Win32/Adware.Virtumonde

[AlxR]

Здравствуйте!

серьезное замедление работы ПК, периодически выскакивают окна браузера с сообщениями вроде your pc infected итд, отключилось обновление windows - включить невозможно. Eset ничего не находит, н постоянно выдает сообщение:
объект: fccywxop.dll
угроза:win32/Adware.Virtumonde, очищен удалением, изолирован. Проверка утилитой DrWeb.Curelt выявила и удалила несколько .dll файлов, но в обычном режиме все осталось по прежнему.

[Гриша]

http://virusinfo.info/showthread.php?t=1235

[AlxR]

hijackthis.log

[AlxR]

http://virusinfo.info/showthread.php?t=1235

я сделал скрипты, не получаецца загрузить сюда

[Гриша]

Залейте сюда и ссылки в тему http://www.virusinfo.ifolder.ru/

[AlxR]

вот, залил с другого компа.
http://virusinfo.info/attachment.php...1&d=1222933747
http://virusinfo.info/attachment.php...1&d=1222933747
http://virusinfo.info/attachment.php...2&d=1222886219

[Rene-gad]

Удалите AdAware!!!

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('fccywXop.dll','');
 QuarantineFile('C:\WINDOWS\onfwbsak.dll','');
  QuarantineFile('C:\WINDOWS\system32\fccywXop.dll','');
 QuarantineFile('C:\WINDOWS\dfmlxbpkqbr.dll','');
 QuarantineFile('C:\WINDOWS\system32\vtUlLEWQ.dll','');
 QuarantineFile('C:\WINDOWS\system32\byXqppnK.dll','');
 QuarantineFile('C:\WINDOWS\system32\gmipsfhm.dll','');
 QuarantineFile('C:\WINDOWS\ekme.exe','');
 DeleteFile('C:\WINDOWS\system32\dns-sd.exe');
 DeleteFile('C:\WINDOWS\ekme.exe');
 DeleteFile('C:\WINDOWS\system32\gmipsfhm.dll');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\Apple\Installer Cache\Bonjour 1.0.104\Bonjour.msi');
 DeleteFile('C:\WINDOWS\system32\byXqppnK.dll');
 DeleteFile('C:\WINDOWS\system32\vtUlLEWQ.dll');
 DeleteFile('C:\WINDOWS\dfmlxbpkqbr.dll');
 DeleteFile('C:\WINDOWS\system32\fccywXop.dll');
 DeleteFile('C:\WINDOWS\onfwbsak.dll');
 DeleteFile('fccywXop.dll');
 DelBHO('{E33BDD98-9429-42C6-8A28-A2ED6C04F710}');
 DelBHO('{C75F2052-6A19-4618-AACF-201AD36AEF98}');
 DelBHO('{7BDED1B1-E305-48E4-A876-FD09AA7EE0FC}');
 DelBHO('{376EFD74-7AA4-44A4-9E39-E374ED3139A9}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.

[AlxR]

Приложение 2. Поиск файлов при помощи AVZ.

2. В верхнем окне введите список файлов которые Вас просили прислать.

- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).

где найти этот карантин?

где найти этот карантин?

отправил

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\fccywXop.dll','');
 QuarantineFile('C:\WINDOWS\system32\vtUlLEWQ.dll','');
 QuarantineFile('C:\WINDOWS\system32\rabhlmav.dll','');
 DeleteFile('C:\WINDOWS\system32\rabhlmav.dll');
 DeleteFile('C:\WINDOWS\system32\vtUlLEWQ.dll');
 DeleteFile('C:\WINDOWS\system32\fccywXop.dll');
 DelBHO('{394F1C71-ADAD-4D67-B28B-0705B699072B}');
 DelBHO('{376EFD74-7AA4-44A4-9E39-E374ED3139A9}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 правил).
- Прикрепите логи к новому сообщению.

[AlxR]

сделал

[Bratez]

Пофиксите в HijackThis:

O20 - Winlogon Notify: fccywXop - C:\WINDOWS\
O21 - SSODL: rwlfsdmk - {04DAF48D-F5A5-404C-8A9D-444176191F9F} - (no file)

Больше ничего плохого не видно.

[AlxR]

Да, вроде все работает. Огромное спасибо!!!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 31
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\dfmlxbpkqbr.dll - Trojan.Win32.Vapsup.mjn (DrWEB: Trojan.Popuper.7827)
  2. c:\\windows\\ekme.exe - Trojan.Win32.Vapsup.mgx (DrWEB: Trojan.Popuper.782
  3. c:\\windows\\onfwbsak.dll - Trojan.Win32.Vapsup.mgv (DrWEB: Trojan.Popuper.7829)
  4. c:\\windows\\system32\\gmipsfhm.dll - Trojan.Win32.Monder.twu (DrWEB: Trojan.Virtumod.619)
  5. c:\\windows\\system32\\rabhlmav.dll - Trojan.Win32.Monder.twt (DrWEB: Trojan.Virtumod.620)
  6. c:\\windows\\system32\\vtullewq.dll - not-a-virus:AdWare.Win32.Virtumonde.amcv (DrWEB: Trojan.Virtumod.512)