Не работают браузеры.

[Vit777]

Добрый день!
Перестали работать браузеры аж 3 штуки сразу. Windows xp sp3
IE предлагает начать с домашней страницы или восстановить, при нажатии на любой вариант закрывается.
Опера просто не запускается выдает сообщение что ошибка память не может быть written.
Хром запускает начальную но при попытке открыть любую страницу ничего не происходит.
Два дня назад комп перестал выходить в инет, зафиксил процессы которые (кажется) подменяли ip. Заработало все, но вот через пару дней накрылись браузеры. В инет выходит, программы качают обновления.
Подозрения на подмену профилей при входе, но мои знания малы. Пытался удалить файл 5BS... из автозагрузки, не получается, даже если его профиксить. После перезагрузки он снова в процессах.
Заранее спасибо.

[Info_bot]

Уважаемый(ая) Vit777, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vit777]

Убил зловреда.
Файл 5BS... удалось унитожить загрузив систему с загрузочного диска луникс. Стерся сразу. И все заработало.
Правда сомнения остались. Подожду что дальше будет.
Кстати вспомнил началось все с просьбы отправить смс, чтобы войти в одноклассники. Потом уже вырубился инет из-за подмены ай-пи.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
QuarantineFile('C:\WINDOWS\system32\sysunk32.exe','');
 DeleteFile('C:\WINDOWS\system32\sysunk32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Debugger 32');
 DeleteFile('C:\Documents and Settings\Виталий\Главное меню\Программы\Автозагрузка\5BSvYZ34IRU.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Vit777]

Карантин пуст.
Полное сканирование не дождался, пришлось выключить комп.
Логи прикрепил.
Как понял из скрипта удаляется sysunk32 (давно на подозрении, но как-то сосуществовали). Второй файл (5BSvYZ34IRU.exe) уже уничтожен.
Спасибо.

[thyrex]

Лог МВАМ предоставьте. Хотя бы после быстрого сканирования

[Vit777]

Лог быстрого скана прикрепил. Полное некогда сделать.

[thyrex]

Удалите в МВАМ все, кроме

HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

[Vit777]

Все удалил. Теперь после перезагрузки и новой проверки вылезла строка
HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POL ICIES\EXPLORER\RUN|Windows Debugger 32 (Trojan.Agent) -> Data: C:\WINDOWS\system32\sysunk32.exe -> No action taken.
Это нормально?
Лог прикрепил

[regist]

Удалите в MBAM

Registry Values Detected: 1
HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN|Windows Debugger 32 (Trojan.Agent) -> Data: C:\WINDOWS\system32\sysunk32.exe -> No action taken.

прикрепите новый лог MBAM

+ Сделайте логи RSIT.

смените все пароли !

[Vit777]

Не удаляется после перезагрузки все возвращается. Пробовал дважды.
Логи прикрепил

[regist]

C:\WINDOWS\System32\Drivers\Xej38.sys
C:\WINDOWS\system32\drivers\Xewq51.sys
C:\301aaa68f2febce1.dat

пришлите в карантин согласно правилам.

Сделайте лог ComboFix

[Vit777]

Файлов на компе нет.
Лог прикрепил.

[thyrex]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск С

KillAll::

File::
c:\windows\system32\Drivers\Xej38.sys
c:\301aaa68f2febce1.dat

Driver::
Xej38
Xewq51
301aaa68f2febce1

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Vit777]

Новый лог

[Techno]

Не похоже, что Вы выполнили 14 сообщение...

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C:\.

KillAll::

File::
c:\windows\system32\Drivers\Xej38.sys
c:\301aaa68f2febce1.dat

Driver::
Xej38
Xewq51
301aaa68f2febce1

NetSvc::

Folder::
c:\documents and settings\Виталий\Application Data\v4vGdcDMSf1vEPR
c:\documents and settings\Виталий\Application Data\3Xo3oz5o91yYaXU

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Xej38.sys]

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.


Сделайте лог TDSSKiller

[Vit777]

Повторил действия.
Возможно первый раз не получилось, так как чтобы запустить скрипт приходилось заходить под админом. Теперь дал права админа основной записи.
При выполнении опять вылезла "pev.3Xe обнаружена ошибка. Приложение будет закрыто". Раньше она тоже вылезала. Но теперь сделано 50 stage раньше кажется 5 или 7.
Сейчас комп перегрузился, чего не было в первый раз.

[Techno]

Что с проблемой?

В папках что-нибудь есть?

c:\documents and settings\Виталий\Application Data\v4vGdcDMSf1vEPR
c:\documents and settings\Виталий\Application Data\3Xo3oz5o91yYaXU

[Vit777]

Папки пусты. На всякий случай удалил их.
Проблема решена.
Спасибо.

[thyrex]

Смените все пароли