вирус с "monoca32" в автозагрузке

[lesiko]

Добрый день.
С форума сайта playhard на компьютер попал вирус.
В автозагрузке появился файл monoca32, при пользование браузером процесс svchost загружает процессор на 50%. В восстановлении системы нет ни одной активной контрольной точки до времени атаки вируса, откатить не могу.
Вложение 255734

Вложение 255735

Вложение 255736

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\864ae055.exe,C:\WINDOWS\system32\kvjrco.exe,

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);                                                      
 QuarantineFile('C:\WINDOWS\system32\kvjrco.exe','');
 QuarantineFile('C:\WINDOWS\system32\864ae055.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');
 DeleteFile('C:\WINDOWS\system32\864ae055.exe');
 DeleteFile('C:\WINDOWS\system32\kvjrco.exe');     
 DelAutorunByFileName('C:\WINDOWS\system32\864ae055.exe');   
 DelAutorunByFileName('C:\WINDOWS\system32\kvjrco.exe');     
 DelAutorunByFileName('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');   
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи.

[lesiko]

Сделал.

[olejah]

Выполните скрипт в АВЗ в безопасном режиме -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\drivers\vdi3otqy.sys','');
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe','');
 QuarantineFile('C:\WINDOWS\system32\sidebar32.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');                                                          
 DelAutorunByFileName('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\monoca32.exe');   
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[lesiko]

Сделал.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis, если найдёте эти строки -

O4 - S-1-5-18 Startup: monoca32.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: monoca32.exe (User 'Default user')
O4 - Startup: monoca32.exe

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\WINDOWS\system32\sidebar32.exe');                                                          
 DelAutorunByFileName('C:\WINDOWS\system32\sidebar32.exe');   
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Повторите логи.

[lesiko]

Cделал

[olejah]

Вроде передохло всё, на всякий случай давайте убедимся и мусор, если есть, зачистим -


- Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[lesiko]

Сделал

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\admin\главное меню\программы\автозагрузка\monoca32.exe - Trojan-Ransom.Win32.DigiPog.wc ( DrWEB: Trojan.Winlock.2282, BitDefender: Trojan.Generic.4544889, AVAST4: Win32:Crypt-HCS [Drp] )
  2. c:\windows\system32\sidebar32.exe - Trojan-Spy.Win32.BZub.iad ( DrWEB: Trojan.PWS.Ibank.77, BitDefender: Gen:Trojan.Heur.RP.gmW@aq84WXn )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !