Подозрение на вирус

[IvanB]

Здравствуйте.

Есть подозрение на заражение компьютера:

Несколько дней назад появилась проблема с редактированием содержимого сайта (написан на PHP)

как должно выглядеть - первый скриншот.

как теперь выглядит - второй скриншот.[(окно текста пустое, все кнопки редактирования не работают, выдают ошибку javascript, проверялось в различных браузерах, I.E. 6, Maxton, Mozilla), при загрузке страницы ошибка javascript ().

По всей видимости заражение может происходить через USB Flash (данная проблема проявилась так же и на домашнем компьютере). Данная проблема НЕ проявляется на соседнем рабочем компьютере, объединенном в сеть с проблемным.

Была проведена проверка компьютера на вирусы (Антивирус Касперского Internet Security 7 пробная версия, со свежими базами), очищены temp, temp internet files, cookes папки. Проверены ключи реестра:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run,

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce на наличие неизвестных программ (ничего не обнаружено)

После этого была переустановлена система (win XP SP2) с форматированием раздела диска С (диск разделен на два раздела, на разделе D оставались рабочие файлы). Установлен Касперский IS 7 пробная версия, обновлены базы, посталена галочка поиска потециально вредоносных програм.

Первый запуск IE (данного сайта) прошел нормально, все работало. Перезагрука компьютера привела к тем же описаным выше результатам.

 

Приложены логи проверок.

virusinfo_syscheck.zip

virusinfo_syscure.zip

sysinfo.zip

hijackthis.zip

Изменено 14 марта, 2008 пользователем IvanB

[ojiga]

По всей видимости заражение может происходить через USB Flash (данная проблема проявилась так же и на домашнем компьютере).

проверьте корень _всех_ дисков сторонним файловым менеджером (не explorer.exe, а там far, тотал коммандер, саламандер) с включённым показом скрытых и защищённых файлов, на наличие файла autorun.inf

проверьте в свойствах папки отображаются ли у вас скрытые файлы и сделайте так, что бы отображались, если через пять минут настройки независимо от ваших действий изменятся на "не отображать скрытые и системные файлы" -- пишите сюда =)

будем думать

на разделе D оставались рабочие файлы

логический второй диск, физический второй диск, флешка -- это для заражения компьютера одно и то же

[Vist@]

IvanB, в логах подозрительного ничего нет.

Изменено 14 марта, 2008 пользователем Vist@

[IvanB]

Никаких лишних файлов (в т.ч. и autorun) нет. ни в эксплорере, ни в любом файловом менеджере.

скрытые файлы отображаются нормально, настройки отображения не меняются...

[IvanB]

Больше рекомендаций никаких не будет? Может соображения, где еще копать...

[Олег777]

Попробуйте использовать другой браузер. Если проблема не исчезла, то сделайте архивную копию важных документов и отформатируйте и флешку, и диск D:

Очень может быть, что зараза осталась (если, конечно, была) на них.

[ojiga]

Больше рекомендаций никаких не будет? Может соображения, где еще копать...

обратитесь сюда techsupport@kaspersky.com

 

но там не помогут если у вас нелицензионный ключ

[IvanB]

Как я уже говорил - стоит пробная версия KAV IS 7, пэтому обратиться в техподдержку не имею возможности.

Переустановлена была система полностью, с форматированием диска и удалением разделов. После чего опять же до первой перезагрузки все работало в одном из браузеров (Maxthon), в IE не работало сразу же.

На диске С после установки системы была обнаружена очень странная папка. Прикладываю ее в архиве (пароль на архив virus)

virus.zip