Вирус на ПК

[contE]

Вирус на ПК

Пролезла какая то дрянь на пк, теперь с него нельзя выйти в интренет. В свойствах обозревателя в прокси прописан некий "theholan.com" и никак не убирается.

Лог uvs приложил

 

[Аркалык]

contE, ВЫПОЛНЯЕМ СКРИПТ В uVS
- скопировать содержимое из поля "Код" в буфер обмена (выделяете текст мышкой, затем щелкаете правой кнопкой мышью и выбираете Копировать);
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, слева наверху выбираете пункт: скрипты - выполнить скрипт из буфера обмена;
- отключаем антивирус и закрываем все браузеры перед выполнением скрипта;

;uVS v3.87.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref 1192.168.9.101:8080
delref 192.168.9.101:8080
delref HTTP://WWW.BING.COM/SEARCH?Q={SEARCHTERMS}&FORM=IE8SRC
regt 13
deltmp
delnfr
dnsreset
restart

перезагрузка, пишем о старых и новых проблемах.
------------------------
далее, выполните быстрое сканирование в Malwarebytes

 

[contE]

Не помогло. Возможно причина в том, что эта пакасть отображается на учетке юзера с огр. правами, а uvs я сканировал с админки?
P.s. из обозревателя она пропала, но вот в firefoxe по прежнему сидит.

 

[contE]

лог malwarebytes

 

[Аркалык]

contE, 3.сделайте проверку в АдвКлинере
http://www.tehnari.ru/f150/t87975/

*****
4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
-----------
Если не помогло, попробуйте полностью удалить браузер и установить заново.

 

[contE]

Проверку Адв сделал. Кроме 2 папок mail.ru ничего не нашлось.
Переустановка mozilla, предварительно удалив с помощью revo uninstaller, так же ничего не дала.

 

[Аркалык]

contE, Посмотрите список расширений браузера, удалите все расширений, проверьте проблему.

 

[contE]

Расширения проверил в первую очередь, там все чисто.

 

[safety]

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
winsockreset
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
----------
+
проверьте,
(если проблема останется)
возможно ли вручную отключить настройки прокси в браузерах.

 

[contE]

Ничего не изменилось.
Дело в том что мне нужно не отключить их, а использовать системные настройки прокси, что я и выбираю, после чего инет работает, до тех пор пока не будет перезапущен браузер. "URL автоматической настройки прокси" после перезапуска мозилки выставляется вновь на "theholan" и интернет соответственно не работает.
На пк испульзуется только mozilla, даже explorer отключен.

Еще раз повторю вопрос, возможно ли что лог дал не верную информацию, поскольку делался с админской учетки а не с текущей (на которой наблюдается проблема)? Перепроверил, на самой админке всё здорово, чистенько.

В любом случае заново подготовлю лог Uvs, в этот раз с нужной учетки.

 

[contE]

Новый лог uvs с учетки пользователя.

 

[safety]

uVS показывает автозапуск по всем учеткам, которые есть в системе. Главное, чтобы uVS был запущен с правами администратора.

вот этот адрес:

192.168.9.101

это что у вас? роутер? или хост в локальной сети, который для всех является локальным прокси?

Полное имя 192.168.9.101:8080
Имя файла 192.168.9.101:8080
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям
PROXYSERVER (ССЫЛКА ~ \INTERNET SETTINGS\PROXYSERVER)(1) [auto (0)]

Сохраненная информация на момент создания образа
Статус в автозапуске

Ссылки на объект
Ссылка HKEY_USERS\S-1-5-21-1813714963-4017625400-36648742-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer
ProxyServer 192.168.9.101:8080

 

[contE]

это что у вас? роутер? или хост в локальной сети, который для всех является локальным прокси?

Верно, это наш локальный прокси-сервер.

 

[safety]

в образе ничего подозрительного нет.
проверьте полностью систему с помощью cureit
может курейт что-то обнаружит.

 

[contE]

К сожалению, я им воспользовался перед тем как обратится сюда, и он ничего не выявил.

 

[Аркалык]

contE, сделайте лог ComboFix: Как сделать лог с помощью утилиты ComboFix ?

 

[contE]

ComboFix как то неадекватно себя повел. Отключил KES10, отключился от сети, поставил его на сканирование, отошел и вернулся мин через 10, на компе происходило черти что, combofix открывал и закрывал по три окна в секунду, а сам exe файл пропал с рабочего стола. После ребута почти на каждое мое действие выдавалась ошибка. В конечном итоге пришлось делать восстановление с контрольной точки.

Гуглил данную проблему с "URL автоматической настройки прокси", выходил на подобные форумы и темы. Там так же uvs, avz, malwarebytes, combofix ничего не выявляли
Некоторым помогало удаление строчки url внутри файла prefs.js и user.js, что лежат в профиле firefox, но мне это ничего не дает. В первом случае, после перезапуска строка вновь на месте, а во втором - файл user.js просто отсутствует.

Так же пробовал скопировать содержимое профиля ff на админке и заменить те что находятся у юзера. Эффект все тот же, http://theholan.com/7PU3mb/r73H.euh так и сидит...

Браузер кстати вновь удалил, почистил реестр ссleaner, и поставил новый, актуальную версию.

 

[safety]

систему откатили на момент, когда не было этой проблемы с левым прокси?

можно еще проверить утилитой от ЛК

Утилита для лечения последствий заражения Trojan-Banker.Win32.Capper


Утилита для лечения последствий заражения Trojan-Banker.Win32.Capper

1. Признаки заражения

Вредоносная программа Trojan-Banker.Win32.Capper прописывает специальный url-адрес в параметрах автоматической настройки прокси-сервера в установленных веб-браузерах Internet Explorer, Mozilla Firefox, Opera, Google Chrome (использует настройки Internet Explorer).

 

[contE]

систему откатили на момент, когда не было этой проблемы с левым прокси?

Перед установкой combofix.

Утилита для лечения последствий заражения Trojan-Banker.Win32.Capper

Увы и ах, угроз не обнаружено

 

[safety]

@contE,
возможно откатить систему на момент, когда не было левого прокси?