Загрузка цп на 100%, после удаления трояна-блокера и winwyo

[dizarm]

Каспер ничего не нашел, dr.web cureit нашел винлокер



после удаления winwyo32.exe из автозагрузки winlogon грузит цп на 100% до него цп грузил svchost

[thyrex]

Пофиксите в hiJack

R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: Shell=explorer.exe,user32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\tP7iy9G.exe,\\?\globalroot\systemroot\system32\DS50IR0.exe,

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\WINDOWS\system32\mssfc.dll','');
 QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 QuarantineFile('\\?\globalroot\systemroot\system32\tP7iy9G.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\DS50IR0.exe','');
 DeleteFile('\\?\globalroot\systemroot\system32\DS50IR0.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\tP7iy9G.exe');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 DeleteFile('C:\WINDOWS\system32\mssfc.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[dizarm]

новый лог =)

[thyrex]

Логи AVZ где?

[dizarm]

все логи

[thyrex]

Выполните скрипт в AVZ

begin
DeleteFile('C:\WINDOWS\system32\mssfc.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip + лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[dizarm]

после проверки combofix ом отчет сделать не получилось, хотя все стало работать нормально, при повторном запуске combofix зависает.

[dizarm]

лог от AVZ

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('C:\WINDOWS\system32\mssfc.dll');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
DeleteFile('%windir%\system32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Проверьте наличие файла sfcfiles.dll в папке system32. Если не обнаружите, восстановите с дистрибутива http://virusinfo.info/showthread.php?t=51654

Сделайте новые логи

[dizarm]

новые логи =)

[thyrex]

Плохого не видно

Удалите ComboFix

[dizarm]

Отлично, спасибо большое всем!=)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\internet explorer\setupapi.dll - Trojan.Win32.BHO.agme
  2. c:\windows\system32\mssfc.dll - Trojan-Spy.Win32.Agent.bftn
  3. c:\windows\system32\sfcfiles.dll - Trojan-Spy.Win32.Agent.bfuh ( DrWEB: Trojan.WinSpy.787 )
  4. \\?\globalroot\systemroot\system32\ds50ir0.exe - Trojan.Win32.Inject.aqnb ( DrWEB: Trojan.PWS.Ibank.39 )
  5. \\?\globalroot\systemroot\system32\tp7iy9g.exe - Trojan.Win32.Scar.cggn ( AVAST4: Win32:Rootkit-gen [Rtk] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !