Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Не пускает на некоторые (антивирусные) сайты (http://forum.oszone.net/showthread.php?t=202286)

Bushman4OSZ 17-03-2011 17:57 1637201
Не пускает на некоторые (антивирусные) сайты
 
Вложений: 4
Доброго времени суток, господа!

В начале февраля я обнаружил, что с моего компьютера не могу зайти на некоторые сайты (virustotal.com, z-oleg.com - везде connection timeout). Кроме того, не удавалось загрузить AVZ (нынешние логи сделаны программой, принесённой на флешке с другого компа).
Помимо этого, Windows (XP) никогда не может установить обновления, связанные с .NET Framework.

Никаких других признаков заражения нет - допускаю, что вопрос в установках.

Позавчера у меня появилось свободное время, и я стал делать полные проверки. Логи здесь. От Касперского два лога, потому что я сначала сделал "ручное лечение" (первый файл), потом запустил полное сканирование (убил два явных и два предположительных трояна), и после этого подготовил новый лог для "ручного лечения" (17-3-11).

На компьютере изначально (поставил сразу после покупки) был Avast, в феврале поставил вместо него MS Security Essentials.

Интересуюсь антивирусной защитой после того. как 7 февраля у сестры появился порнобаннер (во временной папке, убили вручную и переустановили) - тогда я и обнаружил, что не могу попасть на многие антивирусные сайты (кроме Касперского).

Заранее спасибо за внимание.

SolarSpark 17-03-2011 18:14 1637210
Отключите:
Компьютер от интернета/локальной сети
Антивирус/Файерволл

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('c:\windows\system32\ec78c598.exe','');
 QuarantineFile('c:\windows\system32\ggbmju.exe','');
 DeleteFile('c:\windows\system32\ec78c598.exe');
 DeleteFile('c:\windows\system32\ggbmju.exe');
 RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(20);
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

Пофиксить в HijackThis следующие строчки:
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ec78c598.exe,C:\WI NDOWS\system32\ggbmju.exe,
Сделайте повторные логи AVZ
+
Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Bushman4OSZ 17-03-2011 19:33 1637270
Спасибо!
делаю.

MS Essetials: "отключить защиту в реальном времени" - достаточно для отключения антивируса?

UPD: (Немного офтоп) в MS Essentials, действительно, только отключается защита в реальном времени (в трее у него контекстное меню даёт только "открыть") - см. http://portal.san.ru/forums/index.php?showtopic=165297.

SolarSpark 17-03-2011 19:39 1637280
не знакома с данным антивирем, отключите и выгрузите из трея

Bushman4OSZ 17-03-2011 22:50 1637493
Вложений: 4
Спасибо большое!

Пока нет ответа по карантинным файлам (письмо получено в 19:48:30 17 марта), отвечаю по другим пунктам:

- Пофиксить в HiJack не получилось (с HiJack я начал - до MBAM и AVZ): он больше не находит этих файлов (F2 в новых логах нет). Прилагаю лог HiJack до запуска MBAM (2145) и сейчас (2234).

- MBAM нашёл несколько проблем, я себе позволил их удалить. Прилагаю два лога.

- Новые логи AVZ тоже прилагаю.

Продолжаем лечение? :)

Bushman4OSZ 17-03-2011 23:02 1637501
Спасибо огромное за помощь!

Как Вы считаете (исходя из логов), стоит мне уже успокаиваться, или надо продолжать искать виновника? Сам я, к сожалению, не разбираюсь совсем :dont-know

Ещё, Вы не могли бы подсказать - может ли быть связано с вредной активностью следующее:
примерно с месяц в почте (Яндекс) после пересылки искажаются кириллические имена пересылаемых файлов (я получаю файл с нормальным расширением, но неправильным названием, и в отправленных письмах название тоже неправильно показывается), а ещё несколько раз письмо вроде отправлялось, но оказывалось в "черновиках" (тоже стало недавно).
Если не по теме, прошу прощения!

Сайт virustotal.com заработал.

SolarSpark 18-03-2011 02:03 1637605
Цитата:
Цитата Bushman4OSZ
- Пофиксить в HiJack не получилось »
это хорошо

Отключите:
Компьютер от интернета/локальной сети
Антивирус/Файерволл

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('mawgqb.sys','');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('mawgqb.sys');
BC_DeleteSvc('mawgqb');
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится!

После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный
скрипт -> Нажать кнопку "Запустить".

Код:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
В результате выполнения скрипта будет сформирован карантин.Отправьте c:\quarantine.zip при помощи этой формы
В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

Если не выбирали стартовой страницей http://bwrk.startya.com/
Пофиксить в HijackThis следующие строчки:
Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://bwrk.startya.com/?cfg=2-490-0-0&engine_id=3&provider_id=3&product_id=490&country=RU
повторите лог AVZ

Цитата:
Цитата Bushman4OSZ
Ещё, Вы не могли бы подсказать - может ли быть связано с вредной активностью следующее:
примерно с месяц в почте (Яндекс) после пересылки искажаются кириллические имена пересылаемых файлов (я получаю файл с нормальным расширением, но неправильным названием, и в отправленных письмах название тоже неправильно показывается), а ещё несколько раз письмо вроде отправлялось, но оказывалось в "черновиках" (тоже стало недавно).
Если не по теме, прошу прощения! »
проверьте после лечения, что с кодировкой в почте... пробуйте отправить письмо самому себе с разных браузеров...и отпишитесь о результате
Вот что пишет Яндекс-почта
Цитата:
Если автоматическое отображение письма не сработало, вы можете вручную выбрать подходящую кодировку. Для этого вам необходимо в выпадающем списке "Дополнительно" (над письмом) выбрать подходящую кодировку.

Bushman4OSZ 18-03-2011 20:03 1638212
Спасибо!

Сегодня посмотрел, в почте имена файлов отображаются нормально, даже в тех письмах, где раньше были искажены. Так что, не исключено, какая-то связь могла и быть.


Скрипт сработал, но в конце с ошибкой: "ошибка прямого чтения mawgqb". Я был с правами администратора, а вчера вечером создал отдельного админа и понизил свой статус. Сейчас HiJackThis сообщил, что ему не дали доступа к system32\drivers\etc\hosts.
Добавляю себе админские права обратно и запускаю AVZ.

Новый карантин в лабораторию отправил.

Стартовую страницу - спасибо, пофиксил.

SolarSpark 18-03-2011 20:24 1638233
логи повторите, пожалуйста.
Важные пароли (на почту и т.д.) смените

Bushman4OSZ 18-03-2011 22:44 1638308
Вложений: 2
Слава Богу, форум опять заработал! Я очень испугался.

Вот логи, пожалуйста.

Bushman4OSZ 19-03-2011 05:17 1638410
Оба карантина - вчерашний и сегодняшний - на virustotal не определяются. От Касперского ответа ещё нет.

SolarSpark 19-03-2011 09:35 1638456
Код:
C:\Program Files\eRightSoft\SUPER\SUPER.exe
это ваше в автозагрузке?
Больше плохого не видно.
Как самочувствие, что с проблемой?

Bushman4OSZ 19-03-2011 12:51 1638593
Большое спасибо Вам за помощь!
:)

Всё, кажется, нормально.

Super - да, моя.
Оболочка для FFshow, MEncode, RealProducer - они постоянно предупреждают, что на них, типа, антивиры ложно срабатывают.

Сейчас идёт полная проверка MS SE - потом выложу ещё сюда результаты, дождусь писем от Касперского (их вердикт тоже выложу),
а потом, если всё будет тихо, буду "решать" тему.

Вот так выглядели темы ответов:
Re: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0*] [KLAN-119559781]
Re: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0*] [KLAN-119295958] - они говорят о чём-нибудь?

Извините, ещё один вопрос: как Вы считаете, есть смысл оставлять McAfee Site Advisor, или он особо не нужен?

SolarSpark 19-03-2011 13:40 1638628
Цитата:
Цитата Bushman4OSZ
McAfee Site Advisor »
пусть будет

Цитата:
Цитата Bushman4OSZ
Вот так выглядели темы ответов: »
Собственно, далее подразумевается наличие текста ответа из лаборатории...если его нет, значит его нет)

Создайте новую контрольную точку восстановления и очистите заражённую:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner
  1. скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
  2. если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
  3. нажмите No, если вы хотите оставить ваши сохраненные пароли
  4. если вы используете Opera, нажмите Opera - Select All - Empty Selected
  5. нажмите No, если вы хотите оставить ваши сохраненные пароли
Рекомендуем для предотвращения заражения:
- не работать за компьютером с правами администратора
- при использовании Internet Explorer тключить в нем ActiveX и настроить безопасность (рекомендую использовать Firefox c плагином NoScript)
- регулярно устанавливать обновления windows и обновлять антивирусные базы.

Bushman4OSZ 19-03-2011 15:22 1638701
Merci beaucoup!

MS SE угроз не обнаружил.
Офф: действтельно ищет очень долго - 9 часов сканировал (правда, у меня большая коллекция неустановленных Alawar'овских игрушек, так что сплошные setup.exe).


Спасибо, всех благ, удачи :)

Ещё - простите, если не по теме - где-то читал, что рекомендуется удалить MBAM. Не подскажете, почему?

SolarSpark 19-03-2011 15:38 1638713
Абсолютно правильно советуют), деинсталлируйте программу - она предназначена для временного применения во время лечения ПК.
Мы не рекомендуем постоянное использование программы Malwarebytes Antimalware по причине слабого сигнатурного детекта и связанного с этим большого количества ложных срабатываний. Сразу же по окончании лечения мы рекомендуем программу удалить.
Не то, применяя самостоятельно, удалите что-нибудь нужное и важное=).
Чистого инета! И не болейте больше).


Время: 17:43.

Время: 17:43.
© OSzone.net 2001-