Вирус Win32/Adware.Virtumonde

[troitz]

При загрузке Windows появляется окошко.
Ошибка при загрузке C:\windows\sistem32\gohhgpke.dll не найден указанный модуль.
Видимо его убил NOD32, при лечении. Затем запускается NOD32 и сразу находит это:
вероятно модифицированный Win32/Adware.Virtumonde приложение найден в оперативной памяти. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением. Никакое действие не может быть предпринято при проникновении в память. Нажмите Пропустить, чтобы продолжить и впоследствии запустить очистку всех локальных дисков. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\System32\pmkhf.dll.
При дальнейшем сканировании:
Файл C:\WINDOWS\system32\pmkhf.dll инфицирован вероятно модифицированный Win32/Adware.Virtumonde приложение. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением.
Дальше:
Файл C:\Documents and Settings\Администратор\Local Settings\Temp\xxsrckvt.dll инфицирован вероятно модифицированный Win32/BHO.G троян. Файл может быть удален. Рекомендуется сделать копии любых критических данных перед продолжением.
Я удаляю , перезагруз. Эффекта ни какого.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\uunmjswq.dll','');
 QuarantineFile('C:\WINDOWS\System32\rxvgpjrn.dll','');
 QuarantineFile('C:\WINDOWS\System32\khfcbxw.dll','');
 QuarantineFile('C:\WINDOWS\System32\gohhgpke.dll','');
 QuarantineFile('C:\WINDOWS\System32\pmkhf.dll','');
 QuarantineFile('C:\WINDOWS\System32\dxcjhabl.dll','');
 QuarantineFile('C:\WINDOWS\System32\DRIVERS\WtSrv.exe','');
 DeleteFile('C:\WINDOWS\System32\khfcbxw.dll');
 DeleteFile('C:\WINDOWS\System32\rxvgpjrn.dll');
 DeleteFile('C:\WINDOWS\System32\uunmjswq.dll');
 DeleteFile('C:\WINDOWS\System32\pmkhf.dll');
 DeleteFile('C:\WINDOWS\System32\gohhgpke.dll');
 DeleteFile('C:\WINDOWS\System32\dxcjhabl.dll');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Поищите через AVZ - Сервис - Поиск файлов на диске такой файл: winexz32.dll.
Если найдется - добавьте в карантин.
Затем пришлите весь карантин согласно приложению 3 правил.

P.S. Скрипт и архивацию карантина выполнять при отключенном антивирусе.

[PavelA]

Пора уже обновляться до СП2. Иначе каждую неделю будете к нам на прием ходить.

[troitz]

Файл winexz32.dll. не найден в карантине ничего нет, в данный момент NOD32 сканирует и пока ничего не находит.
Спасибо. Буду обновляться.

[rubin]

Сделайте для проверки повторные логи

[troitz]

Повторные логи

[Bratez]

Пофиксите в HijackThis:

O2 - BHO: (no name) - {204A9C4C-EECB-4B0D-80BD-02B0AA334039} - C:\WINDOWS\System32\pmkhf.dll (file missing)
O2 - BHO: (no name) - {837B45D6-BF85-457D-AABF-6D2E7815F791} - C:\WINDOWS\System32\khfcbxw.dll (file missing)
O2 - BHO: (no name) - {B7672BAF-E9A3-49B6-86B2-C81719A18A4C} - C:\WINDOWS\System32\llnxjeve.dll
O2 - BHO: (no name) - {E64F0381-0053-4842-B3E5-08F6C4A0AEB6} - C:\WINDOWS\System32\uunmjswq.dll (file missing)
O20 - Winlogon Notify: khfcbxw - khfcbxw.dll (file missing)
O20 - Winlogon Notify: pmkhf - C:\WINDOWS\
O20 - Winlogon Notify: winexz32 - winexz32.dll (file missing)

[PavelA]

C:\WINDOWS\System32\llnxjeve.dll поискать через AVZ. И прислать

Действительно ли столько нужно строк: pagead2.googlesyndication.com?

[Bratez]

и выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\llnxjeve.dll','');
 DeleteFile('C:\WINDOWS\System32\llnxjeve.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки повторите логи, начиная с п.10 правил.

[troitz]

Еще логи

[V_Bond]

в логах чисто ...
осталось разобраться с этим ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Messenger (Служба сообщений)
>> Службы: разрешена потенциально опасная служба Alerter (Оповещатель)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\llnxjeve.dll - Trojan.Win32.BHO.zp (DrWEB: Trojan.DownLoader.36837)