Trojan Win32.Injector.HOW модифицированный

Trojan Win32.Injector.HOW модифицированный
[ATTACH=CONFIG]321104[/ATTACH]
[ATTACH=CONFIG]321105[/ATTACH]
[ATTACH=CONFIG]321106[/ATTACH]

Антивирус Nod32 через некоторое время после загрузки выдает 3 сообщения
модифицированный о вирусе Win32/Injector.HOW
1). файл http: // pogledajte.fileave.com/0e1ea31431b23fdc159ffed5fed1bd5b.exe[/url] модифицированный Win32/Injector.HOW троян PC\User
2). файл C:\Documents and Settings\User\Application Data\25.exe модифицированный Win32/Injector.HOW троян изолирован - удален PC\User Событие в новом файле, созданном приложением C:\WINDOWS\Explorer.EXE. Файл был перемещен в карантин. Вы можете закрыть это окно.
3). и еще tmp создает - тоже выдает примерно такое сообщение (в логе нет

Иногда выдает такое сообщение:
файл c:\documents and settings\user\application data\mibubg.exe модифицированный Win32/Injector.HOW троян

В процессе работы (без перезагрузки) эти сообщения антивирусника продолжаются, но генерятся другие имена файлов, например (AMON файл C:\Documents and Settings\User\Application Data\167A.exe модифицированный Win32/Injector.HOW троян изолирован - удален PC\User Событие в новом файле, созданном приложением C:\WINDOWS\Explorer.EXE. Файл был перемещен в карантин. Вы можете закрыть это окно. )

еще создается файл start0.exe в каталоге: c:\Documents and Settings\User\Start Menu\Programs\Setup
ну и подозрительный процесс появляется svchoost.exe - который периодически приходится снимать. Но ничего не помогает (Ни DrWeb CureIt! ни сканирование Nod32)

И еще один момент заметил в NOD32 в IMON вкладка HTTP - Совместимость клиента
добавляется строчка:
Ufasoft bitcoin-miner/0.14 - svchoost.exe - [COLOR="#FF0000"]Высокая совместимость[/COLOR]
т.е. он себя добавляет и в исключения NOD32.
Удаляю в реестре. Перегружаю комп - нету.
Через некоторое время (3-5 мин) - после того NOD32 ругается по поводу вируса,
захожу к нему во вкладку и обнаруживаю опять эту строчку.

Поймал вирус 7.07.2011 - после безуспешных поисков по инету о данной модификации вируса (HOW) обратился к Вам.

За ранее спасибо!
С уважением, Алексей

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svcnet32.dll','');
QuarantineFile('C:\Documents and Settings\User\Application Data\Mibubg.exe','');
QuarantineFile('C:\Documents and Settings\User\ctfmon.exe','');
DeleteFile('=.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','GEST');
DeleteFile('C:\Documents and Settings\User\ctfmon.exe');
DeleteFile('C:\Documents and Settings\User\Application Data\Mibubg.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Mibubg');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по ссылке [url]http://virusinfo.info/upload_virus.php?tid=105578[/url]

Сделайте новые логи

Спасибо!
Вроде после применения скрипта вирус "отстал" - пока не замечен!

Хороший сайт!
Будем обращаться и другим советовать

А это?
[quote="thyrex;808814"]Сделайте новые логи[/quote]

Мои 1000 извинений.
На радостях не дочитал до конца про новые логи :)

В HiJackThis пофиксите:

[code]
R3 - URLSearchHook: (no name) - {A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE} - (no file)
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O15 - Trusted Zone: http://software.kuaiche.com
[/code]

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svcnet32.dll','');
DeleteFile('C:\WINDOWS\system32\svcnet32.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]


После перезагрузки повторите логи.

Файлы прилагаю.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]