Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Вирус препятствует работе в интернете (http://forum.oszone.net/showthread.php?t=230452)

postoronim 15-03-2012 14:35 1879892
Вирус препятствует работе в интернете
 
Здравствуйте!
Вчера при попытке закачать файл для сброса "памперсов" для принтера Canon запустил в систему вирусы (очевидно). Невозможно стало работать в интернете. При попытке зайти через три имеющихся у меня браузера Файрфокс, ГуглХром и експлорер, возникает картинка как на вложенном скрине (1). Информация о системе компа на скрине (2). Сейчас я общаюсь с Вами через нетбук. Я попытался подлечить систему Dr. Web сканер. Он нашел два трояна(маячок) и один (клик). Пишет, что трояны обезврежены и клик удален. Но никакого улучшения нет. Что Вы посоветуете?

SolarSpark 15-03-2012 14:58 1879917
Цитата:
Цитата postoronim
Что Вы посоветуете? »
логи приготовить

alex_sev 15-03-2012 14:59 1879923
Цитата:
Цитата postoronim
Что Вы посоветуете? »
Выполнить правила

postoronim 15-03-2012 16:41 1880025
Просьба не удалять тему. Я приступаю к созданию логов по инструкции...

SolarSpark 15-03-2012 16:44 1880031
Ждем

postoronim 15-03-2012 20:34 1880219
Я выполнил процедуру. Кое что не получилось... например точка восстановления... потому что у меня нет такой опции. Просто есть тупо восстановить и все и ничего менять я там не могу. Затем непонятно как работала одна прога... вроде как зависла. но какие то логи выдала (я их сюда выкладываю). Я ее отработал через интернет как советовали в инструкции. Потом avz мне выдал много файлов. Я не увидел в них "знакомые лица", поэтому выкладываю, что выдала. Извините, я не разбираюсь в этом.

iskander-k 15-03-2012 20:37 1880224
в папке АВЗ в папке LOG есть два зип-архива virusinfo_syscure.zip,
virusinfo_syscheck.zip,- они и нужны.

postoronim 15-03-2012 20:37 1880225
Все файлы не помещаются. Что делать?

Их у меня 6 штук. Три тех и три тех. Какие вставлять? И у меня уже лимит прикрепления исчерпан.

iskander-k 15-03-2012 20:41 1880231
Цитата:
Цитата postoronim
Какие вставлять? »
Смотрим выше
Цитата:
Цитата iskander-k
virusinfo_syscure.zip,
virusinfo_syscheck.zip,- они и нужны. »
ненужные удалите (или я сейчас удалю)-удалил место хватит

postoronim 15-03-2012 20:57 1880243
Вот, разобрался через вкладку свойства, где зип а где ненужные... Спасибо. Мне трудно на нетбуке работать...

alex_sev 15-03-2012 22:19 1880286
Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\Users\Александр\appdata\local\temp\flash_player_update.exe','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\Rm9Hj32B.sys','');
 QuarantineFile('C:\Windows\system32\jxvolzi.dll','');
 QuarantineFile('C:\Windows\system32\E65A.tmp','');
 DeleteFile('C:\Windows\system32\E65A.tmp');
 DeleteFile('C:\Windows\system32\jxvolzi.dll');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\Rm9Hj32B.sys');
 DeleteFile('C:\Users\Александр\appdata\local\temp\flash_player_update.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteFile('C:\Users\8523~1\AppData\Local\Temp\Rm9Hj32B.sys');
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.
Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Полученный архив из папки с AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Пофиксите в HJT:

Код:
O20 - AppInit_DLLs: C:\Windows\system32\jxvolzi.dll
Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

postoronim 16-03-2012 10:00 1880478
Вот так выглядит папка avz4 после выполнения скриптов. Где мне искать архив (как он выглядит), который следует отослать по указанному адресу?

postoronim 16-03-2012 10:15 1880483
Насчет "пофиксить" - я нажал галочки на тех пунктах, которые ниже в ссылке были названы как случайные, а нажимать советовали те, которые скажет консультант. Совет этот запоздал, я уже "пофиксил" по этим галочкам (т.е. первые 5 пунктов). Я "накосячил"?

alex_sev 16-03-2012 10:58 1880503
Цитата:
Цитата postoronim
Где мне искать архив (как он выглядит) »
quarantine.zip

Цитата:
Цитата postoronim
Я "накосячил"? »
Да)

Какие именно строки фиксили?

postoronim 16-03-2012 11:16 1880515
Первые 5 (как было указано в примере вот по этой ссылке Пофиксите в HJT: )

postoronim 16-03-2012 11:49 1880539
Архив avz4 я отправил через почту по адресу .
Это требование: после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. - выполнить не могу так как о нем забыл и теперь не знаю где искать результаты сканирования. Там было 9 найденных подозрительных файлов. Я нажал "удалить их". Но интернет заработал, однако программа Malwarebytes' Anti-Malware при отправке писем постоянно предупреждает о предотвращении попытки входа на вредоносный сайт.

alex_sev 16-03-2012 11:55 1880545
Если эти

Код:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://hao.kuaibo.com/?qi20110823
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
то не накосячили)

Жду вот этого

Цитата:
Цитата alex_sev
Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. »

postoronim 16-03-2012 14:23 1880655
Malwarebytes' Anti-Malware я просканировал еще раз. Были найдены два вредоносных файла. Отчет был записан в log. Этот лог помещен в одноименную папку в месте расположения программы. Я успокоился, решил, что найду его. Удалил файлы получил еще один лог (по-видимому дубль первого) изменил чуть его имя и сохранил его в том же месте по тому же пути. Потом через проводник вышел к месту расположения программы, но никакой папки Log там не обнаружил. Где теперь искать эти проклятые логи не знаю.

alex_sev 16-03-2012 14:35 1880667
Здесь:

Код:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

postoronim 16-03-2012 20:19 1880872
Методом тыка и какой-то матери я разыскал эти логи. Вновь включил программу, а там есть у нее клавиша "отчеты" нажал ее и мне показало четыре лога. Я их скопировал в "проводник", а оттуда сюда. Однако при работе с почтовым сервером яндекса постоянно всплывает окошко с предупреждением о пресечении этой программой подключения к вредоносному сайте. Что это может означать?

alex_sev 17-03-2012 12:04 1881132
Что с проблемой?

postoronim 17-03-2012 12:51 1881154
Выше в посте я описал. Интернет работает. Но при работе с почтовым сервером яндекса (когда вхожу в ящик и когда вскрываю письма и когда отсылаю письма) постоянно эта программа показывает окошко с предупреждением о пресечении попытки входа на вредоносный веб-сайт. Что это такое? Программа ошибочно считает яндекс вредоносным сайтом или остался какой-то вирус, который пытается спихнуть мою систему на вредоносный сайт?

alex_sev 17-03-2012 13:03 1881160
MBAM можете деинсталлировать!

Ознакомьтесь с этими рекомендациями

postoronim 17-03-2012 20:13 1881365
У меня установлена Microsoft Security Essentials. MBAM деинсталлировал. Комп стал проворнее работать. Особенно ускорилось подключение к интернету через браузеры. Исчезли предупреждения. Я установил по Вашим рекомендациям Secunia Personal Software Inspector. Не будет ли конфликта между ним и Microsoft Security Essentials?
Создайте новую точку восстановления и удалите старые - эта рекомендация у меня невыполнима. Нет такой опции. Система сама это делает автоматически.
Я могу эту тему считать решенной?

iskander-k 17-03-2012 23:00 1881480
Цитата:
Цитата postoronim
Я могу эту тему считать решенной? »
Если проблем нет - то отмечайте решенной.


Время: 20:24.

Время: 20:24.
© OSzone.net 2001-