модифицирован ключ запуска проводника

[prowler]

Поймал вирус. Nod видит его как какой то криптик, пишет что удален, но он появляется снова. При запуске IE выскакивает ошибка и он выключается. AVZ определила его как Backdoor.Win32.Bredavi.asm.

[DefesT]

Отключите восстановление системы!
Пофиксите в Hijackthis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe

Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\java32w.dll','');
 QuarantineFile('C:\System Volume Information\_restore{43F62929-895A-496A-9F9A-B8385C5E8039}\RP413\A0132962.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\ntfs_ext7.exe','');
 QuarantineFile('C:\WINDOWS\system32\loqk.pso','');
 DeleteFile('C:\WINDOWS\system32\loqk.pso');
 DeleteFile('\\?\globalroot\systemroot\system32\ntfs_ext7.exe');
 DeleteFile('C:\System Volume Information\_restore{43F62929-895A-496A-9F9A-B8385C5E8039}\RP413\A0132962.exe');
 DeleteFile('C:\WINDOWS\system32\java32w.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NTFS_ext_drv');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам.

[prowler]

сделал

[DefesT]

В логах чисто!

[prowler]

Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\system volume information\_restore{43f62929-895a-496a-9f9a-b8385c5e8039}\rp413\a0132962.exe - Trojan-Spy.Win32.Shiz.ad ( DrWEB: Trojan.Inject.6510, AVAST4: Win32:Malware-gen )
  2. \\?\globalroot\systemroot\system32\ntfs_ext7.exe - Backdoor.Win32.Bredavi.bff

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !