Вирус - предлагает обновить браузер и прочее

[Goranflo]

Походу подцепил вирус - всплывают окна, то предлагают браузер обновить то перекидывает на другие страницы.

Сделал лог в uVS: http://zalil.ru/33972703

ссылку ссылкой сделать не могу - браузер вирусом покоцан.
Заранее благодарен за помощь!

[Vvvyg]

Скопируйте скрипт из окна "код" ниже в буфер обмена:

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

exec "C:\PROGRAM FILES\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL
deltmp
delnfr
restart

Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить". На вопросы об удалении программ соглашайтесь.
Компьютер перезагрузится.
Сделайте лог быстрого сканирования MBAM.
Подключение через роутер?

[Goranflo]

Да, подключение по вай фай

[Vvvyg]

Зайдите в настройки роутера и посмотрите, что прописано в качестве DNS.

[Goranflo]

DNS: 213.132.64.107
213.132.64.108

[Vvvyg]

Это и в IE, и в FireFox происходит? Попробуйте удалить плейер от TVZavr с его плагинами.

[Goranflo]

лог MBAM по нулям - пишет что вредоносные программы не обнаружены

---------- Добавлено в 01:47 ---------- Предыдущее сообщение было написано в 01:44 ----------

Сообщение от Vvvyg

Это и в IE, и в FireFox происходит? Попробуйте удалить плейер от TVZavr с его плагинами.

Модзилка - браузер по умолчание, в ней всё хуже. Но и в ИЕ тоже симптомы есть.
А где найти этот плейер и как удалить вместе с плагинами корректно?
Реестр чистить надо?

[Vvvyg]

Попробуйте такой скрипт в uVS:

;uVS v3.76 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delall %SystemDrive%\PROGRAM FILES\AV\AVPLAYER\AVPLAYER.EXE
delall %SystemDrive%\PROGRAM FILES\AV\AVPLAYER\{PLUGIN}\NPAVPLUGIN.DLL
delall %SystemDrive%\PROGRAM FILES\MOZILLA FIREFOX\PLUGINS\NPAVPLUGIN.DLL
deltmp
delnfr
restart

После перезагрузки сделайте лог OTL by OldTimer как описано здесь.

[Goranflo]

http://zalil.ru/33975619
http://zalil.ru/33975621
оба лога...

[Vvvyg]

Всё-таки, смотрите внимательно настройки роутера. По логу явно видно, что по DHCP компьютер получил от роутера такие ip-адреса в качестве DNS-серверов:

88.198.15.115 192.168.1.1

Второй - это адрес роутера, а первый и есть тот зловредный, из-за которого баннеры. Ищите в разделе LAN роутера и удалите оба. После этого отключите антивирус, запустите OTL, скопируйте скрипт ниже в окно Custom Scans/Fixes и нажмите Run Fix

:processes

:OTL
IE - HKLM\..\URLSearchHook: {fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5} - C:\Program Files\BS_Player\tbBS_P.dll (Conduit Ltd.)
IE - HKLM\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1750559
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT1750559
[2011.07.18 18:13:49 | 000,000,000 | ---D | M] (AV DLM) -- C:\Users\Вадим\AppData\Roaming\mozilla\Firefox\Profiles\uaoy8ik6.default\extensions\avdlm@active-video.ru
[2011.05.30 10:49:52 | 000,000,921 | ---- | M] () -- C:\Users\Вадим\AppData\Roaming\mozilla\firefox\profiles\uaoy8ik6.default\searchplugins\conduit.xml
O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (BS Player Toolbar) - {fed66dc5-1b74-4a04-8f5c-15c5ace2b9a5} - C:\Program Files\BS_Player\tbBS_P.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.

:Files

autorun.inf /alldrives
recycler /alldrives
ipconfig /flushdns /c
:Reg

:Commands
[EMPTYTEMP]
[EMPTYJAVA]
[EMPTYFLASH]
[purity]
[Reboot]

Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта. Выложите его и дайте ссылку.

[Goranflo]

всё это замечательно - вот только ни один браузер не может загрузить веб-интерфейс модема (наверное вирус глушит). жесть! скачал еще хром - та же история.

---------- Добавлено в 00:28 ---------- Предыдущее сообщение было написано в 00:19 ----------

перегрузил модем - смог пролезтоь к интерфейсу. сейчас опробую рецепт

---------- Добавлено в 00:39 ---------- Предыдущее сообщение было написано в 00:28 ----------

удалил из настроек роутера злобный адрес 88.198.15.115, выполнил скрипт, выкладываю ссылку на лог после перезагрузки:
http://zalil.ru/33975942

---------- Добавлено в 00:55 ---------- Предыдущее сообщение было написано в 00:39 ----------

огромное спасибо - браузеры на планшете работают нормально!

[Vvvyg]

Теперь ещё выполните скрипт проверки уязвимостей в AVZ - и всё на этом.