Несколько процессов userini

[akalibr]

Они загружают процессор на 100%
Прошу посмотреть

[olejah]

Поехали -

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('C:\WINDOWS\system32\userini.exe');     
 QuarantineFile('c:\windows\explorer.exe:userini.exe','');
 QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
 QuarantineFile('C:\Documents and Settings\1\Application Data\yftza.exe','');
 QuarantineFile('E:\autorun.inf','');
 QuarantineFile('C:\Documents and Settings\1\csrss.exe','');
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 DeleteFile('C:\Documents and Settings\1\csrss.exe');
 DeleteFile('C:\Documents and Settings\1\Application Data\yftza.exe');
 DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
 DeleteFile('c:\windows\explorer.exe:userini.exe');
 DelAutorunByFileName('C:\WINDOWS\system32\userini.exe');   
 DelAutorunByFileName('C:\Documents and Settings\1\Application Data\yftza.exe');     
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 ExecuteRepair(11);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

Повторите логи, отпишитесь о состоянии.

Добавлено через 2 минуты

На заметку - вот с этим - Windows XP SP2, Internet Explorer v6.00 SP2, мы Вас вылечем где-то на пару дней, обновлять надо срочно.

[thyrex]

Дополнительно к совету Olejah сделайте http://virusinfo.info/showpost.php?p=457118&postcount=1

[akalibr]

карантин выслал и логи подцепил

[olejah]

А рекомендацию thyrex?

Добавлено через 6 минут

Живучие гады -

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('F:\PAZI\avtomat.exe','');
 QuarantineFile('F:\autorun.inf','');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
 DeleteFile('C:\Documents and Settings\1\csrss.exe');               
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip'); 
 end.

Пришлите файл quarantine.zip2 из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

И приложите лог mbam.

[akalibr]

карантин и логи выслал

[akalibr]

лог mbam будет позже

[olejah]

Пока ждём лог mbam -

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('F:\autorun.inf');
 DeleteFile('F:\PAZI\avtomat.exe');  
 RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\oeejwmrxe');
 RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\oeejwmrxe\Parameters');            
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

[akalibr]

вот все логи

[olejah]

Ага, всплыли красавцы -

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 StopService('RTIFDH');   
 QuarantineFile('C:\WINDOWS\system32\drivers\rtifdh.sys','');  
 QuarantineFile('C:\WINDOWS\TEMP\zezutctafhr.sys','');
 QuarantineFile('C:\WINDOWS\system32\bjdpz.dll','');  
 DeleteFile('C:\WINDOWS\system32\bjdpz.dll');
 DeleteFile('C:\WINDOWS\TEMP\zezutctafhr.sys');  
 DeleteService('jzywviufqdwss');           
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine3.zip'); 
 end.

Пришлите файл quarantine3.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

И ещё пожалуйста, логи + лог mbam, надо убедиться, что выживших не осталось.

[akalibr]

карантин, логи, mbam позже
...а вот лог mbam

[olejah]

Было - Windows XP SP2, Internet Explorer v6.00 SP2, а стало - Windows XP SP3 Internet Explorer v8.00 (8.00.6001.18702), Вы успели уже обновлений накатить? По логам АВЗ зверьё вымерло, ждём mbam.

[akalibr]

вот лог mbam
что скажите?

[akalibr]

прошу посмотреть

[thyrex]

Выполните скрипт в AVZ

begin
QuarantineFile('C:\WINDOWS\Temp\~TM17.tmp','');
QuarantineFile('C:\WINDOWS\system32\wbem\grpconv.exe','');
QuarantineFile('C:\Documents and Settings\1\Local Settings\Temporary Internet Files\Content.IE5\AW5ZF6DF\update[1].exe','');
end.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Удалите в МВАМ

Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FieryAds (Adware.FieryAds) -> No action taken.

Зараженные папки:
C:\Program Files\FieryAds (Adware.Adware.FearAds) -> No action taken.
C:\Program Files\Microsoft Common (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\1\DoctorWeb\Quarantine\FieryAdsUninstall.exe (Adware.FieryAds) -> No action taken.
C:\Documents and Settings\1\Local Settings\Temporary Internet Files\Content.IE5\AW5ZF6DF\update[1].exe (Trojan.Dropper) -> No action taken.
C:\WINDOWS\system32\wbem\grpconv.exe (Trojan.Dropper) -> No action taken.
C:\WINDOWS\Temp\~TM17.tmp (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\1\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
C:\Documents and Settings\NetworkService\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
C:\WINDOWS\hosts (Trojan.Agent) -> No action taken.

Проверьте наличие файла grpconv.exe в папке C:\WINDOWS\system32.
В случае отсутствия восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654

[akalibr]

карантин выслал, файл заменил, спасибо

Добавлено через 2 часа 15 минут

может быть еще какой- нибудь лог сделать?

[olejah]

Давайте наверное для убедительности ещё разок mbam пройдёмся. Если интересно в карантине было - C:\WINDOWS\system32\wbem\grpconv.exe - Backdoor.Win32.Bredolab.fkl
C:\WINDOWS\Temp\~TM17.tmp - Backdoor.Win32.Bredolab.fkl

[akalibr]

вот он лог, поглядите

[thyrex]

Удалите

C:\temp\avz4\Quarantine\2010-07-10\avz00001.dta (Trojan.Dropper) -> No action taken.
C:\temp\avz4\Quarantine\2010-07-10\avz00002.dta (Trojan.Dropper) -> No action taken.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 36
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\1\application data\yftza.exe - Email-Worm.Win32.Iksmas.hsz ( DrWEB: Trojan.MulDrop1.36133, BitDefender: Win32.Worm.TSU, AVAST4: Win32:Bredolab-DJ [Trj] )
  2. c:\documents and settings\1\csrss.exe - Packed.Win32.Katusha.o ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Gen:Heur.Krypt.24, AVAST4: Win32:MalOb-AI [Cryp] )
  3. c:\windows\explorer.exe:userini.exe - Email-Worm.Win32.Joleee.ezl ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Generic.4376919, AVAST4: Win32:Bredolab-DJ [Trj] )
  4. c:\windows\explorer.exe:userini.exe:$data - Email-Worm.Win32.Joleee.ezl ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Generic.4376919, AVAST4: Win32:Bredolab-DJ [Trj] )
  5. c:\windows\system32\userini.exe - Email-Worm.Win32.Joleee.ezl ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Generic.4376919, AVAST4: Win32:Bredolab-DJ [Trj] )
  6. c:\windows\system32\wbem\grpconv.exe - Backdoor.Win32.Bredolab.fkl ( DrWEB: Trojan.Botnetlog.158, BitDefender: Trojan.Generic.4481817, AVAST4: Win32:Bredolab-DJ [Trj] )
  7. c:\windows\temp\~tm17.tmp - Backdoor.Win32.Bredolab.fkl ( DrWEB: Trojan.Botnetlog.158, BitDefender: Trojan.Generic.4481817, AVAST4: Win32:Bredolab-DJ [Trj] )
  8. f:\pazi\avtomat.exe - Packed.Win32.Katusha.o ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Gen:Heur.Krypt.24, AVAST4: Win32:MalOb-AI [Cryp] )