zonetech.info/61.exe + peerfrag.FD + hllw.lime.18

[Petrovich2012]

Доброе утро!

Вчера установил новую линию интернет (Киев, компания Билайн), и в первые же 5 минут пользования мой NOD32 обнаружил вирус hттp://____/61.exe . Из программ которые не запускались больше недели (и могли бы стать причиной заражения) могу вспомнить только u-torrent.

Соединение интернет работает 10-15 минут максимум. После этого обнаруживаются ошибки, которых на "старом" провайдере интернет никогда не было (использую этот компьютер около 2 месяцев, провайдера - около 10 месяцев). Ошибки включают Java Platform Error и ... еще одна, не вспомню формулировку, но аналогичная была с WinXP SP1-2 в ситуации когда вирус-червь блокирует доступ к интернет и единственным решением для "чайника" вроде меня было постоянно перегружать ПК. Надеюсь, логи прояснят ситуацию.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 QuarantineFile('C:\WINDOWS\mshost.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-8380876432-8713626443-590945270-5257\sysdata.exe','');
 QuarantineFile('C:\WINDOWS\system32\bgsvcgen.exe','');
 QuarantineFile('C:\WINDOWS\system32\urwh.djo','');
 DeleteFile('C:\WINDOWS\system32\urwh.djo');
 DeleteFile('C:\RECYCLER\S-1-5-21-8380876432-8713626443-590945270-5257\sysdata.exe');
 DeleteFile('C:\WINDOWS\mshost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mshost');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=61451

3. Повторите логи.

[Petrovich2012]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 QuarantineFile('C:\WINDOWS\mshost.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-8380876432-8713626443-590945270-5257\sysdata.exe','');
 QuarantineFile('C:\WINDOWS\system32\bgsvcgen.exe','');
 QuarantineFile('C:\WINDOWS\system32\urwh.djo','');
 DeleteFile('C:\WINDOWS\system32\urwh.djo');
 DeleteFile('C:\RECYCLER\S-1-5-21-8380876432-8713626443-590945270-5257\sysdata.exe');
 DeleteFile('C:\WINDOWS\mshost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mshost');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=61451

3. Повторите логи.

Первый лог сделан при выключенном NOD32, второй и третий (которые после перезагрузки, при включенном интернете) - при включенном. Если нужно все три делать при выключенном - дайте знать, переделаю.

Спасибо!

[Petrovich2012]

Вот что происходит при каждой перезагрузки компьютера:







И немного позже, это:



На этом этапе интернет соединение умирает (кабельный инет, подключаемый через диал-ап иконку)

Добавлено через 7 минут



А это - самый частый "гость".

P.S. Если эти картинки - лишнее, пожалуйста, дайте знать. Не хочу спамить.

[thyrex]

Сделайте этот лог http://virusinfo.info/showpost.php?p=457118&postcount=1

[Petrovich2012]

Сделан, опять же, при включенном НОД32.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\ms.exe','');
 DeleteFile('C:\WINDOWS\system32\ms.exe');
 DeleteFile('C:\WINDOWS\mshost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mshost');
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=61451

3. Повторите логи.

[Petrovich2012]

Восстановление системы и антивирус отключены для всех трех логов.

[AndreyKa]

Выполните в AVZ скрипт из файла ScanVuln.txt и приложите к этой теме файл c:\avz_log.txt

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\mshost.exe - Trojan.Win32.Buzus.cqrb ( DrWEB: Trojan.Inject.7431, BitDefender: Trojan.Generic.2800594, AVAST4: Win32:Trojan-gen )
  2. c:\windows\system32\ms.exe - Trojan.Win32.Buzus.cqrb ( DrWEB: Trojan.Inject.7431, BitDefender: Trojan.Generic.2800594, AVAST4: Win32:Trojan-gen )
  3. c:\windows\system32\urwh.djo - Trojan.Win32.Agent.dcvk