Win32/Kryptik.SQ - прошу помощи

[Skippy]

Добрый день! NOD32 при загрузке находит трояна, безуспешно пытается его уничтожить. Троян поменял в реестре параметр TCPIP - удалял вручную, т. к. блокировался выход в интернет, трафик шел неведомо куда, в логах HiJack теперь этих строк нет. Помогите добить, пожалуйста!

[PavelA]

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
 QuarantineFile('C:\WINDOWS\TEMP\tempo-15495515.tmp','');
 QuarantineFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll','');
 DeleteFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll');
 DeleteFile('C:\WINDOWS\TEMP\tempo-15495515.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки повторить логи + сделать лог Gmer
Загрузить карантин по красной ссылке.

[Skippy]

Выполнил.
Карантин закачал:
Файл сохранён как090707_170310_virus_4a53478e115ac.zip
Размер файла13262
MD596c9b637fd0d0f1aede140cafd7ccd43

[PavelA]

В карантине был Trojan.Win32.Agent.clxm по Касперскому.

Добавлено через 3 минуты

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll','');
 QuarantineFile('C:\WINDOWS\system32\MSIVXitufxjlkmppkbpcxovbwqwmbqrychxyx.sys','');
QuarantineFile('C:\WINDOWS\system32\MSIVXfxwvbkpufnaqnfwmobwgbeycpasnvdiy.dll',''); 
 BC_DeleteFile('C:\WINDOWS\system32\MSIVXitufxjlkmppkbpcxovbwqwmbqrychxyx.sys');
 BC_DeleteFile('C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll');
 BC_DeleteSvc('MSIVXserv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Сделать новые логи после перезагрузки.
Загрузить карантин только за сегодняшнее число по Правилам.

[thyrex]

+ к предыдущему

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service MSIVXserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\MSIVXitufxjlkmppkbpcxovbwqwmbqrychxyx.sys"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.dll"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXuwpdqvstdynqjemwrdxhdkefgdkddbae.bak"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXfxwvbkpufnaqnfwmobwgbeycpasnvdiy.dll"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXcount"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\MSIVXserv.sys"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys"
gmer.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[Skippy]

Добрый день! AVZ пишет:

Ошибка скрипта: Undeclared identifier: 'BC_DeleteSvs', позиция [9:14]

и ничего не выполняет.

Gmer сейчас сделаю

[PavelA]

Исправил скрипт.

[Skippy]

Карантин закачал:
Файл сохранён как 090708_165439_virus_4a54970f1262b.zip
Размер файла 55675
MD5 e1fb6f2443b1e0a3c64d2a1269fb48fb

[thyrex]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe

gmer.exe -del service MSIVXserv.sys
gmer.exe -del file "C:\WINDOWS\system32\drivers\MSIVXitxfoykbvqsusbmqbltfmglwkqtgnmeg.sys"
gmer.exe -del file "C:\WINDOWS\system32\MSIVXnqwmrsybydnfyxtpaxxlllgbwtcpciti.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\MSIVXserv.sys"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\MSIVXserv.sys"
gmer.exe -reboot

И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

[Skippy]

Выполнил. Gmer руганулсяся, что не нашел такие пути, перезагрузил. После перезагрузки просканировал все Gmer'ом, он не стал создавать лог.

[thyrex]

Немного поправил скрипт
Попробуйте еще раз выполнить. На сообщения об ошибках не обращайте внимания.

Попробуйте сделать новый лог

[Skippy]

Вот новый лог.

[PavelA]

Зачищено. Лог чистый.

[Skippy]

Спасибо за помощь! Сейчас последую вашим рекомендациям, создам ограниченную учетку и т. д.
Напоследок 2 вопроса:
1.В логе HiJack вызывает сомнение строчка

O2 - BHO: FieryAds advertising module v1.5.0 - {CF272101-7F6E-4CF2-9453-B4C5D2FC32C0} - (no file)

. Убить ее?
2. Посоветуйте что-нибудь для очистки и оптимизации реестра (в regedit'e я не силен!)

[thyrex]

1. Да, эту строчку надо пофиксить

[Skippy]

Пофиксил,пропала. Вроде все хорошо...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\msivxfxwvbkpufnaqnfwmobwgbeycp asnvdiy.dll - Trojan.Win32.Monder.cqcs
  2. c:\windows\system32\msivxuwpdqvstdynqjemwrdxhdkefg dkddbae.dll - Trojan.Win32.Agent.clxm ( DrWEB: BackDoor.Tdss.223, BitDefender: Trojan.Generic.2020384 )