Опять поймал win32/spy.shiz.nce

[Dolphin195]

Здравствуйте. Собственно все тоже самое: тормозит компьютер, интернет, сампроизвольно закрывается окно explorera. Nod32 при запуске компьютера выдает червя в эксплорере (234 ошибка вроде) ну и win32/spy.shiz.nce.

[Info_bot]

Уважаемый(ая) Dolphin195, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Dolphin195]

С логом ошибься вроде вот нормальный

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Профиксите в HijackThis

F3 - REG:win.ini: load=C:\WINDOWS\apppatch\deparv.exe
F3 - REG:win.ini: run=C:\WINDOWS\apppatch\deparv.exe

Выполните скрипт в АВЗ -

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\apppatch\deparv.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\visx1zuKvYE.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\visx1zuKvYE.exe');
 DeleteFile('C:\WINDOWS\apppatch\deparv.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Windows','Run');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Windows','Load');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','System');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('WinDir')+'\System32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Dolphin195]

120222_112732_quarantine_4f44d124d6dbc.zip
В appatch удалилось. На С: осталась папка zceksVJT0x5Tb0L

[regist]

поменяйте все пароли.

Сделайте лог ComboFix

[Dolphin195]

готово
на рабочем столе появился ярлык для internet explorer которого до этого не было (см. который я удалил после установки операционной системы более года назад)

[regist]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::

C:\Qoobox\Quarantine\c:\windows\system32\drivers\etc\hоsts.vir
C:\Qoobox\Quarantine\C\windows\system32\odbcad32.exe.vir

File::

Driver::

Folder::
C:\zceksVJT0x5Tb0L

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"9c4f2857"=-

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

[Dolphin195]

Еще на С: добавился Boot.bak

[regist]

Удалите ComboFix

Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[Dolphin195]

Все устранено спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\visx1zukvye.exe - Trojan-Spy.Win32.Carberp.eal ( DrWEB: Trojan.Carberp.29, BitDefender: Trojan.Generic.KDV.539789, NOD32: Win32/TrojanDownloader.Carberp.AD trojan, AVAST4: Win32:Kryptik-HKM [Trj] )
  2. c:\\windows\\apppatch\\deparv.exe - Backdoor.Win32.Shiz.bvmp ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Heur.Zybut.1, NOD32: Win32/Spy.Shiz.NCF trojan, AVAST4: Win32:MalOb-KC [Cryp] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !