Trojan.Win32.Ddox.ci

Printable View

16.06.2011, 00:25
JustDuck

Trojan.Win32.Ddox.ci

В браузерах появился баннер гласящий что в системе обнаружен вирус, использование интернета не желательно все это сочетается с предложением обновить браузер
16.06.2011, 00:25
Info_bot

Уважаемый(ая) [B]JustDuck[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
16.06.2011, 00:28
Acidorum

Здравствуйте!
[CODE]Внимание !!! База поcледний раз обновлялась 25.08.2010 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/CODE]
Пожалуйста, обновите базы AVZ (Файл->Обновление баз) и переделайте логи.
16.06.2011, 07:45
JustDuck

переделал
16.06.2011, 13:20
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O9 - Extra button: Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra 'Tools' menuitem: &Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - (no file)
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - (no file)
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - (no file)
O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - (no file)
O9 - Extra button: ICQ7.4 - {73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} - (no file)
O9 - Extra 'Tools' menuitem: ICQ7.4 - {73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} - (no file)
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - (no file)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - (no file)
O9 - Extra button: QIP 2005 - {1EF681F7-A04B-4D6D-9012-A307CCA55610} - (no file) (HKCU)
O17 - HKLM\System\CCS\Services\Tcpip\..\{ECBE237C-06E6-4ABF-B235-149AB30A5C96}: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CS2\Services\Tcpip\..\{3B7423CB-100B-4A3F-856C-689B2E14CB6A}: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CS4\Services\Tcpip\Parameters: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CS5\Services\Tcpip\Parameters: NameServer = 85.255.112.129,85.255.112.84
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.129,85.255.112.84
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\vnxyqcd.dll','');
DeleteFile('C:\WINDOWS\system32\vnxyqcd.dll');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows','AppInit_DLLs','');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
17.06.2011, 23:23
JustDuck

Загрузил карантин, сделал логи
19.06.2011, 15:12
Acidorum

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в MBAM[/URL]:
[CODE]Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{B2150688-1AA5-4698-90BE-C3CBECBB5786} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{067EFEAA-D591-4BB1-8981-6C759B6102AB} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{0F481D7A-5C11-4A2B-9FFB-36A5BC7CAA2B} (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\JS_Hijack.BHOImpl.1 (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\JS_Hijack.BHOImpl (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{B2150688-1AA5-4698-90BE-C3CBECBB5786} (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{2DA0C6B8-8A27-4CBC-AF49-F8C0FD63D954} (Adware.LinkPlacing) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6230596F-3A44-4CDF-815B-372FA03C75D6} (Trojan.Vundo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
HKEY_CLASSES_ROOT\MSVPS.MSVPSApp (Trojan.FakeAlert) -> No action taken.
HKEY_CLASSES_ROOT\AppID\JS_Hijack.DLL (Adware.LinkPlacing) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\MADOWN (Worm.Magania) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\NOD32KVBIT (Trojan.Frethog) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VSPlugin (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Fci (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NETPROTOCOL (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ESQULserv.sys (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cleansweep.exe (Trojan.Zbot) -> Value: cleansweep.exe -> No action taken.

Зараженные папки:
c:\program files\mycentria (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\Firefox (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\InfoBar (Adware.MyCentria) -> No action taken.
c:\cleansweep.exe (Trojan.Agent) -> No action taken.
c:\Recycle.Bin (Trojan.Spyeyes) -> No action taken.

Зараженные файлы:
c:\cleansweep.exe\cleansweep.exe (Trojan.Zbot) -> No action taken.
c:\documents and settings\Леша_2\рабочий стол\torrenttemp\philips_gogear_sa178_driver.rar.exe (Trojan.Dropper) -> No action taken.
c:\program files\easyvoiprecorder\easyvoiprecorderupload.exe (Spyware.Passwords) -> No action taken.
c:\WINDOWS\system32\drivers\ivralul.sys (Rootkit.Agent) -> No action taken.
f:\Distrib\divxpro502gainbundle.exe (Adware.Gain) -> No action taken.
f:\downloads\downloads\Programs\mysms1.32.exe (Malware.Packer.Gen) -> No action taken.
c:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> No action taken.
c:\documents and settings\Леша_2\update.exe (Trojan.Dropper) -> No action taken.
c:\WINDOWS\AhnRpta.exe (Trojan.Backdoor) -> No action taken.
c:\WINDOWS\cookies.ini (Malware.Trace) -> No action taken.
c:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
c:\Recycle.Bin\recycle.bin.exe (Trojan.SpyEyes) -> No action taken.
c:\program files\mycentria\Firefox\adcentria.uid (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\Firefox\adcentria.xml (Adware.MyCentria) -> No action taken.
c:\cleansweep.exe\config.bin (Trojan.Agent) -> No action taken.
c:\Recycle.Bin\config.bin (Trojan.Spyeyes) -> No action taken.
[/CODE]
Сделайте повторный лог MBAM.
[B][COLOR="Red"]Смените все пароли[/COLOR][/B].
20.06.2011, 15:12
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]