--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Постоянная атака трояна

Нужен совет (поиск решения проблемы. не для купли-продажи)
721
52
С друзьями на NN.RU
В социальных сетях
Поделиться
Vale4ka
19.02.2014
Доброго времени суток. Подскажите, пожалуйста, у меня постоянно всплывает окно "Вредоносный объект заблокирован постоянной защитой". Вредоносный объект Adware.Relevant!Q3pPmHzY0GU(Trojan). Обращение в службу поддержки к разработчикам антивируса результатов не дало. Подскажите, что можно сделать? (Антивирус Outpost Security Suite Pro версия 9.0 (4537.670.1937)). ОС Windows 8
путь-то какой пишет?
Vale4ka
19.02.2014
Путь : C/Users/пк/AppData/Local/temp/
Проверила Dr.Web Curelt! в безопасном режиме. Обнаружил 10 угроз. Вылечил. Перезагрузила в обычном режиме - сообщение снова появляется((
папку Темп - однозначно чистить. Желательно зайдя под F8 или с загрузочной флешки
Vale4ka
19.02.2014
Просто удалить все содержимое из этой папки? В безопасном режиме, я правильно поняла? Загрузочного диска у меня нет((
всё правильно поняли
Vale4ka
19.02.2014
Спасибо, сейчас попробую
может попробовать Dr. web Cureit проверить?
Вариантов 2:
1) Добавить его в исключения (если Вы уверены что это нужный файл)
2) Провести проверку и лечение сторонними средствами (AVZ, DrWEB, HiJackThis)
Vale4ka
19.02.2014
Я не знаю, нужный это мне файл или нет..
Лечение провела - проблем осталась
фаервол отображает расположение файла. если этот файл лежит в c:\program files\[название известной вам программы], то с высокой долей вероятности это нужный Вам файл.
Vale4ka
19.02.2014
Путь пишет такой : C/Users/пк/AppData/Local/temp/
ну это однозначно зверушка.
Вам по второму варианту. Причем желательно - с загрузочного устройства.
Во временной папке он "прописался" у вас,сносите к чертям эту бяку!
НО нет гарантии что он после перезагрузки ПК не будет вновь вам выносить мозг....
Вообще эту папку лучше иногда подчищать....
Нужны логи... Кем он и где запускается!
возможно нужно будет ковырять реестр...
Ну раз вы Валечка ищите сдесь ответы! то вот один из них :-)
Берете загрузочную флешку LiveCd запускаетесь с неё и проводите полную проверку системного(а можно и не системного еще до кучи ) диска
Обнаруживаете Гада,мочите,мочите,мочите его)))))
Vale4ka
19.02.2014
где же еще искать ответы, если не на любимом нн.ру? в нете уже все посмотрела, все что там пишут - сделала. Проблема не решена.
Давай теперь по пунктикам!
Что ты делала
1)
2)
2)
.....
Думаю решение найдём!
durashki
19.02.2014
Закрывайте все на рабочем столе. Закройте все программы, что висят "возле часов" в панели. Потом проводником залазиете по тому пути и грохаете этот файл от туда.. Дало удалить?? Скорее всего это просто рекламная фигня после распаковки какой нибудь программы.
которая появляется после лечения Аутпостом? ну-ну, много налечите...
zormax
19.02.2014
еще в первых версиях ихнего антивиря, ясно было, что это шлак. а как то зашел на форум, так корки еще те про ентот антивирь.
Аутпост никогда не был антивирусом. это так, для общего развития. а вот их антивирус (который антивирус) по уровню защиты компа на голову выше всех бесплатных свистелок. Хотя безусловно проигрывает Касперскому и Симантеку.
durashki
19.02.2014
При всем УВАЖЕНИИ.А ТЕПЕРЬ по буквам читайте что написано в первом сообщении.. ГДЕ ТАМ ПРО ЛЕЧЕНИЕ??? ЗАБЛОКИРОВАНО - Оставлено на месте, но урезано в "правах и обязанностях" на данный момент.
я это к тому, что раз оно появляется постоянно - это точно не "разовая рекламная хрень". и судя по местожительству - оно распаковывается либо из ветки appinit, либо из winlogon. реклама туда не пишется.
Vale4ka
19.02.2014
Все сделала, как писали выше. Скачала с Dr.Web, в безопасном режиме отсканировала, все "полечила", из парки ТЕМП все удалила (оставила только саму папку, правда некоторые папки удалить не получилось, т.к пишет, что у меня нет каких-то прав). Перезагрузила комп. Итог-эта фигня опять появляется(((
Указывает путь, я смотрю в папку Темп, там появляется этот файл, а потом куда-то сам из папки ТЕМП исчезает..
swall0w
19.02.2014
Web'ом проверяли весь компьютер (все диски) или только по умолчанию память, процессы, загрузочные сектора и системные папки?

PS. еще желательно остановить процесс explorer (проводник) перед выполнением проверки...
Vale4ka
19.02.2014
только то, что предлагает Web. Никаких "галочек" не нажимала
swall0w
20.02.2014
понятно... это не поможет
сама "зараза" живет в другом месте, а в temp только следы деятельности этой "заразы"...

Проверять надо весь компьютер полостью, может повезет и web "заразу" найдет,
если нет то будет немного сложнее...
Esik
19.02.2014
Vale4ka писал(а)
из парки ТЕМП все удалила (оставила только саму папку, правда некоторые папки удалить не получилось, т.к пишет, что у меня нет каких-то

А Вы чистили папку Temp в безопасном режиме, или в обычном?

Если и в безопасном не почистится, надо грузится с LiveCD, хотя бы с того же сайта DrWeb и чистить папку из-под него.
И запустить после этого (не выходя из LiveCD) лечение всего компьютера.
чистить папку бесполезно, он не там живет - туда его распаковывает основная программа
пользовать hijackthis, искать заразу в бутовых ветках реестра.
В реестре! Все в реестре!
+ тебе!
Но вырубит она ее в реестре,а сам файл то один фиг останется...
Где корневая/исполняющая то папка/файл ныкается мне интересно?....
На самом деле все просто!
Снять логи работающих процессов,посмотреть этот самый левый процесс,путь к нему в реестре....
Скорее всего он ныкается в HKLM - Run или же что маловероятнее в explorer....
"коневая" папка может быть где угодно - хоть c:\windows\system32 и лежать там будет ничем не примечательная oodb_32.dll, проверка которой любым антивирусом даст отрицательный результат.
поэтому - сперва в реестре ищем "запускалку", а потом по имени запускаемого файла ищем его а диске.
хотя последним можно пренебречь, т.к. без команды от реестра он АБСОЛЮТНО безвреден.
swall0w
20.02.2014
Deathmaker писал(а)
чистить папку бесполезно, он не там живет - туда его распаковывает основная программа

это так и есть..
McLane
19.02.2014
раз Outpost не удалил, а только заблокировал, то идете на сайт www.drweb.com
скачиваете бесплатную утилиту CureIT - запускате .. сканируете ... смотрите на результат - должен выдать что нашел удалил с диска и почистил реестр.
Нет значит другими средствами будем лечить ;)
Vale4ka
19.02.2014
ответила чуть выше, что результата нет
Crocodile
19.02.2014
www.bitdefender.com/VIRUS-213973-en--Adware-Relevant-A.html
Видимо, надо вдумчиво копать реестр.
Vale4ka
19.02.2014
Сама я этого делать не умею((. Скажите, на что нужно обратить внимание, когда буду обращаться к "лекарям". Чтобы не "развели" чайника..
Crocodile
19.02.2014
Качайте вот это:
sourceforge.net/projects/hjt/
Запускайте, жмите "Do a system scan and save a log file"
У вас выскочит текстовый файлик. Сохраните его и выложите сюда.
Vale4ka
19.02.2014
Сделала. еще деинсталлировала Relevant Knowledge (откуда -то взялась )
К сообщению прикреплен файл:
87659945-hijackthis.log   (15 Kb)   Скачать файл
Crocodile
19.02.2014
Если умеете, загрузитесь с какого-нибудь LiveCD и поищите на своем компьютере файлы с названиями типа:
rkinstaller.exe
rkupginstaller.exe
rlvknlg.exe
rk.exe
rk.bin
rlls.dll
Смело их удаляйте.
Vale4ka
19.02.2014
я уже почитала, что нужно так сделать, но у меня нет диска, чтобы туда записать
Crocodile
19.02.2014
Поищите в интернете инструкции, как сделать загрузочную флешку. С неё тоже можно грузиться.
Vale4ka
19.02.2014
Спасибо, попробую с флешки.
Вы сейчас насоветуете!....
По удаляет она папки и файлы!
Потом появится тема,винда не загружается,синий экран! Что делать??
В реестре он у нее сидит! К гадалке не ходи!
однозначно в топку:
C:\Users\пк\Downloads\1\Новая папка\game.exe
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = g.uk.msn.com/HPALL13/36
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.mail.ru/cnt/7227
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = g.uk.msn.com/HPALL13/36
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = g.uk.msn.com/HPALL13/36
R3 - URLSearchHook: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll
O3 - Toolbar: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll
O4 - HKLM\..\Run: [CLVirtualDrive] "C:\Program Files (x86)\CyberLink\Power2Go8\VirtualDrive.exe" /R
O4 - HKLM\..\Run: [RemoteControl10] "C:\Program Files (x86)\CyberLink\PowerDVD10\PDVD10Serv.exe"
O4 - HKLM\..\Run: [HP Quick Launch] C:\Program Files (x86)\Hewlett-Packard\HP Quick Launch\HPMSGSVC.exe
O4 - HKCU\..\Run: [Autodesk Sync] C:\Program Files\Autodesk\Autodesk Sync\AdSync.exe
O4 - HKLM\..\Run: [HP CoolSense] C:\Program Files (x86)\Hewlett-Packard\HP CoolSense\CoolSense.exe -byrunkey
O4 - HKUS\S-1-5-18\..\Run: [Autodesk Sync] C:\Program Files\Autodesk\Autodesk Sync\AdSync.exe (User 'СИСТЕМА')
O4 - HKUS\.DEFAULT\..\Run: [Autodesk Sync] C:\Program Files\Autodesk\Autodesk Sync\AdSync.exe (User 'Default user')
O8 - Extra context menu item: &Отправить в OneNote - res://C:\PROGRA~1\MICROS~1\Office15\ONBttnIE.dll/105
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office15\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - (no file)
O9 - Extra button: @C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\Resources\HPNetworkCheck\HPNetworkCheckPlugin.dll,-103 - {25510184-5A38-4A99-B273-DCA8EEF6CD08} - C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\Resources\HPNetworkCheck\NCLauncherFromIE.exe
O9 - Extra 'Tools' menuitem: @C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\Resources\HPNetworkCheck\HPNetworkCheckPlugin.dll,-102 - {25510184-5A38-4A99-B273-DCA8EEF6CD08} - C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\Resources\HPNetworkCheck\NCLauncherFromIE.exe
O9 - Extra button: Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office15\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office15\ONBttnIE.dll
O9 - Extra button: Звонок щелчком Lync - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Office\Office15\OCHelper.dll
O9 - Extra 'Tools' menuitem: Звонок щелчком Lync - {31D09BA0-12F5-4CCE-BE8A-2923E76605DA} - C:\Program Files (x86)\Microsoft Office\Office15\OCHelper.dll
O9 - Extra button: &Связанные заметки OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Program Files (x86)\PokerStars.NET\PokerStarsUpdate.exe (file missing)
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O13 - Gopher Prefix:
O18 - Protocol: osf - {D924BDC6-C83A-4BD5-90D0-095128A113D1} - C:\Program Files (x86)\Microsoft Office\Office15\MSOSB.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\Windows\SysWow64\skype4com.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing)
O23 - Service: Autodesk Content Service - Autodesk, Inc. - C:\Program Files (x86)\Autodesk\Content Service\Connect.Service.ContentService.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Guard.Mail.ru - Unknown owner - C:\Program Files (x86)\Mail.Ru\Guard\GuardMailRu.exe
O23 - Service: Служба Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Служба Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: HP Support Assistant Service - Hewlett-Packard Company - C:\Program Files (x86)\Hewlett-Packard\HP Support Framework\hpsa_service.exe
O23 - Service: HP Connected Remote Service (HPConnectedRemote) - Hewlett-Packard - C:\Program Files (x86)\Hewlett-Packard\HP Connected Remote\HPConnectedRemoteService.exe
O23 - Service: HP Software Framework Service (hpqwmiex) - Hewlett-Packard Company - C:\Program Files (x86)\Hewlett-Packard\Shared\hpqWmiEx.exe
O23 - Service: @oem41.inf,%hpservice_desc%;HP Service (hpsrv) - Unknown owner - C:\Windows\system32\Hpservice.exe (file missing)
O23 - Service: HPWMISVC - Hewlett-Packard Development Company, L.P. - C:\Program Files (x86)\Hewlett-Packard\HP Quick Launch\HPWMISVC.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Defender\MpAsDesc.dll,-310 (WinDefend) - Unknown owner - C:\Program Files (x86)\Windows Defender\MsMpEng.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

так же я бы лично попробовал поубирать ветки (с предварительным бэкапом) относящиеся к:
C:\Program Files (x86)\Nuance\PaperPort\
C:\Program Files (x86)\Nuance\PDF Viewer Plus\
C:\Program Files (x86)\Browny02\Brother\

и вообще судя по логу - комп изрядно засран программами, установленными "методом блондинки". я бы подумал насчет отдать в грамотные руки на переустановку.
Многое из того, что находится в О23 с пометкой (file missing) - после удаления и повторного сканирования появляется снова: заметил такую особенность в Win7 x64.
На первый взгляд - ничего плохого, кроме шлака, коим система загажена аки доменная печь в конце смены... Кстати, ТС не сказали, чтоб запускала Хайджек от имени Администратора... Кстати, есть программа, включающая в себя Хайджек, но выдающая больше информации - RSIT ( virusinfo.info/showthread.php?t=115256 )
Что можно сделать... CCleaner или AVZ - почистить систему. Ну и разок запустить Gmer: просканировать на наличие руткитов; зайти в Windows Update и накатить последние заплатки на систему (если есть).
про O23 - да, есть такое, часть записей возвращается.
Vale4ka
20.02.2014
ноут мне достался от брата мужа. Многое, что на нем установлено мне вообще не нужно. Мне нужно то всего несколько программ для работы, общения и.т.д
Видимо так и придется обращаться к знающим. Кстати, посте деинсталяции программы, окошко с оповещением перестало появляться. Вот только надолго ли?
Vale4ka
20.02.2014
Еще подскажите, пожалуйста, где найти то, что Вы перечислили?
Crocodile
20.02.2014
Когда запускаете Hijack в режиме "Do a system scan only", слева от этих пунктов будут чекбоксы, в них ставите галочки и нажимаете внизу "Fix checked".
да.
Vale4ka
20.02.2014
Спасибо, все сделала. Еще поудаляла ненужные мне программы. Вроде пока проблема не появляется
Vale4ka
25.02.2014
Всем большое спасибо. Не знаю, что именно помогло, но проблема вроде бы решена.
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов
Форум Тема (Автор) Последний ответ Ответов
Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.