"повышалки" рейтинга в контакте

[Jimb]

После скачивания и последующего запуска файла "vipava.exe" некоего сайта vipava.zzl.org/ (который уже неработает) стали появлятся файлы "!!!СУПЕР!!! Накрутка рейтинга вконтакте (vkontakte.ru).exe", так же в сети контакт на стенах у друзей появляются ссылки на этот сайт. Попытки найти и удалить данные файлы не привели к успеха, эти файлы появляются после перезагрузки компьютера, также вирусных файлов через NOD32 4 найдено не было. Прикладываю копию данного файла и логи проверки.

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\system32\qtplugin.exe','');
 QuarantineFile('C:\Program Files\Microsoft Visual Studio\Common\MSDev98\Bin\msdev.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\restorer32_a.exe','');
 QuarantineFile('c:\windows\system\winlogon.exe','');
 DeleteFile('C:\Documents and Settings\Admin\restorer32_a.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
 DeleteFile('C:\WINDOWS\system32\qtplugin.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RegistryMonitor1');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','RegistryMonitor1');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

[Никита Соловьев]

1. Пофиксите в hijackthis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system\winlogon.exe

2. Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system\winlogon.exe');
 QuarantineFile('C:\WINDOWS\system\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\restorer32_a.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\bmbemu.SYS','');
 DeleteFile('C:\WINDOWS\system\winlogon.exe');
 DeleteFile('C:\Documents and Settings\Admin\restorer32_a.exe');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Файл quarantine.zip закачайте по ссылке прислать запрошенный карантин вверху темы

Сделайте новые логи

[Jimb]

Большое спасибо, помогло

[Никита Соловьев]

В логах чисто. Выполните полную проверку при помощи Virus Removal Tool (ссылка у меня в подписи) для профилактики

[Jimb]

Лог из Virus Removal Tool выложить проблематично (весит почти 400мб), а так почти все что нашел вылечил.
PS Большое спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system\winlogon.exe - Trojan.Win32.Swisyn.pwl
  2. \!!!супер!!! накрутка рейтинга вконтакте (vkontakte.ru).exe_ - Trojan.Win32.Swisyn.pwl