sfc.sys trojan

[evgeniyk]

Пожалуйста помогите избавится от sfc.sys

После каждой перезагрузки НОД выдает окно со следующим:
c:\windows\system32\drivers\sfc.sys
a variant of Win/Agent.PHC trojan
Event occurred on a new file created by the application: \??\C:\WINDOWS\system32\winlogon.exe. The file was moved to quarantine.

Кроме этого какая-то программа посылает запрос на подключение к интернету - конкретно к local-port-connect.com

Так же я удалил из файла хостов следующее (после того как увидел эти записи в virusinfo_syscure.htm)

94.198.53.165 vkontakte.ru
94.198.53.165 www.vkontakte.ru
94.198.53.165 win.mail.ru
94.198.53.165 www.win.mail.ru
94.198.53.165 odnoklassniki.ru
94.198.53.165 www.odnoklassniki.ru
94.198.53.165 passport.yandex.ru
94.198.53.165 www.passport.yandex.ru
94.198.53.165 mail.yandex.ru
94.198.53.165 www.mail.yandex.ru

Спасибо!

[Bratez]

Вместо virusinfo_cure.zip должен быть virusinfo_syscure.zip.

[evgeniyk]

добавляю файл

[evgeniyk]

кроме этого в безопасном режиме виндоус вообще не загружается - синий экран

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\sfc.sys','');
 QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
 RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
 CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
QuarantineFile('C:\WINDOWS\System32\kernel32.dll','');
DeleteFile('C:\WINDOWS\System32\sfc.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(10);
ExecuteRepair(13);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[evgeniyk]

090713_212823_virus_4a5b6eb800f28.zip

[evgeniyk]

свежие логи
(нод уже не ругается и я могу загрузаться в безопасном режиме! )

[evgeniyk]

а почему нужно было удалять sfcfiles.dll - в логах его не нашел.. это из личного опыта? или есть список связанных файлов вирусов?
спасибо

[thyrex]

sfc.sys тоже в логах не было, но это точно не был системный файл

Детект моего Касперского

C:\WINDOWS\System32\sfcfiles.dll - Trojan.Win32.Patched.fr

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Установите Adobe Acrobat 9.1 или удалите старый
Обновите Java

[evgeniyk]

Большое спасибо за быструю помощь и пояснения

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\sfcfiles.dll - Trojan.Win32.Patched.fr