Вирус Kryptik

[adigyran]

Вчера зайдя на доверенный сайт, на котором я зарегистрирован, я поймал этого зловреда. Просто на этом сайте не залогинившимся пользователям показывают pop-up. И в коде одного из поп-апов находится данный зловред.
Об этом мне доложил Nod 32 4.0 с вчерашними базами на вчерашний день т.е. последними. Вот что у него в журнале:
12.01.2010 18:10:27 Защита в режиме реального времени файл D:\Users\43AA~1\AppData\Local\Temp\qtwenn.dll модифицированный Win32/Kryptik.BPB троянская программа очищен удалением - изолирован ЮрийНабоков-ПК\Юрий Набоков Событие произошло в новом файле, созданном следующим приложением: D:\Users\Юрий Набоков\AppData\Local\Temp\e.exe.
12.01.2010 18:10:27 Защита в режиме реального времени файл D:\Windows\system32\qm.dll модифицированный Win32/Kryptik.BPB троянская программа очищен удалением - изолирован ЮрийНабоков-ПК\Юрий Набоков Событие произошло в файле модифицированном приложением: D:\Windows\System32\rundll32.exe.
12.01.2010 18:10:26 Защита в режиме реального времени файл D:\Windows\system32\qm.dll модифицированный Win32/Kryptik.BPB троянская программа очищен удалением - изолирован ЮрийНабоков-ПК\Юрий Набоков Событие произошло в файле модифицированном приложением: D:\Windows\System32\rundll32.exe.
12.01.2010 18:09:48 Фильтр HTTP файл t1.local-tc.ru/prog/data.gif множественные угрозы соединение прервано - изолирован ЮрийНабоков-ПК\Юрий Набоков Обнаружена угроза при попытке доступа в Интернет следующим приложением: C:\Program Files\Java\jre6\bin\java.exe.
12.01.2010 18:09:47 Фильтр HTTP файл t1.local-tc.ru/prog/data.gif множественные угрозы соединение прервано - изолирован ЮрийНабоков-ПК\Юрий Набоков Обнаружена угроза при попытке доступа в Интернет следующим приложением: C:\Program Files\Java\jre6\bin\java.exe.
Он заблокировал реестр. Скачав AVZ я пофиксил эту проблему.
Хочу узнать, избавился ли я от него? Помогите удалить "хвосты".

[Шапельский Александр]

Надо проверить одну dll, выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Windows\system32\qm.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Сделайте лог MBAM

[adigyran]

карантин прислал, лог MWAMW приложил

[Шапельский Александр]

Карантин неудачный, еще раз выполните последний скрипт и закачайте

[adigyran]

сделал второй раз и прислал

Добавлено через 1 час 32 минуты

вы поможете?

[Шапельский Александр]

Выполните скрипт

begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\e113f1f6bf5f12642794\setupres.2070.dll','');
QuarantineFile('D:\Windows\system32\qm.dll','');
DeleteFile('D:\Windows\system32\qm.dll');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Сделайте лог Hijack

[adigyran]

при выполнении скрипта эта ошибка. Скрипт не выполняется

[Шапельский Александр]

Поправил скрипт.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены