Проблемы после порнобанера 3381

[Andrey1302]

После удаления содержимого параметра AppInit_DLLs и соответствующих файлов, комп загружается, но при попытке открыть что-нибудь зависает! ((

удалось сделать некоторые логи только в защищеном режиме

[polword]

- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('F:\autorun.inf','');
 QuarantineFile('\\?\globalroot\systemroot\system32\qHsn6ul.exe','');
 QuarantineFile('C:\WINDOWS\system32\aacbf17e.exe','');
 QuarantineFile('C:\WINDOWS\System32\netprotocol.exe','');
 QuarantineFile('C:\Program Files\Common Files\System\WebCheck.dll','');
 DeleteService('userinit');
 QuarantineFile('globalroot\systemroot\system32\usеrinit.exe','');
 QuarantineFile('C:\WINDOWS\system32\srnh.lto','');
 DeleteFile('C:\WINDOWS\system32\srnh.lto');
 DeleteFile('globalroot\systemroot\system32\usеrinit.exe');
 DeleteFile('C:\Program Files\Common Files\System\WebCheck.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
 DeleteFile('C:\WINDOWS\System32\netprotocol.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
 DeleteFile('C:\WINDOWS\system32\aacbf17e.exe');
 DeleteFile('\\?\globalroot\systemroot\system32\qHsn6ul.exe');
 DeleteFile('F:\autorun.inf');
 RegKeyStrParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(16);
 ExecuteRepair(11);
 ExecuteRepair(17);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log

[thyrex]

А также

Пофиксите в HiJack (некоторых строчек может не быть)

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe srnh.lto iqfnr
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\aacbf17e.exe,\\?\globalroot\systemroot\system32\qHsn6ul.exe,
O20 - AppInit_DLLs: "

[Andrey1302]

выполнил. проблема осталась. стрелка двигается, но все зависло

новые логи

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\netprotdrvss','');
 QuarantineFile('C:\WINDOWS\system32\netprotocol.dll','');
 DeleteFile('C:\WINDOWS\system32\netprotocol.dll');
 DeleteFile('C:\WINDOWS\system32\netprotdrvss');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ
Сделайте новые логи

[Andrey1302]

проблема осталась. винда виснет.

логи

[polword]

Внимание !!! База поcледний раз обновлялась 25.05.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)

- обновите базы AVZ
- Переделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip в нормальном режиме

[Andrey1302]

в нормальном режиме не получается, как только я запускаю какое нибудь приложения винда виснет, кроме мыши

[polword]

делайте в safe mode, только базы обновите

[Andrey1302]

ок. базы обновил. вот логи

[polword]

- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_sysch eck.zip; hijackthis.log) - в нормальном режиме

[Andrey1302]

проблема осталась. винда зависает!

[polword]

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

пришлите

Добавлено через 36 секунд

сделайте лог Combofix

[thyrex]

Как славно поработал AVZ

Также выполните

Выполните скрипт в AVZ

begin
DelCLSID('{E6FB5E20-DE35-11CF-9C87-00AA005127ED}');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 26
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\common files\system\webcheck.dll - Trojan-PSW.Win32.WebMoner.to ( DrWEB: Trojan.Mifesto, BitDefender: Trojan.Generic.4066241 )
  2. c:\windows\system32\aacbf17e.exe - Trojan-Dropper.Win32.Agent.bygt ( DrWEB: Trojan.Packed.20032, BitDefender: Trojan.Generic.KD.7935, AVAST4: Win32:Rootkit-gen [Rtk] )
  3. c:\windows\system32\netprotdrvss - Backdoor.Win32.Buterat.mc ( DrWEB: Trojan.Butirat.2 )
  4. c:\windows\system32\netprotocol.dll - Backdoor.Win32.Buterat.md
  5. c:\windows\system32\netprotocol.exe - Backdoor.Win32.Buterat.mc ( DrWEB: Trojan.Butirat.2 )
  6. c:\windows\system32\srnh.lto - Trojan.Win32.Agent2.cqzi ( DrWEB: Trojan.Oficla.48, BitDefender: Gen:Variant.Oficla.2, NOD32: Win32/Oficla.GQ trojan, AVAST4: Win32:Rootkit-gen [Rtk] )
  7. f:\autorun.inf - Trojan.Win32.AutoRun.ajf ( NOD32: INF/Autorun.B.Gen virus )
  8. \\?\globalroot\systemroot\system32\qhsn6ul.exe - Trojan-Dropper.Win32.Shiz.cg ( DrWEB: Trojan.Packed.20032, BitDefender: Gen:Variant.Malob.1, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )
  9. globalroot\systemroot\system32\usеrinit.exe - Trojan-Downloader.Win32.Agent.czhy ( DrWEB: Trojan.Winlock.794, BitDefender: Trojan.Generic.3250207, AVAST4: Win32:Trojan-gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !