24 ответов в этой теме

[kat27]

Здравствуйте.

Проблема следующая: поймали вирус подмены страниц, заблокирован mail, google, yandex. Cделала проверку Cureit, что нашлось вылечила, в файле hosts все в порядке, но проблема так и осталась.

Прикрепляю логи.

Спасибо.

 

Прикрепленные файлы:

•  логи.rar   9,37Мб   7 Скачано раз

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

- попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
- детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
- дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://vms.drweb.com/sendvirus/ несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];
- собрать и выложить в своей теме логи утилит, указанных в Правилах этого раздела форума.


4. При возникновении проблем с интернетом, таких как "не открываются сайты", в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа "Содержание сайта заблокировано" и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig


Для этого проделайте следующее:

• Зайдите в меню Пуск на Рабочем столе, вызовите в нем окно команды Выполнить...
• В появившемся окне наберите cmd и нажмите клавишу <Enter>. Появится черное окно консоли (интерпретатора команд).
• Напишите в этом черном окне команду ipconfig /all>"%userprofile%\ipc.log" и нажмите клавишу <Enter>, затем наберите там же команду explorer.exe /select,"%userprofile%\ipc.log" и нажмите клавишу <Enter>, нужный файл будет показан в Проводнике Windows.
• Приложите этот файл к своему сообщению на форуме.

Чтобы не сделать ошибок в написании команд, можно скопировать эти команды отсюда и последовательно вставлять в черное окно консоли путем выбора пункта Вставить из меню, появляющегося при нажатии правой кнопки мыши в черном окне консоли.

[Sybiryak]

В хейджеке фиксим

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://vaioportal.sony.eu

O15 - Trusted Zone: http://etp.roseltorg.ru

O15 - Trusted Zone: http://www.sberbank-ast.ru

O15 - Trusted Zone: http://*.sberbank-ast.ru

 

Отправьте в вирлаб

c:\users\Катя\appdata\local\temp\664FD7A0-5EF76588-7CC17214-85EFA448\reelkdzc.exe

C:\Users\Катя\AppData\Local\Temp\dwsC574.exe

 

Сообщение было изменено Sybiryak: 06 Май 2013 - 16:43

[kat27]

Спасибо, сейчас попробую разобраться как это сделать.

[lazarevee]

C:\Users\All Users\Mozilla\fnyfqvf.dll

c:\programdata\mozilla\fnyfqvf.dll

O20 - AppInit_DLLs: C:\PROGRA~3\Mozilla\fnyfqvf.dll - CureIt не знает надо отправить этот файлик на virustotal.com и ссылку сюда

Затем на анализ https://vms.drweb.com/sendvirus/?lng=ru (если есть угроза по вирустотал)

 

 

Sybiryak

Это всё легитимное, не надо трогать 

Spoiler

В хейджеке фиксим
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://vaioportal.sony.eu
O15 - Trusted Zone: http://etp.roseltorg.ru
O15 - Trusted Zone: http://www.sberbank-ast.ru
O15 - Trusted Zone: http://*.sberbank-ast.ru

Отправьте в вирлаб
c:\users\Катя\appdata\local\temp\664FD7A0-5EF76588-7CC17214-85EFA448\reelkdzc.exe - CureIt

Сообщение было изменено lazarev.ee: 06 Май 2013 - 16:52

[kat27]

Ссылка на результаты вирустотал https://www.virustotal.com/ru/file/4f9ab8dd8b2ff3d9c9797d651cc1c3d07231dd43754305d2094db0d3f255941d/analysis/1367848787/

[kat27]

Это всё легитимное, не надо трогать

 

А если уже трогала, то восстановить я  так понимаю никак? 

[lazarevee]

А если уже трогала, то восстановить я  так понимаю никак?

Ничего страшного там нет.

C:\ProgramData\Microsoft\Search\Data\Temp\usgthrsvc\NtfDD5.tmp - такой файлик есть ? (имя может отличаться) - тоже проверить.

 

C:\Users\All Users\Mozilla\fnyfqvf.dll - отправьте на анализ (один из них)
c:\programdata\mozilla\fnyfqvf.dll

Пофиксить в Хайджек (отметить строку и FixChecked)

O20 - AppInit_DLLs: C:\PROGRA~3\Mozilla\fnyfqvf.dll

Перезагрузиться после всего.

[kat27]

lazarev.ee

в папке C:\ProgramData\Microsoft\Search\Data\Temp\usgthrsvc\ пусто, все остальное сделала, mail и google работают, а поиск яндекса нет.

[lazarevee]

lazarev.ee

в папке C:\ProgramData\Microsoft\Search\Data\Temp\usgthrsvc\ пусто, все остальное сделала, mail и google работают, а поиск яндекса нет.

C:\Users\All Users\Mozilla\fnyfqvf.dll ,c:\programdata\mozilla\fnyfqvf.dll этих больше нет ? Мозиллы вообще нет у вас ? удалите всю папку.

Зайдите в настройки поиска браузера и посмотрите что там. Очистить кеш в браузере можете ?

Сообщение было изменено lazarev.ee: 06 Май 2013 - 17:43

[kat27]

 

lazarev.ee

в папке C:\ProgramData\Microsoft\Search\Data\Temp\usgthrsvc\ пусто, все остальное сделала, mail и google работают, а поиск яндекса нет.

C:\Users\All Users\Mozilla\fnyfqvf.dll ,c:\programdata\mozilla\fnyfqvf.dll этих больше нет ? Мозиллы вообще нет у вас ? удалите всю папку.

Зайдите в настройки поиска браузера и посмотрите что там. Очистить кеш в браузере можете ?

 

Папку мозилла удалила, файл там был, все почистила ccleaner, не работает поиск, в настройках поисковых систем браузера вообще пусто, ни одной нет и не добавляется, и как то он все еще себя подозрительно ведет, вкладки не восстанавливаются, браузер хром. 

[lazarevee]

Папку мозилла удалила, файл там был, все почистила ccleaner, не работает поиск, в настройках поисковых систем браузера вообще пусто, ни одной нет и не добавляется, и как то он все еще себя подозрительно ведет, вкладки не восстанавливаются, браузер хром.

Обновляться он может - настройки - о Хром.. (какая весия от мэйла ?)

[lazarevee]

Попробуйте удалить из панели управления - эти программки плотно интегрируются в систему и пользы от них не много (если есть), возможно они конфликтуют. Но это на ваше усмотрение.

MailRuSputnik

praetorian.exe
MailRuUpdater.exe

GuardMailRu.exe

Прикрепленные файлы:

•  IE.png   11,23К   0 Скачано раз

[lazarevee]

Если это удалили, добавьте

http://etp.roseltorg.ru
http://www.sberbank-ast.ru
http://*.sberbank-ast.ru

Сообщение было изменено lazarev.ee: 06 Май 2013 - 18:43

[kat27]

lazarev.ee, спасибо, все сделала. Хром переустановила. Все работает.

[lazarevee]

http://yadi.sk/d/elZaauzJ4bHho - устонавливает стартовую Яндекс в браузерах.

Следите за обновлениеми используемого ПО. Удачи.

[kat27]

http://yadi.sk/d/elZaauzJ4bHho - устонавливает стартовую Яндекс в браузерах.

Следите за обновлениеми используемого ПО. Удачи.

Спасибо!

[lazarevee]

kat27, Посмотрите как шутят хакеры этого вируса http://yandex.ru/yandsearch?text=fnyfqvf.dll&clid=1955455&lr=35

>В запросе «fnyfqvf.dll» восстановлена раскладка клавиатуры.   Быть может, вы искали: «от найма.dll»

Сообщение было изменено lazarev.ee: 06 Май 2013 - 19:50

[Юран]

Сделал все по инструкции - очень ожидаю дальнейших действий!!!!

Прикрепленные файлы:

•  ipc.log   1,22К   2 Скачано раз

[B.Chugunov]

Сделал все по инструкции - очень ожидаю дальнейших действий!!!

А у Вас, прошу прощения, в чем проблема то?