Я заманался "чистить" директорский комп. от вирей.
Он лазит по порносайтам.

никакие антивирусы, огненные стены и антишпионы не спасают , т.к. в этом случае пользователь инициирует соединение.

В систему попала библитечка systr.dll.
Если найдёте у себя такую, удаляете.
Поменяла эта зараза станицы в IE: стартовую, страницу поиска, страницу по-умолчанию, уже удалил эту dll. К стати выяснил, что именно эта dll с помощью Ad-Aware SE, но эта программа показывает только отдалённые сслки на эту библиотечку.
Но теперь, я так понял, что система сама подставляет неверные адреса в настройки IE. .

Наверное прийдется ставить другой обозреватель ему.

Это сообщение отредактировал(а) dsergey - 19.4.2005, 14:41

мне кажется, что еще какие-то настройки беруться не из реестра, т.к. выполняю поиск по реестру и ненахожу этот адрес (адрес, к которому IE пытается подключиться).

Читаем здесь
Добавлено @ 15:17
Результаты анализа:
systems32.exe - троянский самораспаковывающийся RAR архив, при запуске распаковывает gigasoft.dll и сопутствующие ей ресурсы, после чего запускает скрипт:
Код:

Setup=regsvr32 /s gigasoft.dll
Silent=1
Overwrite=1



который регистрирует gigasoft.dll. Как следствие, нужно найти gigasoft.dll, выполнить в ее каталоге команду
Код:
regsvr32 /u gigasoft.dll

и затем удалить gigasoft.dll Сама gigasoft.dll является как минимум крутилкой рекламы
2. systr.dll - компонент некоей крутилки рекламы, его можно и нужно уничтожить
Posted by: Geser Posted on: 29/12/2004, 09:55:54
А поискать програмкой на которую я дал ссылку ключи с systr.dll, system32.exe? То что ты написал это все?
Posted by: Sir_Miron Posted on: 29/12/2004, 09:49:12
Цитата от: Geser от 29/12/2004, 09:22:37
Хм... И кто их удалил?


Хм... Я если честно... Когда понял, что этот dll мне проблемы устраивает решил удалить его и все его упоминания в реестре. Похоже перестарался...

Вот здесь - Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
ControlPanel =
была строка с упоминанием толи popup_bl.dll или cmd32.exe - не помню уже...
Posted by: Geser Posted on: 29/12/2004, 09:22:37
Цитата от: Sir_Miron от 29/12/2004, 00:28:36
К сожалению ключи содержащие popup_bl.dll, systr.dll, system32.exe уже удалены Такое впечатление, что из-за этого появились проблемы у explorer.exe



Хм... И кто их удалил?
Posted by: Geser Posted on: 29/12/2004, 09:08:47
Опять без пароля послал
Скачай себе 7zip если с winzip не можешь разобраться.
Posted by: Sir_Miron Posted on: 29/12/2004, 00:32:34
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{12345678-0000-0010-8000-00AAFF6D2EA4}\InProcServer32\ = c:\windows\system32\systr.dll
ну и
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Search Assistant\ACMru\5603\000 = systr.dll



с popup_bl.dll было что-то похожее но в нескольких местах.

Добавлено @ 15:22
Открой папку system32 и посмотри дату изменения файла systr.dll. Далее запомнив эту дату изменения, удали все файлы, которые были созданы в это же время, за исключением самого systr.dll (файл будет находится в памяти и, удалить его просто так не удастся). Для удаления самого systr.dll нужно предварительно снять процесс explorer.exe на секунды 3-4 и сразу после того, как он перезагрузится удалить systr.dll, пока он еще не подгрузился в память

3) Удали все записи, касающиеся файла systr.dll из сист. реестра. Обычно все записи хранятся в ключе: HKEY_CLASSES_ROOT\CLSID\{12345678-0000-0010-8000-00AAFF6D2EA4}. Но рекомендую все же сделать полный поиск по реестру.


Добавлено @ 15:23
http://forum.drweb.ru/cgi-bin/drbbs.cgi?ep=4&id=100730

убил "неизлечимого" IEHIJACKER.HOTOFFERS (Maba Kaloch, 20/02/2005 21:29)

У знакомого на работе завелся такой зверь прописался в стартовую
страницу IE как h*t*t*p*:*/*/*w*w*w*.*h*o*t*o*f*f*e*r*s*.*i*n*f*o/(от меня самого:так, как ссылку лучше не открывать, а форум автоматически из текмта сделал линк, я поставил в ней "*" и ломится туда каждые
5 минут путем запуска этого самого Internet Explorer'a...
Lavasoft Ad-Aware видит его как IEHIJACKER.HOTOFFERS, делает
вид, что удаляет но... ни к чему это не приводит - троян как
сидел так и сидит - трудно боротся с трояном под его же
руководством ) - Ad-Aware пускается из-под Explorer.exe, а
троян уже сидит в нем как sheduled task...
Посему удалять будем руками
1) просто запускаем Ad-Aware и ничего не сканируем (потому как
потом запустить его будет сложнее)
2) вызываем task manager (Control-Shift-ESC)
3) прибиваем процесс explorer.exe (пользователи Win9x при этом
имеют аплет завершения работы -- что им делать - ума не приложу
- если отказатся - то процесс будет прибит и тут же загружен
заново, если согласится - то уйдем на ребут)
4) прибиваем процесс systr.dll (именно это и есть загрузчик
трояна, но он не резидентный и его может и не быть в списке
процессов)
5) переключаемся в Ad-Aware и включаем сканирование и
благополучно прибиваем трояна
6) запускаем снова explorer.exe (с помощью того же task
manager'a)
7) удаляем напрочь %SystemRoot%\system32\systr.dll
правим в настройках браузера стартовую страницу на
about:blank (ну или на свою любимую)
9) вот вроде и все )

P.S. для тех кому лень качать Ad-Aware и руки прибиты к голове -
выкосить оба ключа из реестра вместо процедуры со сканированием

IEHIJACKER.HOTOFFERS
»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»»
obj[0]=Regkey : HCR\clsid\{12345678-0000-0010-8000-00aaff6d2ea4}
obj[2]=RegValue :
HKLM\software\microsoft\windows\currentversion\explorer\sharedta
"{12345678-0000-0010-8000-00AAFF6D2EA4}"

Цитата(dsergey @ 19.4.2005, 16:31)

пользователи Win9x при этом имеют аплет завершения работы -- что им делать - ума не приложу

загрузиться в ДОС-режим и прибить указанные модули пальцАми рук... есссно..

Цитата(Akina @ 19.4.2005, 15:47)

пальцАми рук... есссно..

а если руки прибиты к голове

Может стоит боссу поставить юзерские права доступа.

Это сообщение отредактировал(а) RAdmin - 20.4.2005, 12:40

Цитата(dsergey @ 20.4.2005, 09:36)

а если руки прибиты к голове

[offtop]Если руки золотые, то неважно, откуда они растут...[/offtop]
ты про это?

После удаления вируса IE всё равно грузился на тот сайт, как я не пытался поменять настройки.

Решил проблему тем, что поставил другой броузер. Под рукой оказалась огненная лиса. Установил, запустил, отказался от импорта настроек из IE. Настроил вручную. Всё работает. Все довольны, все смеются.