Нод32 постоянно блокирует сайты d3dupdate com и wadgeotrust com. [Backdoor.Win32.Agent.dlmv, not-a-virus:AdWare.Win32.BHO.bera ]

[sergeevich83]

Доброго времени суток. Такая проблема, Нод32 постоянно блокирует сайты d3dupdate com и wadgeotrust com, хотя я понятия не имею что это за сайты и кто пытается к ним добраться. Блокировка сайта d3dupdate com осуществляется только при игре в WoT, а wadgeotrust com блокируется при обычной работе Windows. Сканировал систему Dr.Web CureIt и не чего не решилось.

[Info_bot]

Уважаемый(ая) sergeevich83, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18670171\177d0r08.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781862338-18670171\177d0r08.exe');
 QuarantineFile('C:\PROGRA~2\CREATI~1\DTDASN~1.EXE','');
 QuarantineFile('C:\Users\Чухан\AppData\Local\Microsoft\Windows\system.exe','');
 QuarantineFile('C:\Users\1919~1\AppData\Roaming\Searchya\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Program Files\Microsoft Data\InstallAddons.exe','');
 DelBHO('{0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2}');
 QuarantineFile('C:\Users\Чухан\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper.dll','');
 QuarantineFile('C:\Windows\System32\ir16_32.dll','');
 QuarantineFile('C:\Windows\System32\wlanmgr.dll','');
 QuarantineFile('C:\Windows\System32\d3dadapter.dll','');
 DeleteService('F06DEFF2-5B9C-490D-910F-35D3A9119622');
 QuarantineFile('C:\Program Files\Movies App\Datamngr\setmgrc2.cfg','');
 SetServiceStart('BDEnhanceBoost', 4);
 DeleteService('BDEnhanceBoost');
 QuarantineFile('C:\Program Files\Movies App\Datamngr\DatamngrCoordinator.exe','');
 DeleteService('DatamngrCoordinator');
 QuarantineFile('C:\Users\Чухан\AppData\Roaming\Mozilla\Firefox\Profiles\esu6z5h0.default-1412832413723\extensions\{2A4702A6-63E6-46E4-BEF3-E2769B6774A0}\plugins\npapihelper.dll','');
 DeleteFile('C:\Users\Чухан\AppData\Roaming\Mozilla\Firefox\Profiles\esu6z5h0.default-1412832413723\extensions\{2A4702A6-63E6-46E4-BEF3-E2769B6774A0}\plugins\npapihelper.dll','32');
 DeleteFile('C:\Program Files\Movies App\Datamngr\DatamngrCoordinator.exe','32');
 DeleteFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','32');
 DeleteFile('C:\Program Files\Movies App\Datamngr\setmgrc2.cfg','32');
 DeleteFile('C:\Windows\System32\d3dadapter.dll','32');
 DeleteFile('C:\Windows\System32\wlanmgr.dll','32');
 DeleteFile('C:\Users\Чухан\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper.dll','32');
 DeleteFile('C:\Program Files\Microsoft Data\InstallAddons.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','32');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','32');
 DeleteFile('C:\Users\1919~1\AppData\Roaming\Searchya\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\Searchya','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','32');
 DeleteFile('C:\Users\Чухан\AppData\Local\Microsoft\Windows\system.exe','32');
 DeleteFile('C:\PROGRA~2\CREATI~1\DTDASN~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\Windows Update Check - 0x0E7302EC','32');
DeleteFileMask('C:\Program Files\Microsoft Data', '*', true);
DeleteDirectory('C:\Program Files\Microsoft Data');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(9); 
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[sergeevich83]

Все сделал. Вот новые логи.

[thyrex]

Сделайте лог ComboFix

[sergeevich83]

Готово.

[thyrex]

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://sindex.biz/?company=5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.searchya.com/?f=1&a=SearchooD&cd=2XzuyEtN2Y1L1QzutDtDtByCtCzz0E0B0DtDtAyEyE0DyDtBtN0D0Tzu0CyDyDyDtN1L2XzutBtFtBtFyEtFyBtAtCtN1L1Czu0S1F1O2Z0P1F1C2Z1T1I1V0R1P1T1I2Z1P1J&cr=1710354464&ir=
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С

KillAll::

File::

Driver::
KBDMAI
ir16_32
d3dadapter
wlanmgr

NetSvcs::
KBDMAI
ir16_32
d3dadapter
wlanmgr 

Folder::
c:\users\Чухан\AppData\Roaming\advPlugin
c:\users\Чухан\AppData\Local\Amigo

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[sergeevich83]

Готово. Может бегу на перед, но проблема пока не решена...

[thyrex]

Остались обе проблемы?

[sergeevich83]

Старых нет пока, но появилась новая: wsslupdate.org

[thyrex]

• Скачайте SITLog и сохраните архив с утилитой на Рабочем столе
• Распакуйте архив с утилитой в отдельную папку
• Запустите sitlog.exe
  Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
• В главном окне программы выберите проверку за последние три месяца и нажмите "Старт"
• По окончанию работы программы в папке LOG должны появиться два отчета SITLog.txt и SITLog_Info.txt
• Прикрепите эти отчеты в вашей теме.

[sergeevich83]

Вот

[thyrex]

C:\Program Files\baidu удалите

Файлы KBDMAI.dll, ir16_32.dll, d3dadapter.dll, wlanmgr.dll есть на компьютере?

[sergeevich83]

Нашел только ir16_32.dll, удалил. А так все чисто, проблема думаю решена. Спасибо.

[thyrex]

Т.е. антивирус больше не ругается?

[sergeevich83]

Нет не ругается. спасибо Вам огромное.

[mike 1]

1. Скачайте DelFix и сохраните утилиту на Рабочем столе
2. Запустите DelFix
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup
4. Нажмите на кнопку Run
5. После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt
6. Прикрепите этот отчет в вашей теме.

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\чухан\appdata\local\microsoft\internet explorer\extensions\apihelper.dll - not-a-virus:AdWare.Win32.BHO.bera
  2. c:\users\чухан\appdata\roaming\mozilla\firefox\pro files\esu6z5h0.default-1412832413723\extensions\{2a4702a6-63e6-46e4-bef3-e2769b6774a0}\plugins\npapihelper.dll - not-a-virus:AdWare.Win32.BHO.beqy
  3. c:\windows\system32\d3dadapter.dll - Backdoor.Win32.Agent.dlmt ( AVAST4: Win32:Trojan-gen )
  4. c:\windows\system32\ir16_32.dll - Backdoor.Win32.Agent.dlmv
  5. c:\windows\system32\wlanmgr.dll - Backdoor.Win32.Agent.dlmu