Есть подозрения на вирус. Сайт vusinfo.info не открывается.

[alextmp]

Есть подозрения на вирус. Сайт vusinfo.info не открывается.

[ARMA9000]

Отключить восстановление системы, защитное ПО.
Профиксить:

R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\894e79e8.exe,\\?\globalroot\systemroot\system32\Ghv72oj.exe,\\?\globalroot\systemroot\system32\DUqQsGl.exe,

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\WinSxS\x86_Microsoft.VC80.CRT_1fc8b3b9a1e18e3b_8.0.50727.4027_x-ww_e69378d0\MSVCR80.dll','');
 QuarantineFile('C:\Documents and Settings\Alex\Application Data\Dropbox\bin\DropboxExt.13.dll','');
 QuarantineFile('\\?\globalroot\systemroot\system32\DUqQsGl.exe','');
 QuarantineFile('C:\WINDOWS\system32\894e79e8.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\Ghv72oj.exe','');
 DeleteFile('C:\WINDOWS\system32\894e79e8.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\DUqQsGl.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\Ghv72oj.exe');
BC_Activate;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true); 
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Карантин загрузить по красной ссылке. Логи повторить.

[alextmp]

Скрипты выполнил, карантин и логи добавил.

Немного о симптомах:
Windows загружается через раз, точнее не каждый раз запускается explorer. Долго стартует, до заражения работал несколько шустрее. Windows не загружается в режиме safe mode (перезапускается), зато загружается в режиме Safe mode with network connections. В папке C:\windows\system32 много лишних exe-файлов (удалил).

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 DeleteFile('C:\WINDOWS\system32\894e79e8.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\Ghv72oj.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\DUqQsGl.exe');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteFile('C:\WINDOWS\system32\894e79e8.exe');
 BC_DeleteFile('\\?\globalroot\systemroot\system32\Ghv72oj.exe');
 BC_DeleteFile('\\?\globalroot\systemroot\system32\DUqQsGl.exe');
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- Сделайте повторные логи virusinfo_syscheck.zip и hijackthis.log;
- Сделайте лог MBAM

[alextmp]

Скрипт выполнил, логи прилагаются.

[polword]

- virusinfo_cure.zip - удалите из темы

Добавлено через 7 минут

1. - удалите в MBAM

Registry Values Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

2.Выполните скрипт в AVZ

begin
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\vfp8rrus.dll ','');
 QuarantineFile('C:\WINDOWS\Debug\UserMode\explorer.exe','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- логи сделанные с LiveCd бесполезны

[alextmp]

Выполнил скрипт, карантин и логи приложил.

[polword]

поищите файл C:\WINDOWS\Debug\UserMode\explorer.exe если найдете - пришлите его запакованным в архив ZIP с паролем: virus по ссылке Прислать запрошенный карантин вверху темы

[alextmp]

К сожалению explorer.exe прислать не смогу. Я его случайно удалил при помощи MBAM (забыл снять галочку).

[polword]

больше ничего подозрительного нет

[alextmp]

Ок, сейчас попробую загрузиться в "обычном" режиме.

[polword]

получилось?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\894e79e8.exe - Backdoor.Win32.Shiz.gen ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Rootkit-gen [Rtk] )
  2. \\?\globalroot\systemroot\system32\duqqsgl.exe - Trojan-Dropper.Win32.Shiz.dv ( DrWEB: Trojan.Packed.20375, BitDefender: Trojan.Generic.4125630, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )