помогите с убиением вируса

Printable View

16.06.2011, 12:34
YuriyV

помогите с убиением вируса

Здравствуйте!
мне в контакте от друга прислали ссылку по которой перешел якобы на ютуб и загрузил какой то файл. После этого у меня удалился НОД32, и перезагрузился ноут. Теперь антивирус не установить, на странички (не на все) не заходит. При попытке загрузиться в безопасный режим, сразу же после загрузки перезагружается. В трее висит значок НОД32 и при нажатии на него всплывает окно с надписью [B]"ESET NOD32 Antivirus УСИЛЕННЫЙ РЕЖИМ"[/B]:cray:
16.06.2011, 12:35
Info_bot

Уважаемый(ая) [B]YuriyV[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
16.06.2011, 12:41
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.yandex.ru/?clid=123048
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.yandex.ru/?clid=123048
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\update.tray-2-0\svchost.exe','');
QuarantineFile('C:\Program Files\VPets\VPets.exe','');
QuarantineFile('C:\WINDOWS\update.2\svchost.exe','');
QuarantineFile('C:\WINDOWS\update.1\svchost.exe','');
DeleteService('wxpdrivers');
DeleteService('srviecheck');
QuarantineFile('c:\windows\update.tray-2-0\svchost.exe','');
TerminateProcessByName('c:\windows\update.tray-2-0\svchost.exe');
TerminateProcessByName('c:\windows\update.2\svchost.exe');
QuarantineFile('c:\windows\update.2\svchost.exe','');
DeleteFile('c:\windows\update.2\svchost.exe');
DeleteFile('c:\windows\update.tray-2-0\svchost.exe');
DeleteFile('C:\WINDOWS\update.1\svchost.exe');
DeleteFile('C:\WINDOWS\update.2\svchost.exe');
DeleteFile('C:\Program Files\VPets\VPets.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VPetsPlayer');
DeleteFile('C:\WINDOWS\update.tray-2-0\svchost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico0');
DeleteFileMask('C:\Program Files\VPets', '*.*', true);
DeleteDirectory('C:\Program Files\VPets');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
16.06.2011, 13:35
YuriyV

Файл quarantine.zip из папки AVZ загрузил

новые логи прилагаются
16.06.2011, 14:13
YuriyV

лог МВАМ
16.06.2011, 14:27
YuriyV

что делать дальше?
16.06.2011, 20:54
polword

- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B]
[CODE]
Зараженные ключи в реестре:
HKEY_CURRENT_USER\Software\winxarj (Hoax.ArchSMS) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SRVSYSDRIVER32 (Trojan.Agent) -> No action taken.

Зараженные файлы:
c:\documents and settings\IP\doctorweb\quarantine\java_update.exe (PUP.Pr0nTool) -> No action taken.

[/CODE]
- Сделайте повторный лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
17.06.2011, 12:27
YuriyV

Лог МВАМ
17.06.2011, 20:19
polword

чисто
18.06.2011, 20:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\update.tray-2-0\\svchost.exe - [B]Trojan-PSW.Win32.VKont.bii[/B] ( DrWEB: Trojan.VkBase.35, BitDefender: Application.Generic.365089, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\update.1\\svchost.exe - [B]Trojan-PSW.Win32.VKont.bii[/B] ( DrWEB: Trojan.VkBase.35, BitDefender: Application.Generic.365089, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows\\update.2\\svchost.exe - [B]Trojan.Win32.VkHost.dvj[/B] ( DrWEB: Trojan.DownLoader3.30182, BitDefender: Generic.Malware.SFHYVdhidWkg.628A73CB, AVAST4: Win32:Delf-QBF [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]