Помогите пролечить

[Oldmans]

Комп на Win Server 2003, наловили зловредов, пролечили Каспером, машинка все равно подглючивает. Работает прокси-сервером, антивируса там нет - в ближайшее время установят. При входе в систему через три кнопки - нет имени пользователя, каждый раз приходится набирать вручную. Посмотрите, плиз - есть еще что?

[Info_bot]

Уважаемый(ая) Oldmans, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Techno]

Здравствуйте!!!

- Пофиксите в HijackThis:

O4 - S-1-5-18 Startup: KsESC82QeB8.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: KsESC82QeB8.exe (User 'Default user')
O4 - .DEFAULT User Startup: KsESC82QeB8.exe (User 'Default user')

- Выполните в АВЗ:

begin
 QuarantineFile('C:\Documents and Settings\Default User\Главное меню\Программы\Автозагрузка\KsESC82QeB8.exe','');
 DeleteFile('C:\Documents and Settings\Default User\Главное меню\Программы\Автозагрузка\KsESC82QeB8.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузите компьютер

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Повторите логи + - Сделайте лог RSIT

[Oldmans]

пофиксено, выполнено, quarantine.zip отправлено

[Techno]

- Выполните в АВЗ:

begin
QuarantineFile('C:\WINDOWS\system32\0.6479358336578094.exe','');
DeleteFile('C:\WINDOWS\system32\0.6479358336578094.exe');
QuarantineFile('C:\WINDOWS\system32\0.9657161798781205.exe','');
QuarantineFile('C:\WINDOWS\system32\gptsvc.exe','');
DeleteFile('C:\WINDOWS\system32\0.9657161798781205.exe');
QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\6Wt48WbnM5o.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\6Wt48WbnM5o.exe');
regkeyparamdel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder', 'C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\6Wt48WbnM5o.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

перезагрузите Компьютер

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.


Что с проблемами?

Повторите лог РСИТ + Сделайте лог полного сканирования MBAM.

[Oldmans]

Комп заработал шустро, правда - имя пользователя при входе в систему так и приходится писать вручную.

[Techno]

Удалите в MBAM:

HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{12LOP3S8-1VRX-81VS-JKL6-61OP5G7774441} (Trojan.Agent) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components\{12LOP3S8-1VRX-81VS-JKL6-61OP5G7774441} (Trojan.Agent) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{67XOR2B0-3GMC-89VV-JIJ1-32KL5R3423144} (Backdoor.Bot) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components\{67XOR2B0-3GMC-89VV-JIJ1-32KL5R3423144} (Backdoor.Bot) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{77BCK2V0-3HKJ-89VV-XAF2-88KL5R9212155} (Worm.AutoRun) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Active Setup\Installed Components\{77BCK2V0-3HKJ-89VV-XAF2-88KL5R9212155} (Worm.AutoRun) -> Действие не было предпринято.
HKLM\SOFTWARE\PUBLIC DOMAIN\BLAT (PUP.Mailer.Blat) -> Действие не было предпринято.
HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\BLOCK_READER (Trojan.LdPinch) -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\ACP.starter (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.

HKLM\SOFTWARE\PUBLIC DOMAIN\BLAT|SMTP server (PUP.Mailer.Blat) -> Параметры: smtp.yandex.ru -> Действие не было предпринято.
HKLM\SYSTEM\CurrentControlSet\Services\block_reader|DisplayName (Trojan.LdPinch) -> Параметры: MPR DRV -> Действие не было предпринято.

C:\WINDOWS\Microsoft.NET\csrss.exe (Trojan.Agent.Gen) -> Действие не было предпринято.

C:\Documents and Settings\Default User\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Администратор\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

C:\WINDOWS\system32\drivers\ctfmon.exe (Heuristics.Reserved.Word.Exploit) -> Действие не было предпринято.

Папки знакомы?

C:\WINDOWS\system32\28463
C:\WINDOWS\security

Выполните в АВЗ:

begin
regkeydel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Администратор^Главное меню^Программы^Автозагрузка^6Wt48WbnM5o.exe');
end.

IE обновляйте...

[Oldmans]

Удалите в MBAM:
Папки знакомы?

Выполните в АВЗ:

IE обновляйте...

Удалил, и папки левые тоже. АВЗ выполнил. ИЕ чуть позже обновлю...
Надо будет потом еще логи выкладывать?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\default user\\главное меню\\программы\\автозагрузка\\ksesc82qeb8.exe - Backdoor.Win32.Bredolab.wbt ( DrWEB: Trojan.Carberp.29, BitDefender: Trojan.Generic.KD.519759, AVAST4: Win32:FakeAlert-CJO [Trj] )
  2. c:\\windows\\system32\\0.6479358336578094.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.Carberp.10, BitDefender: Gen:Heur.Kelios.1, AVAST4: Win32:FakeAlert-CJO [Trj] )
  3. c:\\windows\\system32\\0.9657161798781205.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.Carberp.10, BitDefender: Gen:Heur.Zygug.1, AVAST4: Win32:MalOb-HX [Cryp] )