Не удаляется файл (monderb.goa?)

[wtd]

Добрый день!

Завелся файл C:\WINDOWS\system32\nnnkKBut.dll , который не удаляется никакими средствами.

Касперский подозревает в файле monderb.goa, ДрВеб -- virtumod.based.23 . Удалить не тот, ни другой не могут -- после перезагрузки файл возвращается.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\fgqouafc.dll','');
 QuarantineFile('C:\Documents and Settings\artol\Local Settings\Temporary Internet Files\Content.IE5\CR5OPFOB\3077ahntdksr[1].dll','');
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 QuarantineFile('C:\WINDOWS\RavMonE.exe','');
 QuarantineFile('C:\WINDOWS\system32\xdqsqi.dll','');
 QuarantineFile('C:\WINDOWS\system32\wxreed.dll','');
 QuarantineFile('C:\WINDOWS\system32\vtUNeeCr.dll','');
 QuarantineFile('C:\WINDOWS\system32\nnnkKBut.dll','');
 QuarantineFile('C:\WINDOWS\system32\ggtuaodq.dll','');
 DeleteFile('C:\WINDOWS\system32\ggtuaodq.dll');
 DeleteFile('C:\WINDOWS\system32\nnnkKBut.dll');
 DeleteFile('C:\WINDOWS\system32\vtUNeeCr.dll');
 DeleteFile('C:\WINDOWS\system32\wxreed.dll');
 DeleteFile('C:\WINDOWS\system32\xdqsqi.dll');
 DeleteFile('C:\WINDOWS\RavMonE.exe');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
 DeleteFile('C:\Documents and Settings\artol\Local Settings\Temporary Internet Files\Content.IE5\CR5OPFOB\3077ahntdksr[1].dll');
 DeleteFile('C:\WINDOWS\system32\fgqouafc.dll');
 DelBHO('{F6A9C779-4730-42F7-9142-432860D0B778}');
 DelBHO('{ee5adef0-d1ca-44d2-b88f-5f0e6a305523}');
 DelBHO('{53F790A4-191C-41D2-8890-F73FFF04F811}');
 DelBHO('{3DE82B7E-C3CD-4CE8-8CEC-53FBC6DC8BDF}');
 DelBHO('{24612422-8A1A-46FA-93F9-8A3C651B2118}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=42461).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[wtd]

Пришлите карантин согласно приложению 3 правил

Сделано.

Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Приложены.

[Bratez]

Пофиксите в HijackThis:

O2 - BHO: (no name) - {1D30FCE1-02F5-44F1-A62F-D9A4A08A8DC4} - C:\WINDOWS\system32\vtUNeeCr.dll (file missing)
O2 - BHO: {c021253e-0b21-8d4a-eba4-efb481ca4d92} - {29d4ac18-4bfe-4abe-a4d8-12b0e352120c} - C:\WINDOWS\system32\vufjdt.dll
O2 - BHO: (no name) - {FC65958F-16D6-487D-8323-1AC1855ACE44} - (no file)
O4 - HKLM\..\Run: [40c14abf] rundll32.exe "C:\WINDOWS\system32\keakggsn.dll",b
O9 - Extra button: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O20 - AppInit_DLLs: vufjdt.dll
O20 - Winlogon Notify: nnnkKBut - nnnkKBut.dll (file missing)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\vufjdt.dll','');
 QuarantineFile('C:\WINDOWS\system32\keakggsn.dll','');
 DeleteFile('C:\WINDOWS\system32\keakggsn.dll');
 DeleteFile('C:\WINDOWS\system32\vufjdt.dll');
 DelBHO('{29d4ac18-4bfe-4abe-a4d8-12b0e352120c}');
 DelBHO('{1D30FCE1-02F5-44F1-A62F-D9A4A08A8DC4}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите новый карантин согласно приложению 3 правил.

Удалите Bonjour.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[wtd]

Пофиксите в HijackThis:

Сделано.

Выполните скрипт в AVZ:

Сделано.

Пришлите новый карантин согласно приложению 3 правил.
Удалите Bonjour.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

Карантин выложен, Bonjour удален, логи приложены.

[Bratez]

Мы победили
Какие-то проблемы остались?

[wtd]

Мы победили
Какие-то проблемы остались?

Все отлично, гигантское спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\girmcc.bak - Trojan.Win32.Monder.buyr ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )
  2. c:\windows\system32\keakggsn.dll - Trojan.Win32.Monder.buuh ( BitDefender: Gen:Trojan.Heur.Vundo.4019E6C6C6 )
  3. c:\windows\system32\ktswkfiq.dll - not-a-virus:AdWare.Win32.Virtumonde.auzp ( BitDefender: Gen:Trojan.Heur.Vundo.4019E6C6C6 )
  4. c:\windows\system32\nnnkkbut.dll - Trojan.Win32.Monderb.goa ( DrWEB: Trojan.Virtumod.based.23, BitDefender: Trojan.Vundo.FLU )
  5. c:\windows\system32\vaszvi.dll - Trojan.Win32.Agent.bwuo ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )
  6. c:\windows\system32\vtuneecr.dll - Trojan.Win32.Monder.buyn ( BitDefender: Gen:Trojan.Heur.Vundo.E0B9466666 )
  7. c:\windows\system32\vufjdt.dll - Trojan-Downloader.Win32.Obfuscated.qxd ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )
  8. c:\windows\system32\wxreed.dll - Trojan.Win32.Agent.bwuo ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )
  9. c:\windows\system32\xdqsqi.dll - Trojan.Win32.Agent.bwuo ( BitDefender: Gen:Trojan.Heur.Vundo.6039C6E6E6 )