Помогите, пжл, не могу вывести Трояна

[kostyadk]

Нортон антивирус находит Trojan.Dropper во временных файлах интернет эксплорера, хотя я их почистил. Компьютер сильно тормозит процессом uphclean.exe. Кроме того, при запуске любой программы просит вставить смарт карту для шифрования доступа при этом выскакивает опять сообщение нортона о вирусе. В Safe Mode запуститься не дает, выбрасывает в синий экран с сообщением о вирусе.
Логи приложил, заранее благодарен.

[Rene-gad]

Посмотрите, что из этого списка Ваше или хотя бы Вам знакомо. Остальное -Пофиксите:

O16 - DPF: {0120D175-6088-4E9D-954E-48F98E8032F5} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {029FF4FD-C7C2-41F0-878A-3E28E1DCFBBC} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {0505795E-7321-4A7A-91D6-26919060FAFD} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {05AB940D-5428-4444-94C2-8204DF3C22F9} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {108C31EF-F101-4821-A88C-FBCEF1C40F40} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {11DDFC41-9B17-4EBA-ADEA-06B5415C5C4F} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {15D84503-5722-4E58-A834-1D4711E6BA57} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {17B3F8CB-07B9-46F8-B837-8876A5A8915C} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {230B650E-8200-4427-BE62-F3B91818FB86} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {2A44D55B-332E-4963-9126-2ECB03CC54E9} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {2E2587E0-56E5-48A6-B240-A6A8EF293D94} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {2E52F2EC-51AE-4B97-B1EC-07E56CB89DD0} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {2FE20EF1-430D-46CF-992E-1FC5D113C53D} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {2FFB67BF-6935-465A-B8DD-4016EB35D474} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {360A3167-1DB7-42A4-9B12-FDA98243475B} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {3A78CA97-7411-4C8C-AD0A-2955DB41B90D} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {3B2E33F8-B0A9-49BF-8E0B-29DEA6FF5FBD} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {3BA09C16-AD12-40A3-AA8C-70D9E640C2BB} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {3D9990C9-AF78-4FA3-B998-926BC77B6740} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {48576480-541D-4105-BB55-616B9B8835CB} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {4D39E5A6-8167-4597-AFC1-7865F7C05C4D} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {4EF2C46E-0D50-4C58-9DB3-6C3E9507D6FB} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {51B66476-86D2-449D-BF39-05F9F61B76D5} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {585B99D5-FD59-4585-9D22-B9FE7BBD3C97} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {5996D6B6-4EFF-4AA1-A00D-2FD816743E7E} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {5E9A6B33-57EC-4085-B3BF-4929ED54767E} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {69E6F840-19F1-4E44-B8D6-608B3CD54118} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {6B3D7A32-9EB1-4EB3-B42E-0C3E39E3455B} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {6C234FA1-EACB-4FA7-A53A-2F3ED426F810} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {702C5E04-46AD-4B05-AEA2-C265F47C5F4B} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {76D03CEA-8009-4898-8076-A7C2F8CB786A} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {78AEEAA2-21A1-4725-A51F-4AE22307E915} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {7E58508C-5C30-4BF2-9617-2CAC1C74B7AE} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {8E20CC15-86CD-4EAA-A418-50143CDE701D} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {8FC2813F-6247-4014-BE33-2A2B576F3A54} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {96D02948-B4CC-478B-B47F-B5900CDAE9AF} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {9BEE1010-A249-4CED-9C8A-800D818792AA} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {9D814254-A914-48DC-AE1D-DD790DA3C041} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {9DB495C7-525C-4B25-898F-1692257745CC} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {A13B4952-7B75-4436-B014-82975DD39DEC} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {A560B62B-94B6-462D-9F5F-0EA0C4290432} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {A7A73B61-F6DA-474E-BE31-E3FECC00B100} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {AD02C797-A533-4FCE-A91D-CB05ABE92DC8} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {B06F9D94-E5E0-439D-8BAF-0344D4FE1825} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {B224F107-DFCB-4A15-BDD1-8AD17940AB39} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {B471FD5E-50DF-43B8-B713-C27B64CBBDA1} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {BD1BBCB1-97B6-45DF-A354-1FD4D88C605F} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {C2AFBF76-6FBA-4D2F-9DC0-A41E8EA31448} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {C472C9E5-5DDF-4D43-97C6-F50A2E2F328B} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {C5AED888-3E95-4A27-8AB7-29E292286500} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {C730C14E-02C0-405B-BC39-C70E9B33517B} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {C842122A-A509-45A6-8AF8-4CEDCA647B05} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {CAD8C79D-9B0E-40DF-A701-E0A3ADD8409E} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {CB1C79A4-8B86-42C7-A44F-3477783AD2C2} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {D077A8C4-B5A9-46FC-BBD2-FC39D74C1D7B} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {D2B26BB0-46AD-423B-9358-0D1A37430821} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {E37141DE-FF69-4C4C-80E8-1C8F1AD4DDD8} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {EA20CA60-C8F3-4B57-BCD3-76EF98561A0A} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {EC108A30-8154-43D8-BBDF-F3EA13FCFBCC} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {F2CAD144-9936-4A62-9369-0BBED58F2169} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {F2D8BF9D-C0D7-4A0D-9F5D-9454FBC7B4D5} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O16 - DPF: {F702A4EE-86E3-4AA0-8CAE-AE86E347B510} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {F7FDEC03-0222-48EC-88FF-B3DC7B1EEBAF} - http://g3w1100.houston.hp.com:2021/VB/Package/DART_2023.CAB
O16 - DPF: {F8646E9A-E235-434D-AAE1-2C84925EBEBB} - http://g3w1102.houston.hp.com:2023/VB/Package/DART_2023.CAB
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = emea.cpqcorp.net
O17 - HKLM\Software\..\Telephony: DomainName = emea.hpqcorp.net
O17 - HKLM\System\CCS\Services\Tcpip\..\{BAA65FFD-FC67-42DC-96EF-DCBBEAA67BF6}: NameServer = 16.110.135.51,16.110.135.52,,,,,,,,,,,,,,111.112.113.114,211.212.213.214,,,,,,,,,,,,,
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = emea.cpqcorp.net
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = EMEA.cpqcorp.net,EMEA.hpqcorp.net,hpqcorp.net,cpqcorp.net
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = emea.cpqcorp.net
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: SearchList = EMEA.cpqcorp.net,EMEA.hpqcorp.net,hpqcorp.net,cpqcorp.net
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = emea.cpqcorp.net
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: SearchList = EMEA.cpqcorp.net,EMEA.hpqcorp.net,hpqcorp.net,cpqcorp.net
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = EMEA.cpqcorp.net,EMEA.hpqcorp.net,hpqcorp.net,cpqcorp.net

- Очистите темп-папки, кэш проводников и корзину.
-Выполните скрипт:

begin
SetAVZPMStatus(True);
RebootWindows(true);
end.

После перезагрузки:

- Сделайте лог полного сканирования MBAM.
- Повторите в точности действия, описанные в пп.2 и 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[kostyadk]

Сделано. В этом списке все строчки нужные.

[Rene-gad]

-Пофиксите:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,

Удалите с помощью MBAM

Registry Keys Infected:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} 
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6}
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7}
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6}
HKEY_CLASSES_ROOT\multimediaControls.chl
HKEY_CURRENT_USER\SOFTWARE\NetProject
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\MultiMedia Software

Registry Values Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID

Folders Infected:
C:\WINDOWS\system32\lowsec

Files Infected:
C:\WINDOWS\system32\lowsec\local.ds
C:\WINDOWS\system32\lowsec\user.ds
C:\WINDOWS\system32\lowsec\user.ds.lll
C:\WINDOWS\system32\sdra64.exe

- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Обновите Java RE.
- Сделайте лог полного сканирования MBAM.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[kostyadk]

Все сделал, стало намного лучше !
Логи приложил.

[Rene-gad]

- Удалите Bonjour.

В логах ничего подозрительного. Жалобы есть?

[kostyadk]

Жалоб нет. Спасибо огромное !!! Как здорово, что есть этот ресурс и такие специалисты !