Помогите!

[sidyk]

Доброго времени суток уважаемые сотрудники Virusinfo. Прошу Вашей помощи в возникшей проблеме: после проверки компьютера с помощью ESET NOD32 AV 4.0.3 был обнаружен вирус Win32/Spy.Shiz.NCE, который находился в опер.памяти, процесс explorer. В это же время в папке С:\Documents and Settings\Admin создавался файл 000955~1.exe, при попытке его удалить он тут же появлялся снова. Я завершил процесс explorer и тогда удалил файл 000955~1.exe (больше он появлятся не стал). Удалил его также из автозагрузки (c помощью CCleaner).
Позже снова просканировал комп на наличие вирусов, этот же вирус сидел в операт.памяти: процесс egui.exe (C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe) удалить его я не смог.
Сегодня просканировал комп ещё раз, обнаружено: //Оперативная память = explorer.exe(1700) - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна
В автозагрузке всё чисто, вирус только в процессе explorer.

[Info_bot]

Уважаемый(ая) sidyk, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[sidyk]

Логи

[Nikkollo]

Загрузите virusinfo_cure.zip из папки AVZ\LOG по красной ссылке вверху темы "Прислать запрошенный карантин".

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\0Juq9yKb3DQ.exe','');
 QuarantineFile('C:\WINDOWS\system32\debughelp32.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\000955~1.EXE','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\PFC027.SYS','');
 DeleteFile('C:\DOCUME~1\Admin\000955~1.EXE');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','System');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','run');
 DeleteFile('C:\WINDOWS\system32\debughelp32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Debugger 32');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\0Juq9yKb3DQ.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела Диагностика правил) и приложите в теме.

Сделайте логи RSIT:
http://virusinfo.info/showthread.php...292#post859292
и приложите.

[sidyk]

^....//

[Nikkollo]

Эти папки и файл удалите вручную:
C:\QF8ovWzNqvvdVLj
C:\Documents and Settings\Admin\Application Data\QF8ovWzNqvvdVLj
C:\WINDOWS\system32\496.tmp

Смените все пароли.

Этот файл и папка вам знакомы?:
C:\WINDOWS\MFPTBULK\DR_HIDE.EXE

Что сейчас с проблемой?

[sidyk]

Эти папки и файл удалите вручную:
C:\QF8ovWzNqvvdVLj
C:\Documents and Settings\Admin\Application Data\QF8ovWzNqvvdVLj
C:\WINDOWS\system32\496.tmp

Смените все пароли.

Этот файл и папка вам знакомы?:
C:\WINDOWS\MFPTBULK\DR_HIDE.EXE

Что сейчас с проблемой?

Просканировал антивирусом, всё чисто (за исключением папки AVZ (NOD32 ругался на доступ к архивам))!
Но тем не менее, удалил вышенаписаные папки и файлы.
Спасибо огромное Вам!!!

[Nikkollo]

C:\WINDOWS\MFPTBULK\DR_HIDE.EXE
Так что насчет этого?
(или уже тоже удалили?)

[sidyk]

C:\WINDOWS\MFPTBULK\DR_HIDE.EXE
Так что насчет этого?
(или уже тоже удалили?)

Не припомню чтоб устанавливал что-то подобное, да тоже удалил это.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\0juq9ykb3dq.exe - Trojan-Spy.Win32.Carberp.hab ( DrWEB: Trojan.Carberp.340, BitDefender: Gen:Variant.Kazy.64672, AVAST4: Win32:Crypt-MHG [Trj] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !