модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна

[Юлия82]

Помогите. пожалуйста, NOD Smart Security 5.0.95.5 обнаружил такую проблему:
Оперативная память = explorer.exe(296) - модифицированный Win32/Spy.Shiz.NCE троянская программа - очистка невозможна. Утилита Касперского тоже не помогла.

[Info_bot]

Уважаемый(ая) Юлия82, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Bratez]

Отключите восстановление системы!
Пофиксите в HijackThis:

F2 - REG:system.ini: Shell=C:\WINDOWS\EXPLORER.EXE
F3 - REG:win.ini: load=C:\WINDOWS\apppatch\jqneuiu.exe
F3 - REG:win.ini: run=C:\WINDOWS\apppatch\jqneuiu.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\USERINIT.EXE,C:\WINDOWS\apppatch\jqneuiu.exe,
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\apppatch\jqneuiu.exe
O4 - HKCU\..\Policies\Explorer\Run: [run] C:\WINDOWS\apppatch\jqneuiu.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{4D3E7F3D-FF96-4D86-9AB2-6AFD2F5944DF}: NameServer = 134.255.241.122,8.8.8.8

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\apppatch\jqneuiu.exe','');
 DeleteFile('C:\WINDOWS\apppatch\jqneuiu.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=119542).

Обновите базы AVZ и сделайте новые логи.

[Юлия82]

Обновите базы AVZ и сделайте новые логи.

Вот новые логи:
Вложение 360828Вложение 360829Вложение 360830

[thyrex]

Это старые логи с необновленными базами

[Юлия82]

Помогите, пожалуйста, NOD Smart Security 5.0.95.5 обнаружил такую проблему:
Оперативная память = explorer.exe(28 - вероятно модифицированный Win32/TrojanDownloader.Carberp.AD троянская программа - очистка невозможна
Утилита Касперского не помогла.
логи:

[thyrex]

Выложите обновленные логи еще раз

[Юлия82]

Выложите обновленные логи еще раз

Выкладываю обновлённые логи:

[thyrex]

Выполните скрипт в AVZ

 begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 QuarantineFile('C:\Documents and Settings\Юля\Главное меню\Программы\Автозагрузка\Y70nuJvgODM.exe','');
 DeleteFile('C:\Documents and Settings\Юля\Главное меню\Программы\Автозагрузка\Y70nuJvgODM.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Юлия82]

Сделайте новые логи

Новые логи:
virusinfo_syscheck.zip
virusinfo_syscure.zip
hijackthis.log

[Юлия82]

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

Лог MBAM:
mbam-log-2012-04-26 (20-44-31).txt

[Юлия82]

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

Логи RSIT6:
info.txt
log.txt

[Techno]

- Удалите в MBAM:

HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings|AutoConfigURL (Hijack.Autoconfig) -> Параметры: http://teerg.com/Bg43ZV623/proxy.pac -> Действие не было предпринято.

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{4D3E7F3D-FF96-4D86-9AB2-6AFD2F5944DF}|NameServer (Trojan.DNSChanger) -> Плохо: (134.255.241.122,8.8.8.8) Хорошо: () -> Действие не было предпринято.

C:\Documents and Settings\Юля\Application Data\avdrn.dat (Malware.Trace) -> Действие не было предпринято.
C:\Documents and Settings\Юля\Application Data\igfxtray.dat (Malware.Trace) -> Действие не было предпринято.
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

Удалите вручную:

C:\KRaRmSlKfxJUFHa
C:\Documents and Settings\Юля\Application Data\9polfNmfBHZcBpl
C:\9polfNmfBHZcBpl
C:\plg.txt
C:\kFv3DjpT2zrpZMK
C:\Documents and Settings\Юля\Application Data\kFv3DjpT2zrpZMK

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Юля\Application Data\word.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\sfc.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
BC_ImportAll;
BC_DeleteSvc('sfc');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Повторите лог РСИТ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\юля\\главное меню\\программы\\автозагрузка\\y70nujvgodm.exe - Trojan-Spy.Win32.Carberp.jup ( DrWEB: Trojan.Carberp.340, BitDefender: Trojan.Generic.KDV.607980, NOD32: Win32/TrojanDownloader.Carberp.AD trojan, AVAST4: Win32:Susn-AJ [Trj] )
  2. c:\\windows\\apppatch\\jqneuiu.exe - Trojan-Dropper.Win32.Demp.csa ( DrWEB: Trojan.PWS.Ibank.456, BitDefender: Gen:Variant.Kazy.67147, NOD32: Win32/Spy.Shiz.NCF trojan, AVAST4: Win32:MalOb-KC [Cryp] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !