Trojan.Win32.Zapchast.cax IE

[akalibr]

Данный вирус прикрутился к IE, обновил Каспера, вирус ушел, но хотелось бы точно знать, есть остатки вируса в системе или нет.
Прошу Вас глянуть логи

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Documents and Settings\Александр\Local Settings\Temp\om21.tmp','');
 DeleteFile('C:\Documents and Settings\Александр\Local Settings\Temp\om21.tmp');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Сделайте лог полного сканирования МВАМ

[akalibr]

карантин залил, время логов...
... а вот и лог

[akalibr]

запустил полную проверку каспером, он удалил C:\WINDOWS\system32\sfcfiles.dll, значит mbam не ошибся

[olejah]

Удалите в МВАМ -

Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\forceclassiccontrolpanel (Hijack.ControlPanelStyle) -> No action taken.

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 if FileExists('C:\WINDOWS\System32\dllcache\sfcfiles.dll')then
 begin             
 RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
 CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');      
 QuarantineFile('C:\WINDOWS\System32\sfcfiles.bak','');     
 DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
 end else     
 AddToLog('dllcache\sfcfiles.dll does not exist');
 SaveLog(GetAVZDirectory + 'avz.log');     
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Файл avz.log из папки с АВЗ прикрепите к следующему сообщению

[akalibr]

вот лог, прошу посмотреть

[olejah]

Повторите лог МВАМ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 44
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\all users\\application data\\hhhhwwwwwwc.exe - Trojan-Ransom.Win32.PornoAsset.us ( DrWEB: Trojan.Winlock.3585, BitDefender: Trojan.Generic.6134898, AVAST4: Win32:MalOb-IJ [Cryp] )
  2. c:\\documents and settings\\all users\\application data\\llaaaaaaaaq.exe - Trojan-Ransom.Win32.PornoAsset.fz ( DrWEB: Trojan.Winlock.3445, BitDefender: Trojan.Generic.KDV.233244, NOD32: Win32/LockScreen.AGD trojan, AVAST4: Win32:Kryptik-ENN [Trj] )
  3. c:\\documents and settings\\all users\\application data\\22cc6c32.exe - Trojan-Ransom.Win32.PornoAsset.us ( DrWEB: Trojan.Winlock.3585, BitDefender: Trojan.Generic.6134898, AVAST4: Win32:MalOb-IJ [Cryp] )
  4. c:\\documents and settings\\lilifart\\application data\\b2_res.exe - Trojan.Win32.Lebag.cyn ( DrWEB: Trojan.Inject.43613, BitDefender: Gen:Heur.FKP.1, AVAST4: Win32:Malware-gen )
  5. c:\\documents and settings\\lilifart\\application data\\netprotdrvss - Trojan-Dropper.Win32.Dapato.sh ( DrWEB: BackDoor.Butirat.20, BitDefender: Trojan.Generic.6140330, AVAST4: Win32:Buterat-X [Trj] )
  6. c:\\documents and settings\\lilifart\\application data\\netprotocol.exe - Trojan-Dropper.Win32.Dapato.sh ( DrWEB: BackDoor.Butirat.20, BitDefender: Trojan.Generic.6140330, AVAST4: Win32:Buterat-X [Trj] )
  7. c:\\documents and settings\\lilifart\\application data\\sun\\java\\deployment\\cache\\6.0\\61\\1ba75 b7d-43c686fb - Backdoor.Win32.Buterat.bci ( DrWEB: BackDoor.Butirat.18, BitDefender: Trojan.Generic.6143838, NOD32: Win32/TrojanClicker.Agent.NII trojan, AVAST4: Win32:Buterat-N [Trj] )
  8. c:\\documents and settings\\lilifart\\local settings\\temporary internet files\\content.ie5\\djgunjfx\\codi[1].exe - Trojan-Ransom.Win32.PornoAsset.us ( DrWEB: Trojan.Winlock.3585, BitDefender: Trojan.Generic.6134898, AVAST4: Win32:MalOb-IJ [Cryp] )
  9. c:\\documents and settings\\lilifart\\local settings\\temp\\0.24237920371632704.exe - Backdoor.Win32.Buterat.bci ( DrWEB: BackDoor.Butirat.18, BitDefender: Trojan.Generic.6143838, NOD32: Win32/TrojanClicker.Agent.NII trojan, AVAST4: Win32:Buterat-N [Trj] )
  10. c:\\windows\\system32\\conime32.exe - Trojan.Win32.Lebag.cyn ( DrWEB: Trojan.Inject.43613, BitDefender: Gen:Heur.FKP.1, AVAST4: Win32:Malware-gen )
  11. c:\\windows\\system32\\dllcache\\userinit.exe - Trojan-Ransom.Win32.PornoAsset.us ( DrWEB: Trojan.Winlock.3585, BitDefender: Trojan.Generic.6134898, AVAST4: Win32:MalOb-IJ [Cryp] )
  12. c:\\windows\\system32\\userinit.exe - Trojan-Ransom.Win32.PornoAsset.us ( DrWEB: Trojan.Winlock.3585, BitDefender: Trojan.Generic.6134898, AVAST4: Win32:MalOb-IJ [Cryp] )