Обнаружен Trojan-Downloader.Win32.Agent.fvld

[bkv_slh]

Добрый день!

Касперский обнаружил Trojan-Downloader.Win32.Agent.fvld,удалить не получается, помогите.

[olejah]

Добрый день!

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows\temp\zswddcc79be3.tmp');
 QuarantineFile('c:\documents and settings\localservice\application data\microsoft\canig.exe','');
 TerminateProcessByName('c:\windows\temp\mydmbkjfde293dd8.tmp');
 QuarantineFile('c:\windows\temp\mydmbkjfde293dd8.tmp','');
 QuarantineFile('c:\windows\temp\zswddcc79be3.tmp','');
 QuarantineFile('C:\DOCUME~1\4346~1\LOCALS~1\Temp\hpdj.exe','');
 QuarantineFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\kuwagofib.exe','');
 QuarantineFile('C:\Documents and Settings\Хозяин\Application Data\Microsoft\kuwagofib.exe','');
 QuarantineFile('C:\Documents and Settings\Хозяин\fxmdk.exe','');
 DeleteFile('C:\Documents and Settings\Хозяин\fxmdk.exe');
 DeleteFile('C:\Documents and Settings\Хозяин\Application Data\Microsoft\kuwagofib.exe');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\kuwagofib.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','loowoo');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','loowoo');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','loowoo');
 DeleteFile('c:\windows\temp\zswddcc79be3.tmp');
 DeleteFile('c:\windows\temp\mydmbkjfde293dd8.tmp');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 ExecuteRepair(9);
 BC_Activate;
 RebootWindows(true);
end.

Выполните скрипт в АВЗ -

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Сделайте новые логи

[bkv_slh]

Новые логи
Карантин не загружается (

Результат загрузки
Unknown error. File not uploaded

[Bratez]

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxi.net

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\windows\temp\mydmbkjfde293dd8.tmp');
 DeleteFile('C:\DOCUME~1\4346~1\LOCALS~1\Temp\hpdj.exe');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\canig.exe');
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\kuwagofib.exe');
 DeleteFile('c:\windows\temp\zswddcc79be3.tmp');
 DeleteFileMask('c:\windows\temp', '*.*',true);
 DeleteFileMask('C:\DOCUME~1\4346~1\LOCALS~1\Temp', '*.*',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[bkv_slh]

Спасибо высылаю логи.

[Bratez]

Выполните скрипт в AVZ в безопасном режиме:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\LocalService\Application Data\Microsoft\kuwagofib.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','loowoo');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','loowoo');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('hpdj');
 BC_DeleteSvc('uwua4a9ojo91a');
 BC_DeleteSvc('DwProt');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[bkv_slh]

логи псле выполнения скрипта.

[Bratez]

Теперь порядок.