блокировка сайтов антивирусов и ВИ

[Serp]

Блокируется доступ к некоторым сайтам, в частности ДрВеб, Касперский, ВИ и др. После перезагрузки вылез блокиратор-вымогатель смс. Деактивирован с помощью сервиса деактивации на ВИ.После проверки утилитой AVPTool, удалено около 40 файлов, содержащих вредоносный код (трояны, эксплоиты...)Блокировка сайтов продолжается, согласно правилам подготовил логиПомогите почистить машину.Спасибо!

[Шапельский Александр]

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\5be2848f.exe,C:\WINDOWS\system32\3996e890.exe,\\?\globalroot\systemroot\system32\jYaXL3V.exe,\\?\globalroot\systemroot\system32\7VaHurn.exe,

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\sergey\application data\netprotocol.exe');
 TerminateProcessByName('c:\windows\system32\netprotocol.exe');
 SetServiceStart('Netprotocol', 4);
 StopService('Netprotocol');
 QuarantineFile('C:\WINDOWS\system32\servises.exe','');
 QuarantineFile('C:\WINDOWS\system32\5be2848f.exe','');
 QuarantineFile('C:\WINDOWS\system32\3996e890.exe','');
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\Documents and Settings\Sergey\msword98.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ethwnkhu.sys','');
 QuarantineFile('c:\documents and settings\sergey\application data\netprotocol.exe','');
 QuarantineFile('c:\windows\system32\netprotocol.exe','');
 QuarantineFile('%system32%\jYaXL3V.exe','');
 QuarantineFile('%system32%\7VaHurn.exe','');
 DeleteFileFile('%system32%\jYaXL3V.exe');
 DeleteFileFile('%system32%\7VaHurn.exe');
 DeleteFile('c:\windows\system32\netprotocol.exe');
 DeleteFile('C:\Documents and Settings\Sergey\Application Data\netprotocol.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\ethwnkhu.sys');
 DeleteFile('C:\Documents and Settings\Sergey\msword98.exe');
 DeleteFile('C:\WINDOWS\services.exe');
 DeleteFile('C:\WINDOWS\system32\3996e890.exe');
 DeleteFile('C:\WINDOWS\system32\5be2848f.exe');
 DeleteFile('C:\WINDOWS\system32\servises.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msword98');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','services');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','servises');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','servises');
 DeleteService('ethwnkhu');
 DeleteService('Netprotocol');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 Executerepair(20);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[Serp]

Карантин загрузил.
Новые логи:

[Шапельский Александр]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\netprotocol.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Сделайте новый лог virusinfo_syscheck.zip

[Serp]

новый лог virusinfo_syscheck

[Шапельский Александр]

В логах чисто, что с проблемой?
Рекомендую обновить:
- SP2 обновите до Service Pack 3(может потребоваться активация)
!!! перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.);
- установите Internet-Explorer 8.(даже если Вы его не используете);
- установите последние обновления системы Windows - здесь;
- установите Adobe Reader 9.3 или удалите старый.
Рекомендую это отключить, если Вам не нужно для работы.

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: к ПК разрешен доступ анонимного пользователя

[Serp]

Проблема исчезла после выполнения первого скрипта.
Спасибо большое!
Спасибо и за рекомендации, обязательно выполню.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 23
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\sergey\application data\netprotocol.exe - Backdoor.Win32.Buterat.jb ( DrWEB: Trojan.Click1.3196, AVAST4: Win32:Rootkit-gen [Rtk] )
  2. c:\windows\system32\netprotocol.exe - Backdoor.Win32.Buterat.jd