Подхватил WinLock, убрал, но, боюсь, что-то осталось

[Sukebe]

Подцепил WinLock, удалил его с помощью кодов с сайта drweb.

После этого решил "пролечить" систему. Прошелся по дискам с помощью NOD32, он удалил пару файлов с троянцем.

Но этот антивирь у меня включен постоянно, а WinLock как-то в систему пролез, поэтому решил еще с помощью CureIt! компьютер проверить.

CureIt! в safe mode работал чуть ли не сутки, но так до конца проверку и не провел - файлы из system32/drivers сканировались по нескольку минут. Вторые сутки сканировать сил нет

Посмотрите, пожалуйста, по логам - что-то есть зловредное в системе?

[thyrex]

Пофиксите в HiJack

F2 - REG:system.ini: Shell=explorer.exe rundll32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,\\?\globalroot\systemroot\system32\jLy9nTE.exe,\\?\globalroot\systemroot\system32\svRGLJA.exe,

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\SUKEBE~1\LOCALS~1\Temp\esp6A69.tmp','');
 DeleteFile('C:\DOCUME~1\SUKEBE~1\LOCALS~1\Temp\esp6A69.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Sukebe]

Инструкции выполнил, карантин отправил.

Новые логи в аттаче к этому сообщению.

[thyrex]

Выполните скрипт из темы http://virusinfo.info/showthread.php?t=43700

Сделайте лог http://virusinfo.info/showpost.php?p=457118&postcount=1

[Sukebe]

Скрипт выполнил.
Лог в аттаче.

[polword]

1. удалите в MBAM

Зараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{ffffffff-F03B-4b40-A3D0-F62E04DD1C09} (Trojan.Ransom) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

Зараженные папки:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.

2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\TDSSlxwp.dll','');
 QuarantineFile('C:\WINDOWS\Sysvxd.exe','');
 DeleteFile('C:\WINDOWS\system32\TDSSlxwp.dll');
 DeleteFile('C:\WINDOWS\Sysvxd.exe');
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи virusinfo_syscheck.zip, MBAM

[Sukebe]

Карантин отправил.

Во логи:

[thyrex]

Все остальное тоже удалите в МВАМ

[Sukebe]

Все остальное тоже удалите в МВАМ

Удалил.

Я теперь чист?

[thyrex]

Думается, что да.

Установите Adobe Acrobat 9.3 или удалите старый

[Sukebe]

Супер!


thyrex, polword, спасибо огромное за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения вредоносные программы в карантинах не обнаружены