не равный бой с вирусами! =)

[nazgul]

Доброе время суток!

ситуация следующая: комп не мой, а знакомого. началось все с того, что комп стал просить отправлять sms. я дал человеку ссылку на ваш сервис и сказал, что систему надо лечить. человек естественно ничего лечить не стал, а просто каждый раз вводил нужный номер в запросы на смс. но по прошествию нескольких недель система перестала его пускать, ссылаясь на ошибку в userinit.exe. после чего многострадальный комп попал в мои руки.

я загрузился с LiveCD и прогнал CureIt и касперского. после чего смог зайти в систему, но она продолжала себя вести не совсем адекватно, например не получалось сделать логи avz-том, так как комп просто тупо зависал. после чего я зашел в system32\drivers и переименовал все драйвера, что были созданы за последний месяц - системе полегчало и я смог нормально запустить avz.

логи собсивенно прелагаю. наверняка там что-нить еще сидит =)

[nazgul]

забыл сказать, что cureit и касперский нашли много чего интересного на компьюете... cureit отыскал порядка 240 зараженных объектов...

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('C:\WINDOWS\system32\xdoej.dll','');
 QuarantineFile('C:\WINDOWS\system32\srnh.lto','');
 DeleteFile('C:\WINDOWS\system32\xdoej.dll');
 DeleteFile('C:\WINDOWS\system32\srnh.lto');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\WINDOWS\system32\7d3a2872.exe','');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\espC8E.tmp','');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('C:\WINDOWS\system32\7d3a2872.exe');
 RegSearch('HKLM', '', 'espC8E.tmp');
 SaveLog(GetAVZDirectory + 'search.log');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(13);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_sysch eck.zip; hijackthis.log)
- Сделайте лог MBAM

[nazgul]

вот новые логи

[thyrex]

Удалите в МВАМ все, кроме

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Пофиксите в HiJack

O4 - HKLM\..\Run: [plugin] "C:\Program Files\plugin.exe"
O20 - AppInit_DLLs: C:\WINDOWS\system32\xdoej.dll

Выполните скрипт в AVZ

begin
ExecuteREpair(6);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.

Прикрепите лог search.log из папки AVZ

Сделайте новые логи МВАМ и virusinfo_syscheck.zip

[polword]

повторите лог MBAM

[nazgul]

все сделал... выкладываю новые логи

[thyrex]

А это?

Прикрепите лог search.log из папки AVZ

[nazgul]

oops! =) исправляюсь...

[thyrex]

Выполните скрипт в AVZ

begin
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Print\Providers\F6C1F53B');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Control\Print\Providers\F6C1F53B');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Control\Print\Providers\F6C1F53B');
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip

[nazgul]

новый лог...

[polword]

чисто

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 10
• В ходе лечения вредоносные программы в карантинах не обнаружены