Событие при попытке доступа к файлу приложением \??\C:\WINDOWS\system32\winlogon.exe.

[elfd33]

Нод обнаруживает в памяти - C:\WINDOWS\system32\vtUklmjJ.dll - пишет что будет удален при след. запуске. Ниче не удаляет.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DelBHO('{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C}');
 DelBHO('{44627E97-789B-40d4-B5C2-58BD171129A1}');
 DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
 QuarantineFile('C:\WINDOWS\system32\vtUklmjJ.dll','');
 DeleteFile('C:\WINDOWS\system32\vtUklmjJ.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Hmr04.sys');
 DelWinlogonNotifyByKeyName('vtUklmjJ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(1);
 BC_DeleteSvc('Hmr04');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=41047

3. Повторите логи.

[elfd33]

Карантин выслал. Логи прикрепляю.

[elfd33]

Подозрительный файл пропал, но запись о надстройке в IE осталась.
Как можно почистить?

[Гриша]

Пофиксить

O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - C:\WINDOWS\system32\vtUklmjJ.dll (file missing)
O20 - Winlogon Notify: vtUklmjJ - C:\WINDOWS\

Прокси ваши?

ProxyServer = 192.168.8.1:3128
ProxyOverride = 192.168.*.*;127.*.*.*;<local>

Повторите лог HJT...

[elfd33]

Пофиксил. Спасибо!
А как предыдущие логи?

PS Прокси мои.

[Гриша]

Все нормально...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены