При создании вкладки, ссылается на сайт с вредоносной программой

[Baiker]

Добрый День Всем!
Подскажите, что можно предпринять? При входе в интернет с любой программы: IE8, Firefox, Opera, Thunderbird, Pidgin, Qip2012. Антивирус Касперского выдаёт: "URL-адрес: http://sudafe.com/hKkfHer2/proxy.pac База подозрительных веб-адресов: обнаружено"
и в ветви реестра, после перезагрузки компьютера, образуется одна из таких надписей: "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\sudafe.com", которую убираешь вручную, но при выходе программой или при создании вкладки новой, срабатывает веб-антивирус.

[iskander-k]

Подскажите, что можно предпринять? »
Выложите логи в соответствии с этими (http://forum.oszone.net/post-717373.html) инструкциями.

[thyrex]

+ рекомендую проверить компьютер с помощью AVPTool (http://support.kaspersky.ru/viruses/avptool2011)
Он уже умеет лечить Trojan.Multi.ProxyChanger

[Baiker]

Сделано. AVZ хоть и нашла какую-то троянскую программу в OpenOffice. Хотя там вроде как всё нормально. Dr.Web сканировал всю ночь, но так ничего и не нашёл. Прикрепляю файлы

[S.R]

Внимание! Рекомендации, подготовленные нашими специалистами, разрабатываются индивидуально для каждого пользователя. Не используйте рекомендации, которые подготовлены для другого пользователя - это может повредить вашей системе. Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов (http://forum.oszone.net/forum-87.html) и подготовьте логи.
________________________________________
На время выполнения скриптов/сбора логов отключайте антивирусы и сетевые экраны!

Выполните скрипт в AVZ (меню Файл\Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'В процессе выполнения скрипта компьютер будет перезагружен.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Documents and Settings\Rename\0.8079721469724525.exe','');
QuarantineFile('D:\Documents and Settings\Rename\0.706980283567707.exe','');
QuarantineFile('D:\DOCUME~1\Rename\LOCALS~1\Temp\ZhX63rn.exe','');
DeleteFile('D:\DOCUME~1\Rename\LOCALS~1\Temp\ZhX63rn.exe');
DeleteFile('D:\Documents and Settings\Rename\0.706980283567707.exe');
DeleteFile('D:\Documents and Settings\Rename\0.8079721469724525.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','D:\DOCUME~1\Rena me\LOCALS~1\Temp\ZhX63rn.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','explorer');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','S686153');
RegKeyStrParamWrite('HKEY_CURRENT_USER','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable('WinDir')+'\System32\userinit.exe,');
RegKeyStrParamWrite('HKEY_CURRENT_USER','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','Shell','Explorer.exe');
RegKeyStrParamWrite('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AutoCreateQ uarantine', '"' + GetAVZDirectory + 'avz.exe' + '"' + ' Script=' + '"' + GetAVZDirectory + 'Script.txt' + '"');
AddLineToTxtFile(GetAVZDirectory + 'Script.txt', 'begin'+#13#10+' CreateQurantineArchive(GetAVZDirectory' + ' + ' + Chr(39) + 'quarantine.zip' + Chr(39) + ');'+#13#10+' RegKeyParamDel('+Chr(39)+'HKEY_CURRENT_USER'+Chr(39) + ', ' +Chr(39)+'Software\Microsoft\Windows\CurrentVersion\Run'+Chr(39)+ ', '+Chr(39)+'AutoCreateQuarantine'+Chr(39)+');'+#13#10+' ExecuteFile('+Chr(39)+'explorer.exe'+Chr(39) + ', ' + 'GetAVZDirectory, 1, 0, false);'+#13#10+' ExitAVZ;'+#13#10+'end.');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Архив quarantine.zip из папки с AVZ отправьте через веб-форму (http://www.oszone.net/virusnet).
Обновите базы AVZ (меню Файл\Обновление баз) и сделайте новые логи AVZ и RSIT.
________________________________________
Скачайте Malwarebytes' Anti-Malware (http://www.malwarebytes.org/mbam-download-exe.php), установите, обновите базы.
Если программа уже установлена - обновите базы.
Выберите Полное сканирование, нажмите Сканирование. Отметьте локальные диски и флешки.
После сканирования откроется лог. Если он не открылся, нажмите Ok - Показать результаты
Сохраните лог и прикрепите к сообщению.
________________________________________
Скачайте SecurityCheck by screen317 (http://screen317.spywareinfoforum.org/SecurityCheck.exe) на рабочий стол.
Запустите программу, после появления консоли нажмите на любую клавишу для начала сканирования.
Дождитесь завершения сканирования и формирования лога. Скопируйте/вставьте содержимое лога утилиты в следующее сообщение.

[Baiker]

простите за ожидание. времени не было

[alex_sev]

Повторите сканирование в MBAM и удалите:

HKCR\CLSID\{82184935-B894-4AB2-8590-603BA7D74B71} (Trojan.WebMoner) -> Действие не было предпринято.
HKCR\Василий Лычковский (сост.) - О мастурбации мозга, Или Как Управляют Нашим Сознанием.eProtocol (Trojan.WebMoner) -> Действие не было предпринято.

[Baiker]

удалил на второй раз. просто выложил первый лог по ошибке. результата пока неизвестен

[S.R]

Что с проблемой?

[Baiker]

Ваш скрипт помог. всё в порядке. спасибо
P.S.: Сегодня при установке браузера и выхода через него в интернет, опять вышла эта крикозяблина. наверно лучше систему с нуля переустановить?!