[решено] порно баннер (смс вымогатель) в Opera и IE

[Stabilo1838]

Проверил Cureit последним в безопасном режиме (полная проверка). Нашел 3 вируса, некоторые из них переместил, некоторые удалил. Проблем с IE вроде не наблюдаю а в Opera остался баннер.
Логи прилагаю
совет о Opera из http://kondrv.ru/pornobanner.html статьи не помог т.к. не видно путь к вирусу.

[okshef]

Лечение при SMS-Locker.rar (http://virusnet.info/forum/attachment.php?attachmentid=2842&d=1282388097) - почитайте, что касается оперы. А логи - само собой, посмотрят специалисты :)

[Stabilo1838]

Удаление баннера из Оперы:

1.Завершаем процесс opera.exe Для этого запускаем

Диспетчер задач (Ctrl+Alt+Del), находим в процессах opera.exe,

Правый клик –> завершить процесс.(или просто закрываем Opera, если даётся)

2. Пуск - Виполнить - Regedit - Ctrl+F. Вводим opera.exe,

снимаем галку с "искать только строку целиком" и ищем такие строки

"C:\Program Files\Opera\opera.exe" -preferences

"C:\Program Files\Opera\opera.exe" -requestPending -osint -url "%1" или что либо подобное

Ищем по ВСЕМУ реестру!!!\\

3. Всё что здесь выделено жирным шрифтом - удаляем

4. При запуске Opera указать, что начинать надо с экспресс-панели.

5. Всё !!!

Есть пункты реестра с ключом вида "C:\Program Files\Opera\opera.exe" "%1", интересно "%1" надо удалять?

[okshef]

+1 за труды!

[Stabilo1838]

okshef, не я статью писал, я ее копировал в форум, т к не все зарегистрированы на virus.net
Пока логи не проанализировали, запустил тот же Cureit От 27.01.2011, он не лечит, а перемещает 2 Trojan.http.block33 из C/windows в карантин, я так понял. Имя файла 9lkla4ppak.exe и 9lkla4ppak.exe.exe Причем "как файл" я их не вижу

[SolarSpark]

Доброго дня, по логам AVZ заражения не вижу

*давайте обновим Обновите Internet Explorer до IE8 (http://www.microsoft.com/windows/internet-explorer/worldwide-sites.aspx) даже, если им не пользуетесь
*сменим важные пароли
*затем сделаем лог RSIT

Если у вас 32 разрядная версия windows (http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions), то скачайте Random's System Information Tool (RSIT) (http://www.virusnet.info/random/RSIT.exe) или с зеркала (http://images.malwareremoval.com/random/RSIT.exe)
Если у вас 64 разрядная версия windows (http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions), то необходимо скачать эту версию Random's System Information Tool(RSIT)x64 (http://www.virusnet.info/random/RSITx64.exe) или с зеркала (http://images.malwareremoval.com/random/RSITx64.exe)
Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

а также

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

[SolarSpark]

а также проверьте вот этот файл на http://www.virustotal.com/
ссылку на проверку сюда

C:\Program Files\Call Of Duty 4 Modern Warfare\main\sound\battlechatter\us\3\US_3_landmark_near_trashcans_02.wav
давно играете в Call Of Duty 4?

все подобные вирусы используют схожий механизм: установку надстройки. поэтому надо внимательно просмотреть список всех установленных надстроек и удалить те из них, которые выпущены неизвестным производителем.
сразу же нужно посмотреть в браузере настройки прокси сервера и если указано использовать прокси 127.0.0.1, то надстройки может и не быть. в этом случае надо искать в процессах прокси

[Stabilo1838]

сам зловред (http://s010.radikal.ru/i312/1101/6c/8e1d7a745009.jpg)
давно играете в Call Of Duty 4? »
я вообще не играю, ноутбук знакомого... Файл в пуске создан 7 ноября 2010 годадавайте обновим Обновите Internet Explorer до IE8 даже, если им не пользуетесь »
не обновлял
*сменим важные пароли »
нет таких
*затем сделаем лог RSIT »
Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту »

прилагаю, Anti-Milaware с базами 38 дней давности нашел 3 зровреда при быстром сканировании, сейчас обновлюсь и сделаю полное
Подключи ноут к и-нету, обновлю IE и Walwarebytes

а также проверьте вот этот файл на http://www.virustotal.com/
ссылку на проверку сюда »
проверка (http://www.virustotal.com/file-scan/report.html?id=ecd0971f6664e399ee4257231f23f379f10fea76fe09d50c8d3517967a6e330a-1296201200)
все подобные вирусы используют схожий механизм: установку надстройки. поэтому надо внимательно просмотреть список всех установленных надстроек и удалить те из них, которые выпущены неизвестным производителем.
сразу же нужно посмотреть в браузере настройки прокси сервера и если указано использовать прокси 127.0.0.1, то надстройки может и не быть. в этом случае надо искать в процессах прокс »
как это все сделать для Opera?

Что сделал: обновил IE и базы Anti-Milaware но ничего не проверял.
РЕШЕНИЕМ оказалось (барабанная дробь) просто смена стартовой страницы (по умолчанию стояла mail.ru)

[SolarSpark]

по логам чисто..

как это все сделать для Opera? »

Выполнить в Опера
Инструменты - Настройки - Дополнительно - Содержимое - Настроить JavaScript...

Если окно Папка пользовательских скриптов непустое:
1. Если Вы сами не указывали эту папку для своих скриптов, очистите содержимое папки
2. Если Вы сами указывали эту папку для своих скриптов, поищите в ней незнакомый Вам скрипт и удалите его

[Stabilo1838]

Если окно Папка пользовательских скриптов непустое: »
у меня пустое

[SolarSpark]

проблемы остались?

[Stabilo1838]

maniy77, нет, спасибо за помощь =) я же писАл

РЕШЕНИЕМ оказалось (барабанная дробь) просто смена стартовой страницы (по умолчанию стояла mail.ru) »

[SolarSpark]

Деинсталлируйте Malwarebytes' Anti-Malware .

Создайте новую контрольную точку восстановления и очистите заражённую:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1) скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1), запустите, поставьте галочку напротив Select All и нажмите Empty Selected. если вы используете Firefox, нажмите Firefox - Select All - Empty Selected нажмите No, если вы хотите оставить ваши сохраненные пароли если вы используете Opera, нажмите Opera - Select All - Empty Selected нажмите No, если вы хотите оставить ваши сохраненные пароли
Рекомендуем для предотвращения заражения:
- не работать за компьютером с правами администратора
- в Internet Explorer отключить ActiveX и настроить безопасность (рекомендую использовать Firefox c плагином NoScript)
- регулярно устанавливать обновления windows и обновлять антивирусные базы.