И СНОВА VIRUS ALERT

[YBBY]

Доброе время суток!
Полтора месяца назад был удачно вылечен комп (с Вашей помощью, чем Вам очень сильно благодарен) от "VIRUS ALERT".
Пару дней назад начал очень сильно притормаживать комп, и в некоторых местах появлась опять надпись "VIRUS ALERT"
На этот раз никаких подозрительных файлов не открывалось (насколько это правда не знаю, т.к. этот комп у меня на обслуживании), но за несколько дней до начала "заторможения" компа был установлен GOOGLE Chrome

[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('is-Q0U5Cdrv', 4);
 QuarantineFile('C:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.3053_x-ww_b80fa8ca\MSVCR80.dll','');
 QuarantineFile('C:\Program Files\DigitalPersona\Bin\DpOFeedb.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\SSPORT.sys','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\09166165.sys','');
 QuarantineFile('C:\WINDOWS\system32\vebimayo.dll','');
 QuarantineFile('C:\WINDOWS\system32\vakumene.dll','');
 QuarantineFile('C:\WINDOWS\system32\junefare.dll','');
 QuarantineFile('C:\WINDOWS\system32\johabuji.dll','');
 QuarantineFile('c:\windows\system32\fagopitu.dll','');
 QuarantineFile('c:\documents and settings\vb\local settings\application data\google\update\googleupdate.exe','');
 QuarantineFile('c:\progra~1\bhps\lic\bin\bhepcls.exe','');
 DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
 DeleteFile('c:\windows\system32\fagopitu.dll');
 DeleteFile('C:\WINDOWS\system32\johabuji.dll');
 DeleteFile('C:\WINDOWS\system32\junefare.dll');
 DeleteFile('C:\WINDOWS\system32\vakumene.dll');
 DeleteFile('C:\WINDOWS\system32\vebimayo.dll');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\09166165.sys');
 DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
 DelBHO('{aa8bd32d-b098-4cc4-98df-db6994beb4d3}');
 DelBHO('{90B8B761-DF2B-48AC-BBE0-BCC03A819B3B}');
 DeleteService('is-Q0U5Cdrv');
 BC_ImportALL;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


Пофиксить в HijackThis следующие строчки

O20 - AppInit_DLLs: C:\WINDOWS\system32\vebimayo.dll c:\windows\system32\fagopitu.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\fagopitu.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\fagopitu.dll

Повторите логи.

[YBBY]

Пока, сожалению, ничего не изменилось, карантин выслал

[Гриша]

Пофиксить

O2 - BHO: TMAgent IE Adapter - {35A6E2B1-27A9-47D2-913C-559E1EF1D034} - C:\Program Files\Common Files\Target Marketing Agency\TMAgent\tmagent.dll
O2 - BHO: (no name) - {aa8bd32d-b098-4cc4-98df-db6994beb4d3} - C:\WINDOWS\system32\junefare.dll (file missing)
O4 - HKLM\..\Run: [f4f1af4a] rundll32.exe "C:\WINDOWS\system32\yajumano.dll",b
O4 - HKLM\..\Run: [CPMf7c29cd6] Rundll32.exe "c:\windows\system32\dezubebo.dll",a
O4 - HKUS\S-1-5-19\..\Run: [gepofilolo] Rundll32.exe "C:\WINDOWS\system32\vakumene.dll",s (User 'LOCAL SERVICE')
O20 - AppInit_DLLs: c:\windows\system32\dezubebo.dll
O21 - SSODL: SSODL - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\dezubebo.dll
O22 - SharedTaskScheduler: STS - {EC43E3FD-5C60-46a6-97D7-E0B85DBDD6C4} - c:\windows\system32\dezubebo.dll

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F}');
 DelBHO('{aa8bd32d-b098-4cc4-98df-db6994beb4d3}');
 QuarantineFile('c:\windows\system32\dezubebo.dll','');
 TerminateProcessByName('c:\progra~1\common~1\target marketing agency\tmagent\tmasrv.exe');
 DeleteFile('c:\progra~1\common~1\target marketing agency\tmagent\tmasrv.exe');
 DeleteFile('C:\WINDOWS\system32\yajumano.dll');
 DeleteFile('C:\WINDOWS\system32\junefare.dll');
 DeleteFile('c:\windows\system32\dezubebo.dll');
 DeleteFile('C:\WINDOWS\system32\vakumene.dll ');     
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[YBBY]

Попрежнему нет результата
Не было в HijackThis "O4 - HKLM\..\Run: [f4f1af4a] rundll32.exe "C:\WINDOWS\system32\yajumano.dll",b"
Карантин выслал

[Гриша]

Сделайте полную проверку CureIT и повторите логи...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 28
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\bodozanu.dll - Trojan-GameThief.Win32.OnLineGames.tuqc (DrWEB: Trojan.Virtumod.585)
  2. c:\\windows\\system32\\dezubebo.dll - Trojan-Clicker.Win32.Agent.fnq (DrWEB: Trojan.Virtumod.1459)
  3. c:\\windows\\system32\\fagopitu.dll - Trojan.Win32.Agent.aqof (DrWEB: Adware.Bho.185)
  4. c:\\windows\\system32\\johabuji.dll - Trojan.Win32.Agent.aqog (DrWEB: Trojan.Siggen.56
  5. c:\\windows\\system32\\junefare.dll - Trojan.Win32.Agent.aqzd (DrWEB: Trojan.Virtumod.145
  6. c:\\windows\\system32\\vakumene.dll - Trojan.Win32.Agent.aqzd (DrWEB: Trojan.Virtumod.145
  7. c:\\windows\\system32\\vebimayo.dll - Trojan.Win32.Agent.aqzd (DrWEB: Trojan.Virtumod.145
  8. c:\\windows\\system32\\yajumano.dll - Trojan.Win32.Monder.aare (DrWEB: Trojan.Siggen.56