Третий заход - Trojan.Win32.Buzus, Win32.VB.alt

[Santorin]

И снова просьба о помощи (3-я за 3 недели).
Каждую неделю из 3-х последних обращаюсь к Вам за помощью. Сегодня проявилось в том, что ноутбук выгрузился в синий экран. После перезагрузки просканировал avz и HiJack.This. Логи во вложении. Возможно ли, что вирус сидит где-то резидентно и каждую неделю проявляется? Спасибо за помощь.

[gjf]

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрвол.
- Выполните скрипт AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\dvd43llh.sys','');
 QuarantineFile('C:\WINDOWS\system32\detoured.dll','');
 DeleteFile('C:\WINDOWS\Downloaded Installations\BASF\{C1214383-C8B8-4A33-9D3E-6906BAE8BDD8}\ASF.msi');
 DeleteFile('C:\WINDOWS\Installer\4463c.msi');
 DeleteFile('C:\WINDOWS\Installer\4465b.msi');
 DeleteFile('C:\WINDOWS\Installer\a13a.msi');
 DeleteFile('C:\WINDOWS\Installer\{27E25625-DB51-42E6-BEB7-0C8DC878770C}\NewShortcut1.7DFB4AE8_BBF4_481A_BA5B_0A067518C888.exe');
 DeleteFile('C:\WINDOWS\Installer\{27E25625-DB51-42E6-BEB7-0C8DC878770C}\NewShortcut2.7DFB4AE8_BBF4_481A_BA5B_0A067518C888.exe');
 DeleteFile('C:\WINDOWS\Installer\{C99C0593-3B48-41D9-B42F-6E035B320449}\NewShortcut1.FCA9991C_BA96_4189_B2BE_13852649CA68.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

Система перезагрузится.
После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно пункта 2 Правил (Диагностика)
virusinfo_syscheck.zip
- Сделайте лог с помощью GMER.
gmer.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно Правил (Приложение 3).
- Прикрепите новые логи к новому сообщению в этой ветке.

[Santorin]

Выполнил согласно инструкции, gmer вылетает из-за ошибки (пробовал 3 раза) Логи и карантин во вложении.

[gjf]

Хорошо. Подождём ответ аналитиков.

Добавлено через 13 минут

С какой ошибкой вылетает Gmer? Можете привести скриншот?

[Santorin]

Скриншот во вложении. Стандартная ошибка виндовс - приложение будет закрыто.

[gjf]

Вложения не вижу.

Добавлено через 30 секунд

Скачайте ComboFix здесь или здесь, и сохраните на рабочий стол.
- Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
- Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe

[Santorin]

Сорри. Не загружается скриншот (размер больше 1Мб)
Текст следующий -обнаружена ошибка, приложение будет закрыто, приносим свои извинения. Gmer Доходит до device и дальше ошибка

[thyrex]

Gmer Доходит до device и дальше ошибка

Снимите метку с Devices и попытайтесь сделать лог

[Santorin]

ComboFix - такое впечатление, что не идет, доходит до сканирования и далее более часа ничего, отменил. Gmer запустил, убрав галку с devaces. Лог во вложении.

[thyrex]

C:\WINDOWS\system32\wxvault.dll пришлите согласно Приложения 2 правил

[Santorin]

Спасибо за помощь, файл загружен

[gjf]

Имелось в виду загрузить, как карантин. Удалите файл из вложений, он уже отправлен мной аналитикам. Будет ответ - сообщу.

Добавлено через 7 минут

Вредоносный код в файле не обнаружен.

[Santorin]

Спасибо за помощь, это все? Просто 3-й раз за три недели вылазит гадость. М.б. прогнать еще раз по стандартной процедуре из "помогите" и выложить логи?

[gjf]

Сделайте контрольный повторный лог только согласно пункта 2 Правил (Диагностика)
virusinfo_syscheck.zip

[Santorin]

Выполнил, лог во вложении.

[gjf]

Ничего вредоносного в логах не замечено.

[Santorin]

Ок. Спасибо за помощь, надеюсь, что удалось вылечить, но на всякий случай не прощаюсь.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 11
• В ходе лечения вредоносные программы в карантинах не обнаружены