Подозрительное поведение Explorer.exe после...

[Bretze]

Добрый вечер!
После заражения вирусами Trojan.Win32.Agent.dcag и Trojan-Spy.Win32.Zbot.aczg и последующего удаления их с помощью KIS7 стал подозрительно себя вести процесс Explorer.exe - при открытии оперы или интернет експлорера он (Explorer.exe) по сообщениям KIS7 пытается внедриться в 'экзешники оперы или ИЕ.

[Макcим]

- Закройте/выгрузите все программы кроме AVZ
- Отключите ПК от интернета/локалки
- Выгрузите защитное ПО
- Отключите восстановление системы

Выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\service32.exe','');
 QuarantineFile('c:\windows\msnmsngr.exe','');
 QuarantineFile('C:\WINDOWS\system32\ACDV.dll','');
 QuarantineFile('C:\DOCUME~1\Ivan\LOCALS~1\Temp\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\winio.sys','');
 QuarantineFile('C:\WINDOWS\system32\CRYPTO32W.DLL','');
 DeleteFile('C:\WINDOWS\system32\CRYPTO32W.DLL');
 DeleteFile('C:\DOCUME~1\Ivan\LOCALS~1\Temp\winlogon.exe');
 DeleteFile('c:\windows\msnmsngr.exe');
 DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\service32.exe');
 DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
 BC_ImportALL;
 BC_Activate;
 ExecuteSysClean;
 ExecuteWizard('TSW', 3, 3, true);
 ExecuteWizard('BT', 3, 3, true);
 RebootWindows(false);
end.

Загрузите карантин согласно приложению №3 правил. Повторите логи.

[Bretze]

Спасибо огромное! Вроде explorer.exe успокоился

[thyrex]

Карантин пришлите по правилам

Выполните скрипт в AVZ

begin
DeleteFile('CRYPTO32W.DLL');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

[Bretze]

Готово, карантин отправил.

[Bretze]

лог

[thyrex]

Чисто

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\crypto32w.dll - Trojan.Win32.Delf.rno ( AVAST4: Win32:Trojan-gen )