Trojan.Win32.BHO.abo

[Marmot]

Добрый вечер!

Буду очень признателен Вашей помощи в удалении данного вируса.

Программа AVZ сообщает,
"C:\WINDOWS\system32\bidisp.dll >>> подозрение на Trojan.Win32.BHO.abo ( 0A5FB872 043A9755 0020FE22 0023D50D 84992)"

Антивирус Касперского 7.0 сигнализирует о том, что файл bidisp.dll в папке c:\windows\system32\ заражен вирусом Trojan-Spy.Win32.BZub.bys

Удалить данный файл антивирус к сожалению не может.

Пожалуйста, подскажите, как это сделать.

Спасибо.

[wise-wistful]

Выполните в АВЗ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{E9BD72D4-34BA-4E4A-9F5E-B1AD6981FC6B}');
 QuarantineFile('C:\WINDOWS\system32\Drivers\ehlorcvz.dat','');
 QuarantineFile('C:\WINDOWS\system32\bidisp.dll','');
 DeleteFile('C:\WINDOWS\system32\bidisp.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\ehlorcvz.dat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится. Загрузите карантин соглпсно приложению 3 правил по ссылке http://virusinfo.info/upload_virus.php?tid=17908
Повторите логи.

[Marmot]

Добрый вечер.

К сожалению, до перезагрузки компьютера не доходит.
Выдается сообщение Failed to set data for 'DisplayName'

Print Screen прилагаю к письму.

[V_Bond]

попробуйте выполнить стандартный скрипт без строки 2 и 3 ...

[Marmot]

Скрипт был выполнен.

Загрузил карантин согласно приложению 3 правил по ссылке http://virusinfo.info/upload_virus.php?tid=17908

Новые логи прилагаю к своему сообщению.

[Bratez]

Все на месте. Скрипт из сообщения #2 надо выполнять обязательно в полном виде. Перед выполнением отключите Касперского. Если также будет ошибка, попробуйте в безопасном режиме.

Добавлено через 1 минуту

Затем сделайте новые логи, начиная с п.10 правил.

[Marmot]

Добрый вечер.

Выполнил скрипт в полном виде (в безопасном режиме).

Новые логи прилагаю к сообщению.

[V_Bond]

деинсталиркйте аутпост (временно) ...
выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('fwslmmbb');
 QuarantineFile('c:\windows\system32\bidisp.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ehlorcvz.dat','');
 SetServiceStart('fwslmmbb', 4);
 DeleteService('fwslmmbb');
 DeleteFile('C:\WINDOWS\system32\drivers\ehlorcvz.dat');
 DeleteFile('c:\windows\system32\bidisp.dll');
 BC_DeleteSvc('fwslmmbb');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

повторите логи ....

[Marmot]

Все выполнил.

[V_Bond]

скрипт выполнялся в нормальном режиме ?
антивирус был выключен ?

[Marmot]

Антивирус был выключен.

Скрипт, который Вы мне прислали, выполнялся в безопасном режиме.
Стандартные скрипты после перезагрузки (для создания логов) - в нормальном.

[V_Bond]

скрипт нужно выполнять в нормально режиме !!! .... с отключенным антивирусом ...

[Marmot]

Деинсталировал и антивирус.

Запустил скрипт в нормальном режиме.

[V_Bond]

в логах чисто .... антивирус можно было просто отключить ...

[wise-wistful]

При помощи АВЗ сервис--поиск файлов на диске поищите и пришлите

msiconf.exe

соглано правил.

Добавлено через 2 минуты

IP 111.112.113.114

Internet Assigned Numbers Authority
4676 Admiralty Way, Suite 330
Marina del Rey
CA
90292-6695
United States

и IP 211.212.213.214

Hanaro Telecom, Inc.
Korea, Republic of

Вам знакомы?

[Marmot]

Добрый вечер.

Данный файл обнаружен не был.

Обозначенные Вами IP-адреса и органиpации мне ни о чем не говорят..

Неужели еще один вирус?

[V_Bond]

випусов нет ...
мусор можно пофиксить ...

O4 - HKCU\..\Run: [msiconf.exe] msiconf.exe

насчет адресов .... я так понимаю у вас интернет через локалку ?

[Marmot]

Понял. Спасибо.

Нет, не через локалку.
СТРИМ. Модем по usb подключен ко мне напрямую.

Есть сетевая плата для подключения второго домашнего компьютера, но она уже очень давно не используется, витая пара не подключена...

[pig]

Обозначенные Вами IP-адреса и органиpации мне ни о чем не говорят..

Зато в других темах засветились.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\bidisp.dll - Rootkit.Win32.Podnuha.y (DrWEB: Trojan.DownLoader.47240)