Открыт сезон охоты на Win32.Agent.yr

[Orlea]

Зверя засек Spybot S&D таким вот образом:
Win32.Agent.yr:HKEY_USERS\S-1-5-21-1085031214-484061587-725345543-1003\Software\Microsoft\Windows\ShellNoRoam\MUICac he\*\keygen.exe
Ловит его, удаляет, дня через 3-4 зверь снова жив. KAV 6.0 его не видит, что очень странно, т.к. вирус не новый и на Viruslist.com числятся аж 4 разновидности, зверь должен быть в базах. От Ad-Aware SE Pro и 3-х антируткитов тоже никакой реакции. Удаляла ключ в реестре, подозрительные файлы - все тоже самое.
Прошу помочь в отлове и уничтожении. Логи прилагаются (извините за каламбур).

[Bratez]

Выполните скрипт в AVZ:

begin
 QuarantineFile('c:\progra~1\google\google~1\goec62~1.dll','');
 QuarantineFile('wbsys.dll','');
 ClearHostsFile;
end.

Файлы из карантина AVZ пришлите согласно приложению 3 правил.
Пофиксите в HijackThis:

O21 - SSODL: gimmicks - {40dcff6e-af8d-4183-8ebe-a82270ac449e} - (no file)
O21 - SSODL: emptins - {588599f4-de26-4c28-ba14-f4eb17e33481} - (no file)

Два вопроса:
1. Какие-либо ограничения пользователю в Internet Explorer сами прописывали? Если нет, то в AVZ: Файл-> Восстановление системы, отметить п.6, Выполнить отмеченные операции.
2. Серверы DNS в сетевых настройках 82.193.64.2 и 159.148.60.20 указывали сами? Если нет - то пофиксить:

O17 - HKLM\System\CCS\Services\Tcpip\..\{EF21CDE9-D430-4E3B-8829-88993587AC44}: NameServer = 82.193.64.2,159.148.60.20

[Orlea]

1. При выполнении скрипта AVZ пишет: ошибка карантина файла "wbsys.dll", попытка прямого чтения.Первый файл в карантине. Он часть Google Desktop и, скорее всего, окажется чистым. Присылать или подождать?
2. Ограничения в IE сама прописывала.
3. Серверы DNS оказались серверами провайдера. Пришлось заново указывать, Интернет теперь глючит (это сообщение в 6-й раз пишу) и иконка соединения в трее так и не появилась.
4. Ключи gimmicks и emptins - это старая проблема. Не удаляются никоим образом. Пробовала разные программы, сама в реестр лазила, с отключенным восстановлением системы, в безопасном режиме - ничего не помогает. Подозреваю, что Spybot S&D их восстанавливает. Кто-нибудь знает где у него белый и черный списки, как их найти? Я уже вроде все обыскала, так и не нашла.

[Bratez]

Попытайтесь поиском файлов в AVZ найти этот wbsys.dll и закарантинить, если найдется - пришлите по правилам. Googl-овский файл не надо.

[Orlea]

AVZ выдает ту же ошибку: ошибка карантина файла "wbsys.dll", попытка прямого чтения.
Нашла поиском Windows в C:\WINDOWS\system32. Оказались остатки от WindowBlinds. Присылать?

[Bratez]

Ну если действительно от WindowBlinds, то не надо.
Прямо не знаю, все у вас такое легитимное...
Даже и придраться больше не к чему. Возможно, ваш зверек приходит снаружи.

[Orlea]

Все оказалось гораздо проще.
Приношу извинения за собственную невнимательность и введение вас в заблуждение (все "добрые" слова я себе уже сказала).
Когда делала логи, не обратила внимания на то, что сканируется только диск С. Отметила С и Е, повторила операцию еще раз. Логи такие же, зато в карантин попали кейгены, 1 программа и Vista игры для XP. Игры, скорее всего, не при чем - AVZ просто их расширение .BAK не понравилось.
Мне теперь даже неудобно спрашивать что с этим добром делать

[Макcим]

Нет ни чего неудобного. Присылайте содержимое карантина (эти файлы) по правилам раздела, а там видно будет

[Orlea]

Карантин загрузила.

Файл сохранён как 070326_031231_virus_460701df599b9.zip
Размер файла 3902913
MD5 3c9cb5a8dfbbf9eac18391084445a4be

[Кто?]

Вот такое по Virustotal:

[Orlea]

Я все равно это сразу удалила на всякий случай. Тут уж лучше перебдеть чем недобдеть. Spybot больше не ругается.

Спасибо за помощь и удачи вам всем в вашем нелегком деле.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения вредоносные программы в карантинах не обнаружены