Userini.exe

[Ariella]

Доброго времени суток!
Завелся на компьютере очередной зловред – userini.exe. Настоящий userinit.exe цел. Проверила CureIt, userini.exe он нашел - Trojan.Spambot, но удалять от греха подальше не стала. NOD32 нашел троян svchost, удалил, но в диспетчере задач их штук 6 висит.

Кажется, глюков пока нет, кроме временных подвисаний (без перезагрузок) и множества процессов userini.exe, но избавиться от него бы хотелось.
Логи выкладываю. AVZ userini.exe поместил в карантин. Но при выполнения скрипта "Скрипт сбора информации для раздела "Помогите!" virusinfo.info" снималась галочка с диска C, на котором стоит система.

Заранее спасибо.

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Выполните скрипт

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\explorer.exe:userini.exe');
 QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe','');
 QuarantineFile('\Device\HarddiskVolume1\DOCUME~1\8297~1\LOCALS~1\Temp\RarSFX8\qgs55xp.exe','');
 DeleteFile('c:\windows\explorer.exe:userini.exe');
 DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
 DeleteService('FCI');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- обновите базы AVZ
- Сделайте повторные логи по правилам п.1 - 3 раздела Диагностика.
- Пришлите карантин согласно приложению 3 правил по ссылке Прислать запрошенный карантин вверху темы

[Ariella]

Прошу прощения за долгий ответ, не было возможности провести диагностику раньше.
Скрипт выполнила, процессы userini.exe остались. Новые логи прикрепила, только при выполнении второго скрипта снова снималась галочка с диска C.
Карантин выслала.

Файл сохранён как 100207_145708_virus_4b6eaa94c3134.zip
Размер файла 39936
MD5 65028efd0a26c322315d536ffc6f8e1b

[polword]

1. Профиксите в HijackThis как "профиксить в HiJackThis"

O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe

2. Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\userini.exe','');
 QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe ','');
 DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\userini.exe');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
 DeleteService('FCI');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteSvcReg('FCI');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\explorer.exe:userini.exe:$data - Packed.Win32.Krap.ai ( DrWEB: Trojan.Spambot.7492, BitDefender: Trojan.Fakealert.6644, AVAST4: Win32:FakeAlert-GR [Trj] )
  2. c:\windows\system32\userini.exe - Packed.Win32.Krap.ai ( DrWEB: Trojan.Spambot.7492, BitDefender: Trojan.Fakealert.6644, AVAST4: Win32:FakeAlert-GR [Trj] )