Хакнат Internet Explorer?

**Борис** · 19-03-04, 20:40

От известно време ми е хакнат Internet Explorer:

* При въвеждане или линк към несъществуваща страница се зарежда някаква глупава портална страница (дето предполагам, че иска да генерира трафик), вместо грешка 404.

* Сменени бяха и заглавната страница, търсачната страница и още няколко, но тези ги оправих лесно като открих съответните ключове в регистъра. От време на време (през ден) те пак се възстановяват, но чрез .reg файлче за около секунда си връщам настройките.

Та явно имам някакъв гаден спайуеър, но нито антирусната ми програма го открива, нито Ad-Aware или Ad-Watch. За първия проблем дори не намерих ключ в регистъра и предполагам, че шпиончето е "влязло" в Internet Explorer...

Някакви идеи?

**Raid** · 20-03-04, 00:05

<blockquote id="quote"><font size="1" id="quote"><b id="quote">quote:</b id="quote"></font id="quote"><table border="0" id="quote"><tr id="quote"><td class="quote" id="quote"><font size="1" id="quote">* При въвеждане или линк към несъществуваща страница се зарежда някаква глупава портална страница (дето предполагам, че иска да генерира трафик), вместо грешка 404.

<div align="right">Originally posted by Борис*-*19/03/2004*:* 19:40:30</div id="right">

</td id="quote"></tr id="quote"></table id="quote"></blockquote id="quote"><font size="2" id="quote"></font id="quote">

Провери дали тази "глупава портална страница" [

] не е указана в

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs

Ако е така, кажи в кой точно ключ, за да ти кажа с какво да я замениш.

**Борис** · 20-03-04, 07:29

Здравей Райд, благодаря за отговора. Наистина не бях поглеждал в тази област на регистъра и открих интересни неща (които предполагам вече си срещал).

В описания ключ има 9 имена, като стойностите на 7 от тях са част от dll библиотеки. Т.е. явно основните страници на Internet Explorer са записани в DLL библиотека/и и именно тя/те са хакнати. Ето 7-те имена и техните текущи стойности:

blank res://mshtml.dll/blank.htm

DesktopNavigationFailure res://shdoclc.dll/navcancl.htm

mozilla res://mshtml.dll/about.moz

NavigationCancelled res://shdoclc.dll/navcancl.htm

NavigationFailure res://shdoclc.dll/navcancl.htm

PostNotCached res://mshtml.dll/repost.htm

Освен това има

[Default] {value not set}

Home 10e (hex)

Знаеш ли нещо повече за тези две библиотеки mshtml.dll и shdoclc.dll? Учудвам се, че само аз явно съм с този проблем... От друга страна, не знам как е хакнат, но при зареждане на всяка от горните стойности в Internet Explorer (от адресния ред) ми излиза нормална уеб страница за грешка, а не *****ската търсачка. Може би механизмът е същия, но някой друг DLL е пострадал и/или е бил подменен в регистъра???

**dash** · 20-03-04, 18:38

Use Spybot Search&Destroy it's a free tool.

Have fun

**Julian** · 20-03-04, 20:08

Аз подобно нещо го оправих със Spybot Search&Destroy.

**Raid** · 21-03-04, 03:36

@Борис

[

] ([

]?)

Стойностите, които ми посочваш в поста си са нормалните - т.е. тази част от "регистратурата" ти е абсолютно в ред.

Наистина пробвай със Spybot Search&Destroy, а аз междувременно ще потърся къде другаде може да се е скатало кончето...

**Slero** · 21-03-04, 09:41

Има една малка програмка - HijackThis, която сканира всичко, свързано с браузъра и ти дава възможност ръчно да изтриваш и коригираш това, което според теб не е наред. Поддържа backup, дава информация за различните типове ключове, има и други възможности. Опитай с нея, може и да открие нещо скрито "в дълбочина".

**Борис** · 21-03-04, 09:56

Благодаря за съветите!

Наистина май SpyBot свърши работата, но после пак веднъж се смени заглавната страница, та ще следя положението още ден-два.

За справка - SpyBot откри три гада, единия от които наподобява предположения от Райд:

H_KEY_USERS\.DEFAULT\Software\Microsoft\CurrentVersion\InternetSetti...

(нататък не мога да видя - как мога да получа повече инфо за този ключ в SpyBot, поне пълното име...?)

Слеро, пуснахме си съобщенията по едно и също време, но веднага пробвах HiJack This и съм склонен да се присъединя към феновете на програмката (157кБ). Отначало си помислих, че информацията, която изкара не е много полезна (имаше доста съвсем легални неща), но след около минута нагласяне изкара и майчиното мляко на Internet Explorer, вкл. всички интересни уеб страници. Сега вече (май[8D]) съм убеден, че страниците ми са ОК.

**Bri** · 22-03-04, 19:08

http://www.kaldata.com/forums/index.php?showtopic=266

**Doomblade** · 24-03-04, 05:14

има едно още по-добро

http://free.techno-link.com/Flex-2/S...uredome101.rar

**Борис** · 24-03-04, 23:15

Линка към форума на КалДата и описанието на Димо е страхотно!

За съжаление, SpyBot изчисти нещата, но сега всеки божи ден ми се сменя (със същата фалшива) стартовата страница и някои други страници в Internet Explorer, налагащи редакция на регистъра. Къде по дяволите се крие гадината сега? Вече никой не открива нищо нередно, а аз всеки ден осъмвам с тъпата страница???

**nux** · 25-03-04, 00:38

probvai tova tuk http://www.spywareinfo.com/~merijn/downloads.html i si svali CWShredder pri men tia pomogna, za sajalenie drugite ne se spraviha s problem podoben na tvoia.

pozdravi

**fori** · 26-03-04, 17:21

погледни за някое измислено прокси на localhost

**Ot-men** · 27-03-04, 00:22

Хм, аз пък имах проблем с някакъв банер, каквото и URL да напиша, автоматично добавя пред него URLто на банера и винаги го изкарва. Претърсих регистрито за адреса на банера и ръчно го замених на всякъде с blanc. Всичко се оправи , само дето съм изтрил и ключа който автоматично добавя http:// пред всяко URL и сега трябва да се пише.

**Raid** · 27-03-04, 00:30

<blockquote id="quote"><font size="1" id="quote"><b id="quote">quote:</b id="quote"></font id="quote"><table border="0" id="quote"><tr id="quote"><td class="quote" id="quote"><font size="1" id="quote">Хм, аз пък имах проблем с някакъв банер, каквото и URL да напиша, автоматично добавя пред него URLто на банера и винаги го изкарва. Претърсих регистрито за адреса на банера и ръчно го замених на всякъде с blanc. Всичко се оправи , само дето съм изтрил и ключа който автоматично добавя http:// пред всяко URL и сега трябва да се пише.

<div align="right">Originally posted by Ot-men*-*26/03/2004*:* 23:22:14</div id="right">

</td id="quote"></tr id="quote"></table id="quote"></blockquote id="quote"><font size="2" id="quote"></font id="quote">

Ами оправи си го. Ключът в registry e:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\DefaultPrefix

Стойността му я знаеш...[

]

//edit

btw, вероятно си затрил и в:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\URL\Prefixes,

параметрите home, mosaic и www. Добави http:// и там.

Хакнат Internet Explorer?

Инструменти на темите