Подозрение на руткит

[bo4karev]

На ПК стоит kis, проводилась полная проверка. Через некоторое время после включения ПК начинает сильно тупить браузер.

[Info_bot]

Уважаемый(ая) bo4karev, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://dts.search-results.com/sr?src=ieb&appid=362&systemid=406&sr=0&q={searchTerms}
O2 - BHO: Searchqu Toolbar - {99079a25-328f-4bd4-be04-00955acaa0a7} - C:\PROGRA~1\SEARCH~1\Datamngr\ToolBar\searchqudtx.dll

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{09900DE8-1DCA-443F-9243-26FF581438AF}');
 DelBHO('{D4C56A33-3488-495B-8033-9BF834E276D8}');
 DelBHO('{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a}');
 DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
 QuarantineFile('C:\Documents and Settings\user\Local Settings\Application Data\PlayFree Browser\Application\PlayFreeBrowser.exe','');
 QuarantineFile('C:\Documents and Settings\user\Application Data\Flash\update.vbs','');
 QuarantineFile('c:\temp\sdm143\free ride games.exe','');
 DeleteFile('c:\temp\sdm143\free ride games.exe','32');
 DeleteFile('C:\Documents and Settings\user\Application Data\Flash\update.vbs','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Exent_SDM');
  DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU',3,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте полный образ автозапуска uVS.

[bo4karev]

Все выполнил.

[Vvvyg]

Уберите из ярлыка Opera запуск webalta:

"C:\Program Files\Opera\Opera.exe" http://home.webalta.ru

Выполните скрипт в uVS:

;uVS v3.81.1 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

; C:\DOCUMENTS AND SETTINGS\USER\LOCAL SETTINGS\APPLICATION DATA\MAIL.RU\MAILRUUPDATER.EXE
addsgn 1A16FB9A5583C58CF42B254E3143FE8E6082CF3FB2FED2D06195C5C84397F2B50E6532DA76B81EB03AF78AF54B4E1439F6DB25DEB18CB071EE72E0D038F9487D 24 Win32:Downloader-TPW [PUP] [Avast]

exec MsiExec.exe /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216031FF}
restart

На вопросы об удалении программ рекомендую соглашаться.
Компьютер перезагрузится.

Уведомление

Данный скрипт удалит все устаревшие версии Java, т. к. в них имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Скачайте и установите Java 7 Update 25. Уязвимости Java являются частой причиной взлома и заражения системы и поэтому это потенциальная дыра в безопасности

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[regist]

+ удалите вручную папку

C:\Documents and Settings\user\Application Data\Flash

+ Советы и рекомендации после лечения компьютера

[bo4karev]

Все выболнил, большое спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены