При загрузке сайтов IE пытается установить соединение с др. сайтом содержащим вирус [Версия для КПК]

Войти

Показать полную графическую версию : При загрузке сайтов IE пытается установить соединение с др. сайтом содержащим вирус

Страниц : [1] 2

atb

13-10-2007, 21:54

Доброго времени суток...

При загрузке некоторых сайтов IE пытается установить соединение с др. сайтом содержащим вирус. С помощью фаервола определил куда IE запрашивает исходящие - ask.35832.com.
Nod32 ругается h t t p://ms.35832.com/x.exe(раньше было h t t p://flash.958167.com/x.exe )
Пока заблокировал исходящие соединение с этим сайтом создав правило в фаерволе.
Проверка антивирусником, поиск в реестре, проверка на шпионов положительных результатов не дали.
Win XP SP2, IE 6.0, Nod32, Outpost(anti-spyware). Обновления антивирусных и spyware баз самые последние.

Помогите избавится от этой гадости..

Severny

13-10-2007, 22:00

Скачай Cureit (ftp://ftp.drweb.com/pub/drweb/cureit/cureit.exe) , и проверь системный диск в безопасном режиме.
Скачай HijackThis (http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis_v2.exe)
сделай лог и выкладывай здесь.
Скачай AVZ (http://z-oleg.com/avz4.zip) , распакуй, обнови и перейди в меню
Файл-Исследование системы. Полученный лог запакуй и выкладывай здесь.

Adilhan

14-10-2007, 03:18

Скачай AVZ , распакуй, обнови и перейди в меню »
хочу сказат что ты мне винду попортил теперь я заражон вирусом каким. а Касперски промаргнул кажесь

atb

14-10-2007, 10:39

HijackThis

Severny

14-10-2007, 11:29

R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Documents and Settings\Игорь\Application Data\Mra\Update\mrasearch.dll
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll
O4 - HKLM\..\Run: [Winmplayer] "C:\WINDOWS\system32\KB_963491.exe"

В HijackThis поставь галочки перед этими строками и нажми Fix Checked.

Одного лога не достаточно, нужен еще AVZ.

хочу сказат что ты мне винду попортил теперь я заражон вирусом каким. а Касперски промаргнул кажесь »
Яснее излагайте проблему, Хозяин. Где чего я Вам попортил? Ссылку в студию. Коноплю в сторону пока.

atb

14-10-2007, 13:24

AVZ

Severny

14-10-2007, 13:44

AVZ »
Это не годится.
Скачай AVZ , распакуй, обнови и перейди в меню
Файл-Исследование системы. Полученный лог запакуй и выкладывай здесь. »
Нужно сделать так. Запаковать -- это Winrar или щелкнуть по файлам отчета правой кнопкой мыши, меню "отправить" -- "сжатая zip-папка" и прислать.

Вижу, у тебя стоит SP2, а кряк SP1 остался. Можно от него избавиться, он все равно не работает.
В Hijackthis пофикси
O20 - Winlogon Notify: reset5 - C:\WINDOWS\SYSTEM32\reset5.dll
O23 - Service: Reset 5 - Unknown owner - C:\WINDOWS\system32\srvany.exe (file missing)

Nihal

14-10-2007, 16:30

O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll

появляется при установке BitAccelerator, программы, которую требуют на http://letitbit.net.
"Bit Accelerator позволяет увеличить скорость до 10 раз", а так же часто отправляет пользователя совсем не туда, куда он хотел попасть.

Adilhan

14-10-2007, 16:31

Яснее излагайте проблему »
кароче я скачал
Скачай AVZ , распакуй, обнови и перейди в меню
Файл-Исследование системы. Полученный лог запакуй и выкладывай здесь. »
и обновил, после уже проблема не открывается ни одна программа
Ссылку в студию. Коноплю в сторону пока. »
что за ссылку ?

Severny

14-10-2007, 17:15

и обновил, после уже проблема не открывается ни одна программа »
Ты скорее всего включил AVZGuard. Тут уж "своя рука -- владыка".
К сожалению Олег Зайцев не сделал профиля по умолчанию для неподготовленных пользователей :)
В следующий раз придется предупреждать чтобы не жали во все подряд.

atb

14-10-2007, 17:46

лог AVZ в zip

Adilhan

14-10-2007, 18:18

Ты скорее всего включил AVZGuard. »
скорее всего так наверное в первй раз пользовался :up но ничего разобрался

atb

14-10-2007, 18:41

еще раздражают следующие подключения(смотрю журнал outpost):

www.tns-counter.ru
hit3.hotlog.ru
pagead2.googlesyndication.com
top.list.ru
top6.list.ru
counter.yadro.ru
ad.ent.tbn.ru
counter.rambler.ru
ad.adriver.ru

Severny

14-10-2007, 18:59

atb, В логе AVZ ничего не видно. Изменений нет после лечения в HijackThis?

atb

14-10-2007, 19:03

не-а..
IE продолжает пытаться установить это соединение... причем закономерности во времени установить не удается.
то пусто, то густо :)))

Severny

14-10-2007, 19:30

atb,
Зайди в AVZ меню Файл- Выполнить скрипт.
Скопируй код и нажми "Запустить"

begin
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
end.

atb

14-10-2007, 19:36

[микропрограмма лечения]> создан ключ реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
[микропрограмма лечения]> изменен параметр ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
[микропрограмма лечения]> удален ключ реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> создан ключ реестра HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр ftp ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр gopher ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр home ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр mosaic ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр www ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> создан ключ реестра HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
[микропрограмма лечения]> изменен параметр ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix
[микропрограмма лечения]> создан ключ реестра HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр ftp ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр gopher ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр home ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр mosaic ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр www ключа HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\URL\Prefixes
[микропрограмма лечения]> изменен параметр Default_Page_URL ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Start Page ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> удален параметр Local Page ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Default_Page_URL ключа HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Start Page ключа HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр SearchURL ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer
[микропрограмма лечения]> изменен параметр Default_Search_URL ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Search Page ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Search Bar ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр SearchAssistant ключа HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search
[микропрограмма лечения]> удален параметр CustomizeSearch ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search
[микропрограмма лечения]> изменен параметр SearchURL ключа HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer
[микропрограмма лечения]> изменен параметр Default_Search_URL ключа HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Search Page ключа HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр Search Bar ключа HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> удален параметр Window_Placement ключа HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр SearchAssistant ключа HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search
[микропрограмма лечения]> изменен параметр CustomizeSearch ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
[микропрограмма лечения]> изменен параметр SearchAssistant ключа HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

кста.. не помогло.

перегрузился. при загрузке форума, в логе outpostа появилось три блокированных попытки пролезть на ask.35832.com за трояном

Severny

14-10-2007, 19:46

Ну тебе скинули настройки IE по умолчанию.

atb

14-10-2007, 21:22

есть еще идеи, как замочить эту скотину?

Severny

14-10-2007, 21:41

O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://cam-krms.imsys.ru/activex/AxisCamControl.cab
На некоторых форумах по безопасности рекомендуют удалить и это. Думаю вреда особого не будет.
Может это плагины Maxthon чудят?
Зайди в АVZ в меню Сервис - Менеджер расширений IE. Пробуй отключать галочки по одной.