Backdoor.Win32.Poison.b

[zasadez]

подхватил Backdoor.Win32.Poison.b, он стал коннектиться в инет, пришлось заблокирывать IE файрволлом.
Вроде как удалось вылечить его KAV, iexplore перестал ломиться в интернет, но в диспетчере задач все равно висит iexplore.exe

[V_Bond]

пожалуйста скачайте актуальную версию AVZ 4,25 у вас устаревшая... и повторите логи...

[zasadez]

извиняюсь =)

з.ы. и что делать с карантином? там после установки новой версии аж на 30+ мб файлов обнаружилось =)

[Bratez]

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,rundll32.exe start
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\win32Gl\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32:regedt.exe','');
 QuarantineFile('C:\Program Files\21cn\VGO\VGOIEBHO.dll','');
 QuarantineFile('start.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

[zasadez]

пофиксил, скрипт выполнил,карантин отослал

при загрузке компьютера в процессах продолжает висеть iexplore.exe

[Bratez]

Поищите вручную с помощью AVZ файл start.exe.
Если найдется, пришлите по правилам.

Добавлено через 10 минут

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32:regedt.exe');
 DeleteFile('C:\Program Files\win32Gl\svchost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки запустите AVZ, откройте Сервис - Менеджер Active Setup и удалите строчки, в которых прописаны файлы, упомянутые в скрипте (если они там останутся).

[zasadez]

скрипт выполнил, после ребута строчки удалил
iexplore.exe исчез
спасибо =)

[Bratez]

start.exe не нашелся?

[zasadez]

start.exe не нашелся?

нет

[Bratez]

Тогда, очевидно, лечение окончено.
Для контроля сделайте логи, начиная с п.10 правил.

[zasadez]

логи приложил

файл
I:\la2\system\d3d9.dll не хочет удалятся, его в этой папке быть не должно. можно конечно убить через 2 систему, но на всякий случай выслал его через форум

[Rene-gad]

файл
I:\la2\system\d3d9.dll не хочет удалятся, его в этой папке быть не должно.

почему Вы так в этом уверены? ИМО это нормальная библиотека, которая в онлайн-играх используется.
эдит: и Вирустотал так же считает . Если заметных проблем нет, то

очевидно, лечение окончено.

[zasadez]

почему Вы так в этом уверены? ИМО это нормльная библиотека, которая в онлайн-играх используется.

1) в другой папке с La2 его нет
2)в свойствах файла нет инфы о майкрософте, т.к. это DX9 библиотека по идее =)
3)он не удаляется

все это конечно имхо =)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 11
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\win32gl\\svchost.exe - Trojan.Win32.Agent.bcl (DrWEB: BackDoor.Bifrost)
  2. c:\\program files\\21cn\\vgo\\vgoiebho.dll - not-a-virus:AdWare.Win32.BHO.ed