Помогите плиз

[Olvin Hunter]

Поймал, благодаря родственникам, какую-то дрянь. Ни один браузер не может выйти в интернет. Far при подключении к FTP ресурсам передает пароль, после чего сообщает о разрыве соединения и предлагает подождать. При попытке запустить что либо через Run перегружается рабочий стол и больше ничего не происходит. Если систему загрузить в Save Mode with Networking браузеры без проблем выходят в интернет. Систему проверял NOD32 (глубокая проверка), DrWEB CureIt при запущенном антивирусном мониторе NOD32, Spybot v1.62
но все без толку. Надеюсь на вашу помощь.

[Макcим]

Файл HOSTS Вы сами правили?

[Olvin Hunter]

Файл HOSTS изменен Spybot'ом уже после возникновения проблемы.

[Olvin Hunter]

Уважаемые спецы, обратите на мою проблему внимание. Пожалуйста.

[Olvin Hunter]

Прошу кого-нибудь из хелперов обратить внимание на мою проблему.

[ALEX(XX)]

Подождите немного, пожалуйста.. Сегодня выходной всё же..

[Olvin Hunter]

Прошу кого-нибудь из хелперов обратить внимание на мою проблему. Уже четыре дня жду. Неужели придется переставлять систему.

[Bratez]

Извините за задержку.
Сделайте лог syscheck этой версией AVZ. Базы обновлять не надо.

[Olvin Hunter]

Пробовал делать как вы сказали. Но когда я пробую запускать CMD файл перегружается рабочий стол и больше ничего не происходит. И вообще, даже если я пытаюсь просто открыть на редактирование CMD файл происходит перезагрузка рабочего стола. Напрямую ЕХЕ'шник запускать бесполезно?

[light59]

Запускайте .exe и далее лог syscheck делайте.

[Olvin Hunter]

В добавление к моему предыдущему посту. Я эту дрянь обхитрил. Сделал .bat файл с той же командной строкой внутри что есть в .cmd файле и запустил его из под FAR. Затем FAR выключил, запущенном виде остался только IE, как написано в правилах. После этого получилось запустить стандартный скрипт AVZ и собрать требуемый лог. Так правильно? Если это не корректно, я переделаю.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\..\qtrgv.eoe','');
 DeleteFile('C:\WINDOWS\system32\..\qtrgv.eoe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=45767).
Последний лог повторите.

[Olvin Hunter]

Скрипт выполнил. Полученный файл карантина зархивировал с паролем virus и закачал.

[Bratez]

В карантине: qtrgv.eoe - Trojan-PSW.Win32.Kates.c
Новый лог нужен.

[Olvin Hunter]

Собрал новые логи с помощью вашего модифицированного AVZ и HijackThis. Когда система загрузилась, выяснилось что сеть снова стала доступна. Мой штатный NOD32 радостно обновился и пока я его выключал, чтобы запустить проверку AVZ выдал сообщение о найденном и по его словам прибитом трояне:

"C:\WINDOWS\QTRGV.EOE Win32/Delf.OHR троянская программа очищен удалением - изолирован
NT AUTHORITY\SYSTEM
Событие произошло при попытке доступа к файлу следующим приложением:
C:\WINDOWS\System32\svchost.exe."

[light59]

В логах ничего плохого больше не видно.
Trojan-PSW - воровайка паролей.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\..\qtrgv.eoe - Trojan-PSW.Win32.Kates.c ( DrWEB: Trojan.AuxSpy.7, BitDefender: Trojan.Daonol.D )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !