Противная ссылка - сканера не берут, в реестре не нашёл :-( !!!

Добрый Я 06.05.2004 - 20:42 | Банальная проблема, сколько раз сталкивалася и решал, но не сейчас ... На одной из сетевых тачек после каждой перезагрузки домашняя страница меняется на вот что : http://bestsearch.cc/2484/, причём ежели глядеть в свойствах то это выглядит вот так : http://69.50.191.52/2484/hp.php Прошёлся по машине 3мя сканерами со свежим апдейтом, просмотрел реестр (ну насколько это возможно) ничего не нашёл. ДРУГИ.... Поможите !!! И чёрт возьми, интересно где это дрянь зарылась !!!
Andrey23 1 - 06.05.2004 - 20:58 | Попробуй поискать эту ссылку с помощью программы HijackThis - www.spywareinfo.com/~merijn/index.html
Добрый Я 2 - 06.05.2004 - 21:04 | Андрей, спасибо за совет, но я предполагаю, что всё проще, сканера не воспринимают эту запись как что то враждебное и не показывают её (я использовад троян ремувер, аб варе и ещё чего й то - результат хороший вычистил кучу разной каки, но не эту), мне интересно где в реестре может храниться параметр на изменение (или востановление) домашней страницы в IE.
Andrey23 3 - 06.05.2004 - 21:08 | Так это и не сканер. Эта программа показывает все записи в реестре где может находится spyware (стартовая страница, автозагрузка и т.д.). Всё это можно просмотреть и вручную удалить компонент вызывающий смену стартовой страницы.
Добрый Я 4 - 06.05.2004 - 21:11 | Сенк счза попробую !!!
Shturmer 5 - 06.05.2004 - 21:19 | в командной строке набрать и запустить: regedit Зайти вот сюда. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run ПРоверить строки запуска, что загружается каждый раз при запуске машины и откуда. Найти подозрительную программу и удалить ее, удалив также запись ее в этом разделе реестра системы. С уважением, Макс Штурмер. :)
Добрый Я 6 - 06.05.2004 - 21:28 | Андрей ещё раз спасибо, рекомендованной программкой почистил реестр, всё ок. Но эта су..а после перезагшрузки востановила все удалённые ключи. !!! :-(
Добрый Я 7 - 06.05.2004 - 22:07 | Хлопцы, что делать с этой какой, ну очень надоела хрень !!!
Shturmer 8 - 06.05.2004 - 22:12 | Добрый Я - я же написал. Удалите исполняесые файлы, которые оотносятся к этой гадости. :) Кроме того, можно ручками удалит из Менеджера Задач процесс, который будет иметь такое же имя, как и исполняемый файл. А вообще - поставьте на машину нормальный антивирус и с помощью программы тонкой настройки браузера (К примеру, XP Tweak) запретите для профиля, в котором работаете в Интернет, изменение реестра системы. Там же можно включить кучу всяких штучек типа явного запрета открытия всплывающих окон, исполенря любых скриптов, добавления телефонных номеров в соединения и другие вкусности, которые не позволят порносайтам... ой, то есть, актисно посещаемым ресурса, заниматься гадостями на Вашей машинке. :)
Добрый Я 9 - 06.05.2004 - 22:21 | Уважаемый Shturmer, я вычистил реестр (то есть вычищаю его каждый раз при запуске машины) от непонятных ключей-процесов, но заподло в том, что сам исполняемый модуль я не могу увидеть при детализации ключа реестра нет ссылки на исполняемый файл. Ежели есть майл могу ради шутки выслать скрин шот. Кстати, что самое забавное это не есть ссылка на порно сайт, это ссылка на некий буржуйский поисковик. А все сотрудники, которые имеют доступ к этой машине молчат и застенчиво улыбаются.
Shturmer 10 - 06.05.2004 - 22:24 | Высылайте скриншоты: 1)Ветки "Ран" реестра, которую указал выше. 2)Окна Менеджера задач со Всеми видимыми процессами. 3)Банку пива "Великопоповицкий козел". :)
Добрый Я 11 - 06.05.2004 - 22:45 | Всё выслал, за "Великоповицким козелом" (не одним) сообщу адрес куда прибыть !! С уважением !!!
Andrey23 12 - 06.05.2004 - 22:49 | 2 Добрый Я, Раз проблема вновь появляется после перезагрузки, значит в автозапуске остался процесс этого spyware. Можно в принцине скопировать сюда в форум результат проверки программой HijackThis (кнопка Save Log) и совместными усилиями определить причину.
Добрый Я 13 - 06.05.2004 - 22:54 | Копирую !!! Logfile of HijackThis v1.97.7 Scan saved at 22:52:20, on 06.05.2004 Platform: Windows XP SP1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\Windows\System32\smss.exe C:\Windows\system32\winlogon.exe C:\Windows\system32\services.exe C:\Windows\system32\lsass.exe C:\Windows\system32\svchost.exe C:\Windows\System32\svchost.exe C:\Windows\system32\spoolsv.exe C:\COMPAQ\ACLIENT\ACLIENT.exe C:\Program Files\Compaq\Compaq Management Agents\cpqalert.exe C:\Windows\Cpqdiag\Cpqdfwag.exe C:\PROGRA~1\Compaq\COMPAQ~1\CPQWEB~1\WebDmi.exe C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\DefWatch.exe C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe C:\Windows\System32\NMSSvc.exe C:\Program Files\Symantec_Client_Security\Symantec AntiVirus\Rtvscan.exe C:\Program Files\Compaq\Compaq Management Agents\Dmi\Win32\bin\Win32sl.exe C:\Windows\Explorer.EXE C:\PROGRA~1\Compaq\COMPAQ~1\cpqdmi.exe C:\Program Files\Analog Devices\SoundMAX\Smtray.exe C:\PROGRA~1\Compaq\COMPAQ~1\CHKADMIN.EXE C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe C:\Program Files\CheckPoint\SecuRemote\bin\fwenc.exe C:\Windows\svchost.exe C:\Windows\System32\ctfmon.exe C:\Program Files\Internet Explorer\iexplore.exe C:\Windows\System32\svchost.exe T:\&#236;&#238;&#232; &#228;&#238;&#234;&#243;&#236;&#229;&#237;&#242;&#251; on Ru6502w\Install\Antivir\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/2484/sp.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/2484/hp.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/2484/hp.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/2484/hp.php R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.50.191.52/2484/sp.php R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://bestsearch.cc/2484/search.php?qq= O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\Smtray.exe O4 - HKLM\..\Run: [ChkAdmin] C:\PROGRA~1\Compaq\COMPAQ~1\CHKADMIN.EXE O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe O4 - HKLM\..\Run: [fwenc.exe] "C:\Program Files\CheckPoint\SecuRemote\bin\fwenc.exe" O4 - HKLM\..\Run: [svchost] C:\Windows\svchost.exe O4 - HKLM\..\Run: [SysUpd] C:\Windows\sysupd.exe O4 - HKLM\..\RunServices: [CPQDFWAG] C:\Windows\Cpqdiag\CpqDfwAg.exe O4 - HKCU\..\Run: [ctfmon.exe] C:\Windows\System32\ctfmon.exe O4 - Global Startup: Shortcut to capture.lnk = C:\capture.bat
Добрый Я 14 - 06.05.2004 - 22:56 | Вот эта кака, начиная с R1 и является причиной моего беспокойства !
Andrey23 15 - 06.05.2004 - 23:00 | Вроде в автозагрузке этой гадости нет. Вот эти строчки нужно удалить, только перед удалением нужно закрыть Internet Explorer: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://69.50.191.52/2484/sp.php R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://69.50.191.52/2484/hp.php R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/2484/hp.php R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://69.50.191.52/2484/hp.php R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://69.50.191.52/2484/sp.php R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://bestsearch.cc/2484/search.php?qq=
Shturmer 16 - 06.05.2004 - 23:01 | Удаляем: c:\capture.bat R1 и R0 записи. :) Все. :)
Andrey23 17 - 06.05.2004 - 23:14 | 2 Добрый Я, Кажется понял я в чём проблема. У тебя в активных процессах есть это: C:\Windows\svchost.exe А процесс svchost.exe может быть только в папке C:\Windows\System32\ ! Удали кроме строк R0 и R1 ещё и эту строку: O4 - HKLM\..\Run: [svchost] C:\Windows\svchost.exe Перезагрузи компьютер и удали файл C:\Windows\svchost.exe, только не перепутай его с тем что в папке System32.
Andrey23 18 - 06.05.2004 - 23:17 | Этот процесс тоже скорее всего стоит удалить: O4 - HKLM\..\Run: [SysUpd] C:\Windows\sysupd.exe
Добрый Я 19 - 07.05.2004 - 00:30 | to Shturmer - спасибо дружище, но c:\capture.bat это мой батник, отвечающий за подгрузку шрифтов (печать с DOS на принтер) Андрей попробую...... завтра Господа спасибо !!!!!!!!!!
Red-bearded 20 - 07.05.2004 - 09:50 | Конечно это очень интересное занятие в рукопашную справляться с приблудами к IE, но я в последнее время пользуюсь Ad-Aware от Lavasoft (lavasoft.de). Она и в бесплатном варианте прекрасно с этим справляется. Только обновлять reflist надо регулярно. У меня со снабженцами нормальные отношения и я им не закрываю порно и проч. сайты (чтоб не портить отношения). И поэтому как минимум раз в неделю приходится справлятся с такой фигнёй и разными диалерами и кучей мелкопакостной мерзости. После того, как начал юзать Ad-Aware всё это делается практически автоматом, иногда бывает сетевые настройки для IE вручную потом подправишь и всё. Но и это можно автоматизировать.
Dign 21 - 07.05.2004 - 10:52 | Поставь себе Opera, если ее правильно настроить, изменить шкуру (внеший вид интерфейса), то будет работатать в ней приятней чем в IE. И трафик поменьше будет.
Shturmer 22 - 07.05.2004 - 14:13 | Андрей - точно! :) Токмо посерьезне дела значит - эт уже не просто вредная ссыла, а троянчик. seguridad.terra.es - бесплатный интерфейс от МакАффи для проверки системного диска от вирусов. Загрузи его и прочекай, что там лежит. :) --- Red-Beared - спасибо за наводку, а то я уже устал бороться. :)
КМС 23 - 07.05.2004 - 16:22 | Может все проще? У меня подобная проблема ушла после чистки попок Temp, Temporary Internet files и журнала. Затем перезагрузка.
Добрый Я 24 - 07.05.2004 - 19:47 | Так и есть это именно оно C:\Windows\svchost.exe Отстрелил его и всё ок !!!
Добрый Я 25 - 07.05.2004 - 21:51 | Андрей, старопоповицкий козел, или как его там с меня, оставь свой майл !
Andrey23 26 - 08.05.2004 - 14:11 | 2 Добрый Я Я же пиво не просил. Просто так помог. Тем более проблема довольно простая :)
Shturmer 27 - 09.05.2004 - 21:42 | Андрей - эх, альтруист! :) Кстати - всем страждущим. Почему-то из всех антивиром единственный, который нормально ловит такие вот микротроянчики - это Др.Веб. www.drweb.ru Только тачки притаранили - Нортон Антивирус спит, не видит таких червяков. А Вэб и Спайдер его ловят на раз. Так что, рекомендую, тем более что он бесплатно апдейтится. Единственное, что не лечит незарегенная версия, а только удаляет.

>>