Monoca32

[Courier]

Здрвствуйте.
Будьте добры, помогите, пожалуйста. Симптомы те же, что и у других. Интересно, почему при обращении к сайтам рунета, отправляется запрос на Google com?
Спасибо.

[olejah]

Выполните скрипт в АВЗ в безопасном режиме -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\dopdfmn7.dll','');
 QuarantineFile('C:\WINDOWS\system32\sidebar32.exe','');
 QuarantineFile('C:\Documents and Settings\DENIS\Главное меню\Программы\Автозагрузка\monoca32.exe','');
 DeleteFile('C:\Documents and Settings\DENIS\Главное меню\Программы\Автозагрузка\monoca32.exe');
 DeleteFile('C:\WINDOWS\system32\sidebar32.exe');  
 DelAutorunByFileName('C:\WINDOWS\system32\sidebar32.exe');   
 DelAutorunByFileName('C:\Documents and Settings\DENIS\Главное меню\Программы\Автозагрузка\monoca32.exe');      
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(20); 
 BC_Activate;    
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи.

[Courier]

Файл карантина выслал. Повторяю логи.

[Courier]

Загружается несколько тупо, но работает, как и прежде.
Большое спасибо за помощь!

[olejah]

Давайте ещё лог MBAM сделаем.

[Courier]

Готово. Думаю, удалить можно все?

[olejah]

Удалите в MBAM -

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\drivers\29130122.sys (Rootkit.Agent.H) -> No action taken.
C:\Documents and Settings\DENIS\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.

- Повторите лог MBAM

[Courier]

Перезагрузка более 3,5 мин., особенно тупит avast!, обновление только через деинсталляцию в CCleaner.

Повторный лог MBAM

[olejah]

Скажите пожалуйста, была ли рекомендация удалять всё в MBAM?! Не зря же я наверное уточнил что именно надо удалять.

Лог чист.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\denis\главное меню\программы\автозагрузка\monoca32.exe - Packed.Win32.Krap.ao ( DrWEB: Trojan.Botnetlog.126, BitDefender: Gen:Trojan.Heur.FU.bC0@aW23!Nji, AVAST4: Win32:Crypt-HCS [Drp] )
  2. c:\windows\system32\sidebar32.exe - Trojan-Spy.Win32.BZub.iad ( DrWEB: Trojan.PWS.Ibank.77, BitDefender: Gen:Trojan.Heur.RP.gmW@aq84WXn )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !