Помогите зачистить "хвосты" после CoinMiner

Доброго времени суток.

Некоторое время назад ноут стал очень сильно нагреваться и тормозить, что для него не характерно. Проверка показала наличие двух троянов - один крал пароли, другой "генерировал" биткоины для своего владельца и, собственно, был причиной тормозов системы. После их удаления работа системы нормализовалась и ноут перестал нагреваться, однако вскоре антивирус отловил еще два вируса:
Trojan:Win32/CoinMiner.L!bat
Exploit:Java/CVE-2012-1723
Они также были удалены, но у меня есть подозрение, что из-за оставленных "хвостов" я могу вновь столкнуться с этими троянами.

П.С. во вложении отсутствует файл [COLOR=red][B]virusinfo_syscure.zip[/B][/COLOR], поскольку исследуемая система - 64-разрядная.


Заранее спасибо.

Уважаемый(ая) [B]AriaL[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url].

Готово.

Я извиняюсь, что забыл упомянуть об еще одной проблеме на этом компьютере: в настройках прокси постоянно прописывается URL для его автоматической настройки: _https://relanso.com/queue/redict.rok, причем в Firefox при каждом его запуске настройки сети автоматически устанавливаются на то, чтобы использовать этот URL.
Версия FF - 20.0.1; IE - 10.0.9, другими браузерами я не пользовался.
Беглый гуглеж по этому URL ничего не дал.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url][code];uVS v3.77.16 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

; C:\PROGRAM FILES\LENOVO\COMMUNICATIONS UTILITY\TPKNRRES.EXE
addsgn 1A0A639A5583C58CF42B254E3143FE84C9A2FFF689592784C5C34CB1642A314CAA02F3AB7E551454077CC49FCF2361063DDF614F7126F02C4BFBB17F3B462215 8 Trojan-Ransom.Win32.Blocker.uxw [Kasper

delref /C
exec MSIEXEC.EXE /quiet /I{7148F0A8-6813-11D6-A77B-00B0D0142170}
exec MSIEXEC.EXE /quiet /I{35A3A4F4-B792-11D6-A78A-00B0D0142170}
exec MSIEXEC.EXE /quiet /X{26A24AE4-039D-4CA4-87B4-2F83216019FF}
exec MSIEXEC.EXE /quiet /I{32A3A4F4-B792-11D6-A78A-00B0D0160190}
deltmp
restart[/code]Компьютер перезагрузится.
[NOTICE]Данный скрипт удалит Java, т. к. в установленной версии имеются критические ошибки, позволяющие выполнить вредоносный код в целевой системе. Проще говоря - при заходе на сайт с вредоносным кодом внедрить в систему без ведома пользователя трояна.
Если Java нужна, т.е. без неё не работают какие-либо сайты, онлайн-игры и т. п., скачайте и установите [URL="http://www.java.com/ru/download/manual.jsp"]Java 7 Update 21[/URL]. Для большинства сайтов Java не нужна и является потенциальной дырой в безопасности.[/NOTICE]
Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]

После выполнения скрипта в uVS ни архива, ни папки с префиксом ZOO в каталоге uVS не обнаружено, но есть лог-файл выполнения скрипта. Нужно его прикреплять?
Прикрепляю лог MBAM.

ПС: какие результаты по логам из первого сообщения этой темы?

Удалите Malwarebytes Anti-Malware, его использование в качестве антивируса с постоянной защитой не рекомендуется.
С виду всё чисто.

ОК. А что насчет этого?
[QUOTE=AriaL;1005236]в настройках прокси постоянно прописывается URL для его автоматической настройки: _https://relanso.com/queue/redict.rok, причем в Firefox при каждом его запуске настройки сети автоматически устанавливаются на то, чтобы использовать этот URL.
Версия FF - 20.0.1; IE - 10.0.9, другими браузерами я не пользовался.[/QUOTE]

[quote="AriaL;1005957"]ОК. А что насчет этого?[/quote]
пролечитесь утилитой [URL="http://support.kaspersky.ru/9208"]capperkiller[/URL] лог работы утилиты приложите.

Что с проблемой ?

[ATTACH]421372[/ATTACH]
Извиняюсь за долгий ответ.
Capperkiller ничего не обнаружил, лог прикладываю.
Затереть значение этого поля нельзя, но поменять можно. FF я переустановил, после переустановки его настройки сети перестали автоматически переключаться на использование этого параметра, а в IE подобного автоматического переключения не было.

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url].

[ATTACH]421500[/ATTACH]

Чисто.
Проблемы нет, правильно понимаю?

Да, проблема ушла, спасибо.

[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url].

Скопируйте всё содержимое страницы [URL="http://dataforce.ru/~kad/ScanVuln.txt"]http://dataforce.ru/~kad/ScanVuln.txt[/URL] в буфер обмена ( Ctrl-A, Ctrl-C) и выполните как скрипт в AVZ - меню "Файл" -> "Выполнить скрипт", вставить буфер обмена - Ctrl-V - и нажать "Запустить". После его работы, если будут найдены уязвимости, в папке LOG появится айл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[QUOTE=Vvvyg;1007950]Java, Adobe Acrobat/Reader и Adobe Flash Player.[/QUOTE]

Да, обнаруженные уязвимости связаны именно с этим ПО.

Устраняйте, не забудьте старые версии деинсталлировать.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].