
  ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
  StopService('newdriver');
  QuarantineFile('C:\Windows\System32\wnumung.dll', 'MBAM: Backdoor.Cidox');
  QuarantineFile('C:\TCPU57\Programm\SFX Tool\GUI_7zS.exe', 'MBAM: Trojan.KillAV');
  QuarantineFile('C:\TCPU57\Programm\TheCalc\Numlock.dll', 'MBAM: Trojan.Downloader');
  QuarantineFile('C:\TCPU57\Programm\DrWeb\!uninstall6.exe', 'MBAM: Trojan.Pincher');
  QuarantineFile('C:\TCPU57\Programm\DrWeb\program files\drupdate.exe', 'MBAM: Trojan.StartPage.SMR');
  QuarantineFile('C:\TCPU57\Programm\CCProxy\CCProxy.exe', 'MBAM: Trojan.Proxy.CC');
  QuarantineFile('C:\Users\Владимир\AppData\Local\Temp\35006437.exe', 'MBAM: Backdoor.Cidox');
  QuarantineFile('C:\Users\Владимир\Desktop\Фигня всякая\гтаа\Новая папка\Readme.exe', 'MBAM: Backdoor.Small');
  QuarantineFile('c:\windows\gigalan.txt','');
  QuarantineFile('C:\Users\Владимир\0.2565232995890845.exe','');
  QuarantineFile('C:\Windows\system32\wnumung.dll','');
  QuarantineFile('C:\Users\Владимир\0.2565232995890845.exe','');
  QuarantineFile('C:\Windows\apppatch\wvuwxbd.exe','');
  DeleteFile('c:\windows\gigalan.txt');
  DeleteFile('C:\Users\Владимир\0.2565232995890845.exe');
  DeleteFile('C:\Windows\System32\wnumung.dll');
  DeleteFile('C:\Windows\apppatch\wvuwxbd.exe');
  DeleteFile('C:\Users\Владимир\0.2565232995890845.exe');
  DeleteFile('C:\Windows\system32\wnumung.dll');
  RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
  DeleteService('newdriver');
  DeleteFileMask('C:\Users\Владимир\AppData\Roaming\winzipsoft', '*', true);
  DeleteDirectory('C:\Users\Владимир\AppData\Roaming\winzipsoft', '');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
после выполнения скрипта компьютер перезагрузится.
после перезагрузки выполнить второй скрипт:

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Полученный архив отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Сделайте новые логи virusinfo_syscheck.zip; log.txt, info.txt.


+ лог полного сканирования MBAM.

Владимир124 21-02-2013 05:33 2095627
вот это новые логи.

regist 21-02-2013 11:21 2095743
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив иначе это будет необходимо сделать вам вручную.
  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  5. Подробнее читайте в руководстве Как подготовить лог UVS

+ Multi Password Recovery использовали ?

C:\TCPU57\Programm\DrWeb\ - содержимое этой папки вам знакомо?

Владимир124 21-02-2013 12:59 2095828
вот, Multi Password Recovery нет не пользовался по моему, C:\TCPU57\Programm\DrWeb\----> давно не использовалось!

Владимир124 21-02-2013 13:09 2095834
вот лог

regist 21-02-2013 14:48 2095903
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите правой кнопкой мыши и скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.77.7 script [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    breg
    ; C:\WINDOWS\GIGALAN.TXT
    bl C699996E3973488F884352A24EBBD1E4 43264
    addsgn A7B424CC02814B990ED1AAB064C9FAAF5B8AFC423B4EA5C43F5D8A14EB1C48D2941869EB82EE574EB52DA535FAAAF2C00135D9D8E9660A909FC3169B7DBA98D6 8 Trojan-Banker.Win32.Qhost.absg

    zoo %SystemRoot%\GIGALAN.TXT
    ; C:\WINDOWS\SYSTEM32\WNUMUNG.DLL
    bl 4FE50F308C7D17205F3221E4EB63807D 44032
    addsgn A7679BC9DE37442480A1A2E6EFB50280D3FFF575B4BE6A6B95C32E9AD328703826943D554B773CF55193941A866240AD2B8C17A2D01AC4207A21F7C720F8DD8C 64 Trojan.Win32.Cidox.abzr

    zoo %Sys32%\WNUMUNG.DLL
    zoo %SystemRoot%\APPPATCH\WVUWXBD.EXE
    delall %SystemRoot%\APPPATCH\WVUWXBD.EXE
    chklst
    delvir
    czoo
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2011-06-30_22-04-27.7z)
    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.
  7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  8. Подробнее читайте в этом руководстве.

Повторите логи AVZ и RSIT + MBAM

Владимир124 21-02-2013 16:12 2095964
на почтовый ящик не могу отправить не открывает тупо почту..., или прости вести номер телефона

regist 21-02-2013 22:34 2096313
Владимир124, загрузите сюда http://rghost.ru/ ссылку пришлите мне в личные сообщения.
А также жду новые логи
Цитата:
Цитата regist
Повторите логи AVZ и RSIT + MBAM »

Владимир124 22-02-2013 05:36 2096428
вот логи

regist 22-02-2013 13:45 2096649
1) Утилиты запускаете клик правой кнопкой от имени админа ?
2) выполните ещё раз скрипт uVS, не забудьте запустить от имени админа.
3) Сделайте новый образ автозапуска после выполнения скрипта + карантин так и не прислали ;).

Владимир124 22-02-2013 14:13 2096672
Всё делаю как и говорите от админа запускаю!
а результата почему то нету...(
вот ссылка на карантин забыл)
попробую сделать, только что то про вот это не совсем понял...---> Сделайте новый образ автозапуска после выполнения скрипта

regist 22-02-2013 15:26 2096738
Владимир124, уберите ссылку на карантин из своего сообщения (пока никто не скачал и не заразился). Я просил прислать в ЛС, но уже не надо - скачал.

Цитата:
Цитата Владимир124
попробую сделать, только что то про вот это не совсем понял...---> Сделайте новый образ автозапуска после выполнения скрипта »
http://forum.oszone.net/post-2095743-9.html

Владимир124 22-02-2013 16:33 2096802
всё сделал, без результативно..(
что же там за вирус у меня..

regist 22-02-2013 17:19 2096829
Цитата:
Цитата Владимир124
всё сделал, без результативно..( »
новый лог UVS где ?

Владимир124 22-02-2013 17:41 2096848
вот

regist 22-02-2013 19:17 2096890
1) Загрузитесь в безопасный режиме
2) В этом режиме
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите правой кнопкой мыши и скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.77.7 script [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    ; C:\WINDOWS\SYSTEM32\WNUMUNG.DLL
    zoo %Sys32%\WNUMUNG.DLL
    addsgn A7679BC9DE37442480A1A2E6EFB50280D3FFF575B4BE6A6B95C32E9AD328703826943D554B773CF55193941A866240AD2B8C17A2D01AC4207A21F7C720F8DD8C 64 Trojan.Win32.Cidox.abzr

    ; C:\WINDOWS\GIGALAN.TXT
    zoo %SystemRoot%\GIGALAN.TXT
    addsgn A7B424CC02814B990ED1AAB064C9FAAF5B8AFC423B4EA5C43F5D8A14EB1C48D2941869EB82EE574EB52DA535FAAAF2C00135D9D8E9660A909FC3169B7DBA98D6 8 Trojan-Banker.Win32.Qhost.absg

    breg
    bl C699996E3973488F884352A24EBBD1E4 43264
    bl 4FE50F308C7D17205F3221E4EB63807D 44032
    delall %SystemRoot%\GIGALAN.TXT
    delall %Sys32%\WNUMUNG.DLL
    chklst
    delvir
    deltmp
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер [b]может быть перезагружен[/B
  6. Подробнее читайте в этом руководстве.

3) Если после выполнения скрипта будут улучшения сделайте лог полного сканирования MBAM.
4) Если улучшений не заметите, сделайте на всякий случай бэкап базы 1С, затем

Скачайте ComboFix здесь и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению."

Владимир124 23-02-2013 06:07 2097172
после выполнения скрипта в безопасном режими появились улучшения, стали отображаться странички, стали загружаться сайты...

regist 23-02-2013 12:17 2097240
Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "Remove Selected" ("Удалить выделенные" - смотрите, что удаляете).

Подробнее читайте в руководстве

Код:
HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\english_11_New_Millennium_English.eProtocol (Trojan.WebMoner) -> Действие не было предпринято.
HKCU\Software\winxarj (Hoax.ArchSMS) -> Действие не было предпринято.
HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\BLOCK_READER (Trojan.LdPinch) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\block_reader|DisplayName (Trojan.LdPinch) -> Параметры: MPR DRV -> Действие не было предпринято.
Обнаруженные папки:  1
C:\Users\Владимир\AppData\Roaming\winzipsoft (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\_todel2.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\a.htm (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\bander.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\dir.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\dot.gif (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\htmlayout.dll (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\logo.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\logo2.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-h-scroll-next.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-h-scroll-prev.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-scroll-back.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-scroll-base.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-scroll-slider.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-v-scroll-next.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\sb-v-scroll-prev.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\scroll.css (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\wfont.ttf (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\xsendexe.tmp (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\_todel.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\_todel3.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\_todel4.png (Hoax.ArchSMS) -> Действие не было предпринято.
C:\Users\Владимир\AppData\Roaming\winzipsoft\_todel5.png (Hoax.ArchSMS) -> Действие не было предпринято.
После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

+ Сделайте новые логи virusinfo_syscheck.zip; log.txt, info.txt.


Время: 14:05.

Время: 14:05.
© OSzone.net 2001-