Win32/Adware.Virtumonde Application [system32]

[notbugme]

Nod32 находит вирус:

Object:
C:\WINDOWS\system32\hgGYSKAR.dll
Threat:
Win32/Adware.Virtumonde Application
Information:
cleaned by deleting (after the next restart) - quarantined.

Nod32 и AVPTool не могут ни исправить ни удалить. Вручную тоже не удаляются. В безопасном режиме - безрезультатно. Файл заблокирован т.к. участвует в системном процессе.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C}');
 DelBHO('{67C23F2C-BA99-4DB2-868A-DBC811B8AB13}');
 DelBHO('{3108e7d7-b2c3-46e2-a2c2-2169742f0686}');
 QuarantineFile('C:\WINDOWS\system32\hgGYSKAR.dll','');
 QuarantineFile('C:\WINDOWS\system32\nnnmkLeC.dll','');
 QuarantineFile('C:\WINDOWS\system32\xnyjkv.dll','');
 DeleteFile('C:\WINDOWS\system32\xnyjkv.dll');
 DeleteFile('C:\WINDOWS\system32\nnnmkLeC.dll');
 DeleteFile('C:\WINDOWS\system32\hgGYSKAR.dll');
 DeleteFile('Files\SVCHOST.exe');
 DeleteFile('Program.exe');
 DeleteFile('hgGYSKAR.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[notbugme]

скрипт выполнен, файлы отправлены в соответствии с приложением 3, п.4
NOD ругается по-прежнему.

[V_Bond]

логи где ?

[notbugme]

AVPTool ничего не находит

[V_Bond]

отключите антивирус !
Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{b1dbf1db-de3e-4271-a49e-ae9c1f639b99}');
 DelBHO('{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C}');
 DelBHO('{43ED917F-AF82-42FC-9F38-2B80D0EB6AA0}');
 DelBHO('{40876B9C-3207-4A41-BB02-62F07D923B55}');
 QuarantineFile('C:\WINDOWS\system32\nnnmkLeC.dll','');
 QuarantineFile('C:\WINDOWS\system32\yqpirjef.dll','');
 QuarantineFile('C:\WINDOWS\system32\wmwrxlmj.dll','');
 QuarantineFile('C:\WINDOWS\system32\oypdeylf.dll','');
 QuarantineFile('C:\WINDOWS\system32\hgGYSKAR.dll','');
 QuarantineFile('C:\WINDOWS\system32\geBuSIBs.dll','');
 QuarantineFile('C:\WINDOWS\system32\dmomfv.dll','');
 QuarantineFile('C:\WINDOWS\system32\aqjecv.dll','');
 DeleteFile('C:\WINDOWS\system32\aqjecv.dll');
 DeleteFile('C:\WINDOWS\system32\dmomfv.dll');
 DeleteFile('C:\WINDOWS\system32\geBuSIBs.dll');
 DeleteFile('C:\WINDOWS\system32\hgGYSKAR.dll');
 DeleteFile('C:\WINDOWS\system32\oypdeylf.dll');
 DeleteFile('C:\WINDOWS\system32\wmwrxlmj.dll');
 DeleteFile('C:\WINDOWS\system32\yqpirjef.dll');
 DeleteFile('hgGYSKAR.dll');
 DeleteFile('C:\WINDOWS\system32\nnnmkLeC.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[notbugme]

скрипт выполнен, файлы отправлены согласно приложения 3 правил

[Гриша]

Пофиксить

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\hgGYSKAR.dll (file missing)
O2 - BHO: (no name) - {9CB74C51-1CD4-425D-9125-91D2022CE42C} - C:\WINDOWS\system32\geBuSIBs.dll (file missing)
O20 - AppInit_DLLs: dmomfv.dll
O20 - Winlogon Notify: hgGYSKAR - hgGYSKAR.dll (file missing)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SetAVZGuardStatus(True);
 DelBHO('{9CB74C51-1CD4-425D-9125-91D2022CE42C}');
 DelBHO('{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C}');
 DeleteFile('C:\WINDOWS\system32\hgGYSKAR.dll');
 DeleteFile('dmomfv.dll');
 DeleteFile('hgGYSKAR.dll');
 DeleteFile('C:\WINDOWS\system32\geBuSIBs.dll');
 DeleteFile('C:\WINDOWS\system32\dmomfv.bak');
 DeleteFile('C:\WINDOWS\system32\geBuSIBs.bak');
 DeleteFile('C:\WINDOWS\system32\nnnmkLeC.bak');
 DeleteFile('C:\WINDOWS\system32\wmwrxlmj.bak');
 DeleteFile('C:\WINDOWS\system32\xnyjkv.bak');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи...

[notbugme]

Выполнено.

[light59]

Жалобы есть?

Установите SP3 (может потребоваться активация) + последующие обновления.
Установите ADobe Reader 9.0 или деинсталлируйте старый.

[notbugme]

Жалоб нет.
За все спасибо.

[light59]

Спасибо не говорят, спасибо нажимают

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 19
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\aqjecv.dll - not-a-virus:AdWare.Win32.SuperJuan.kdv
  2. c:\windows\system32\dmomfv.dll - not-a-virus:AdWare.Win32.SuperJuan.kdv
  3. c:\windows\system32\gebusibs.dll - Trojan.Win32.Monder.bjgx
  4. c:\windows\system32\nnnmklec.bak - Trojan.Win32.Monder.bjfy (DrWEB: Trojan.Virtumod.855)
  5. c:\windows\system32\nnnmklec.dll - Trojan.Win32.Monder.bjfy (DrWEB: Trojan.Virtumod.855)
  6. c:\windows\system32\oypdeylf.dll - Trojan.Win32.Monder.bjgl
  7. c:\windows\system32\wmwrxlmj.dll - Trojan.Win32.Monder.bjgl
  8. c:\windows\system32\xnyjkv.bak - not-a-virus:AdWare.Win32.SuperJuan.kdv
  9. c:\windows\system32\xnyjkv.dll - not-a-virus:AdWare.Win32.SuperJuan.kdv
  10. c:\windows\system32\yqpirjef.dll - not-a-virus:AdWare.Win32.SuperJuan.kdv