Printable View
Отключен Task Manager.
Невозможно запустить Касперского.
После загрузки Windows выдаются окна с сообщениями о shit.exe.exe и о разных вариациях с первой буквой v и окончанием game (g4ame и т.п.)
Показывается синий экран с информацией о проблемах с памятью.
Ваши инструкции удалось выполнить только в режиме Safe Mode with Networking, в нормальном режиме программы не запускаются.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('{1B05A5AC-CBE0-4133-945A-3A28C053446F}');
QuarantineFile('C:\WINDOWS\system32\wthunk32.dll','');
QuarantineFile('C:\WINDOWS\system32\wind32.exe','');
QuarantineFile('C:\WINDOWS\system32\vedxg6ame4.exe','');
QuarantineFile('C:\WINDOWS\system32\newmaxxsv234.exe','');
QuarantineFile('C:\WINDOWS\system32\adduser32.dll','');
QuarantineFile('C:\WINDOWS\system32\taskmon.sys','');
QuarantineFile('C:\WINDOWS\system32\buritobed-5313.sys','');
QuarantineFile('C:\WINDOWS\mmfs.dll','');
QuarantineFile('C:\WINDOWS\system32\file.exe','');
QuarantineFile('C:\WINDOWS\system32\worsock.dll','');
DeleteFile('C:\WINDOWS\system32\worsock.dll');
DeleteFile('C:\WINDOWS\system32\file.exe');
DeleteFile('C:\WINDOWS\system32\buritobed-5313.sys');
DeleteFile('C:\WINDOWS\system32\taskmon.sys');
DeleteFile('C:\WINDOWS\system32\adduser32.dll');
DeleteFile('C:\WINDOWS\system32\newmaxxsv234.exe');
DeleteFile('C:\WINDOWS\system32\vedxg6ame4.exe');
DeleteFile('C:\WINDOWS\system32\wind32.exe');
DeleteFile('C:\WINDOWS\system32\wthunk32.dll');
DeleteService('TapiSrvmnmsrvc');
DeleteService('SpoolerEventlog');
DeleteService('RemoteAccessRemoteAccess');
DeleteService('taskmon.sys');
DeleteService('lanmanworkstationALG');
DeleteService('InterBaseServerNetlogon');
DeleteService('buritobed-5313');
BC_ImportALL;
BC_Activate;
ExecuteRepair(14);
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил.
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".
Повторите логи.
[COLOR="Red"][B]Внимание! После выполнения скрипта может пропасть связь с интернет. Чтобы её восстановить, скачайте заранее утилиту[/B][/COLOR] [URL="http://www.winsockfix.nl/"]WinSockFix[/URL]. Утилита WinSockFix сбрасывает настройки сети. Крайне желательно их записать/запомнить.
P.S.: Новый комплект логов делайте в нормальном режиме.
Повтор логов - в нормальном режиме
Практически чисто, надо только дождаться ответа от вирлаба в отношении C:\WINDOWS\mmfs.dll, очень подозрительный файл, но детекта на него нет.
[size="1"][color="#666686"][B][I]Добавлено через 49 минут[/I][/B][/color][/size]
Пришел ответ - вредоносный код в файле не обнаружен.
Больше ничего подозрительного нет.
Какие-то проблемы остались?
Вроде бы все хорошо.
Но есть один сайт, на который я захожу как пользователь с паролем. Теперь после акцепта пароля все-равно опять появляется страница, требующая ввести пользователя и пароль. На сайт меня не пускают (с этого компьютера). Это зависит от каких-то изменившихся настроек?
Попробуйте очистить временные файлы IE и Cookies.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\adduser32.dll - [B]Trojan-PSW.Win32.Delf.aox[/B] (DrWEB: Trojan.Warx)[*] c:\\windows\\system32\\newmaxxsv234.exe - [B]Email-Worm.Win32.Zhelatin.uy[/B] (DrWEB: Trojan.Packed.350)[*] c:\\windows\\system32\\taskmon.sys - [B]Trojan-Proxy.Win32.Agent.xo[/B] (DrWEB: Trojan.Spambot.2887)[*] c:\\windows\\system32\\vedxg6ame4.exe - [B]Email-Worm.Win32.Zhelatin.vb[/B] (DrWEB: Trojan.Packed.350)[*] c:\\windows\\system32\\wind32.exe - [B]Email-Worm.Win32.Zhelatin.uy[/B] (DrWEB: Trojan.Packed.350)[*] c:\\windows\\system32\\worsock.dll - [B]Trojan-PSW.Win32.Agent.yr[/B] (DrWEB: Trojan.Ftpspy)[*] c:\\windows\\system32\\wthunk32.dll - [B]Trojan-Downloader.Win32.Small.iig[/B] (DrWEB: Trojan.DownLoader.46357)[/LIST][/LIST]