Деградация системы

[Sad]

День добрый,

Целый букет симптомов:

Свойства папки пропали, таск манагер не работает, все файлы с десктопа скрыты, комп не выключается кореектно, при открытии любого сайта, выскакивают два всплывающих окна с 4мя табами в каждом (сайт похоже открывает через сорс код) и тд.

[Info_bot]

Уважаемый(ая) Sad, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\Wly.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\Wlw.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\Wlx.exe','');
 QuarantineFile('C:\WINDOWS\svchost.exe','');
 QuarantineFile('C:\WINDOWS\smss.exe','');
 QuarantineFile('C:\WINDOWS\setup.exe','');
 QuarantineFile('C:\WINDOWS\install.exe','');
 QuarantineFile('C:\WINDOWS\iguqazefij.dll','');
 QuarantineFile('C:\WINDOWS\csrss.exe','');
 QuarantineFile('C:\WINDOWS\cmd.exe','');
 DeleteFile('C:\WINDOWS\cmd.exe');
 DeleteFile('C:\WINDOWS\csrss.exe');
 DeleteFile('C:\WINDOWS\iguqazefij.dll');
 DeleteFile('C:\WINDOWS\install.exe');
 DeleteFile('C:\WINDOWS\setup.exe');
 DeleteFile('C:\WINDOWS\smss.exe');
 DeleteFile('C:\WINDOWS\svchost.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MKese');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MKese');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MKeg');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MKevc');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MKbta');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Ehanorecewekif');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MKayc');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MKaZ');
 DeleteFile('C:\WINDOWS\TEMP\Wlx.exe');
 DeleteFile('C:\WINDOWS\TEMP\Wlw.exe');
 DeleteFile('C:\WINDOWS\TEMP\Wly.exe');
DeleteFile('%windir%\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job');
DeleteFile('%windir%\Tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job');
DeleteFile('%windir%\Tasks\{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteRepair(8);
ExecuteRepair(11);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Sad]

карантин прислал..

при запуске каждой страницы инета выскакивает окно с 4мя вкладками

1)http://www.xn--c520,tmpyp%1c-vsa175l5b2hk3y7duftgr112epa15f.com/%5EqV%D1%9Fp%D0%B5%D0%9B%E2%84%A2%D0%9Cf%D0%8A%D1% 99%D0%9E%E2%80%9D%3EX%D0%ACW%D0%94%D1%80%D1%82%D1% 9Eq%D1%887~g%3C%D0%8A%D0%BE%D0%BD%14%D0%BE%D0%91o_ %5E%28%C2%B0mX%D0%83%E2%80%A1%D0%A460;%03%E2%80%9D =%E2%80%B0%02%1C%C2%A6%C2%A65%D0%B0%D0%83%0F%15{q% C2%A6t,%16%D1%8F%D0%91%D0%90%C2%AD3%D0%A8U%D0%A7%1 E%D0%96%D0%83%D0%B9

2) http://www.xn--~-wtb0xi98g.com/
3) http://www.1Пc˜wіьhbрАрЇЬгxt¦ы!БЛ¬kО.com/
4) http://www.КљЮ-л22ekтЯ’«¶<эh5>®gсmf»мЭЇ$Ђ*ЂвКz±—h—¦э{•.com/ua%28~-u%D0%88%07m%D0%AE%E2%80%9D%0F%D0%83e%D0%95%08%E2%8 0%A65

Рабочий стол, как и свойства папки вернулись

[thyrex]

Новые логи где?

Сделайте лог полного сканирования МВАМ

[Sad]

загрузил логи...
были проблемы с Malwarebytes' Anti-Malware, 4 раза делал фулл скан, лог не сохранялся и комп замораживался. В конце концов получилось, но судя по размеру это не весь лог. Имеет ли смысл повторить этот лог, но не в Фулл Скан?

[thyrex]

Имеет ли смысл повторить этот лог, но не в Фулл Скан?

Так это и есть лог Быстрого, а не Полного сканирования

Обновите базы AVZ и переделайте логи

[Sad]

прикрепил авз + хайджак логи.
Malwarebytes' Anti-Malware опять не сохраняются....может в сэйф моуд попробовать?

[Sad]

получилось таки сделать лог в Malwarebytes

[thyrex]

Удалите в МВАМ только указанные строки

Registry Keys Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{B1B220C1-A503-59BD-F413-02B53A2C8954} (Trojan.ErtFor) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\B60JHDGR6V (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\JP595IR86O (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\Software\qni8hj710fdl (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> No action taken.

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\WINID (Malware.Trace) -> Value: WINID -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\idstrf (Malware.Trace) -> Value: idstrf -> No action taken.

[Sad]

сделал...авз+МВАМ логи теперь выслать?

[thyrex]

Лог МВАМ высылайте. Что с проблемой?

[Sad]

Часть проблем ушло, но до сих пор после загрузки каждого сайта, выскакивают по два окна с 4мя вкладками, плюс комп сам не выключается и основная проблема, спустя час-полтора работы, такое впечатление что что-то начинает блокировать программы. К примеру инет перестает грузить сайты (при том что скайп работает), таск менеджер не работает, часть программ едет, а часть застывают при открытии.

прикрепляю авз + мбам логи

[thyrex]

Сделайте лог ComboFix

[Sad]

прикрепляю

[thyrex]

Что теперь с проблемой?

[Sad]

самая раздражающая проблема - с всплывающими вкладками по-прежнему есть, а вот интернет пока не отключался..

[thyrex]

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxi.net
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)

[Sad]

проблемы те же..прикрепляю логи

[thyrex]

Сделайте лог TDSSkiller