giljabi.exe, gilautouc.exe, autoupdate.exe WINWORD.EXE, cafheaxow.exe=rootkit

[COLOR=#444444]прикрепляю логи[/COLOR]
[COLOR=#444444]основная заморочка: постоянно пересылает на различные рекламные сайты ([/COLOR][COLOR=#444444]barklaybank, t[/COLOR][COLOR=#444444]ele[/COLOR][COLOR=#444444]2, [/COLOR][COLOR=#444444]orange [/COLOR][COLOR=#444444]mobil[/COLOR][COLOR=#444444]…) [/COLOR][COLOR=#444444]зашел в pe[/COLOR][COLOR=#444444]естр СА [/COLOR][COLOR=#444444]firewall [/COLOR][COLOR=#444444]и прокрутил в google [/COLOR][COLOR=#444444]все активные процессы,... и результат: [/COLOR][COLOR=#444444]giljabi.[/COLOR][COLOR=#444444]exe, [/COLOR][COLOR=#444444]gilautouc.[/COLOR][COLOR=#444444]exe, [/COLOR][COLOR=#444444]autoupdate.[/COLOR][COLOR=#444444]exe [/COLOR][COLOR=#444444]оценивает как [/COLOR][COLOR=#444444]spyware,[/COLOR][COLOR=#444444]WINWORD.[/COLOR][COLOR=#444444]EXE [/COLOR][COLOR=#444444]говорит [/COLOR][COLOR=#444444]TROJAN, [/COLOR][COLOR=#444444]cafheaxow.[/COLOR][COLOR=#444444]exe [/COLOR][COLOR=#444444]говоpит [/COLOR][COLOR=#444444]trouve[/COLOR]
[FONT=Calibri][SIZE=3]буржуйский антивирус PrevixCSI распознал [/SIZE][/FONT][COLOR=#444444]cafheaxow.exe [/COLOR][FONT=Calibri][SIZE=3]как rootkit, но на удаление просит платный ключ[/SIZE][/FONT]
[SIZE=3][FONT=Calibri]вот адреса подозрительных программ :[/FONT][/SIZE]
[FONT=Calibri][SIZE=3]C:/Documents and Settings/Denis/Local Settings/Application Data/[/SIZE][/FONT][COLOR=#444444]cafheaxow.exe[/COLOR]
[COLOR=#444444]C:/Program Files/Microsoft Office/Office 12/WINWORD.EXE[/COLOR]
[COLOR=#444444]C:/Frogram Files/lg_swupdate/autoapdate.exe [/COLOR]
[COLOR=#444444]C:/Frogram Files/lg_swupdate/giljabi.exe[/COLOR]
[COLOR=#444444]C:/Frogram Files/lg_swupdate/ gilautouc.exe[/COLOR]
[SIZE=3][FONT=Calibri]постоянно пользуюсь Avira, вчера после обновления обнаружил TR/Dldr.Swizzor.Gen, и удалил[/FONT][/SIZE]
[FONT=Calibri][SIZE=3]если поможете будет здорово, т.к. остальные: Webroot Spy Sweeper v.5.5.7.122, Ad-Aware 2007, McAffee, SpyBot152 говорят что всё чисто :O[/SIZE][/FONT]

удалите все антивирусы и антиспаи ... оставте [B]только один [/B]антивирус ...
выполните пункт 2 правил ...
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\update.sys','');
QuarantineFile('C:\WINDOWS\explorer.exe','');
QuarantineFile('c:\program files\ca\sharedcomponents\hipsengine\umxfwhlp.exe','');
QuarantineFile('c:\program files\voipstunt.com\voipstunt\voipstunt.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Ntfs.sys','');
QuarantineFile('C:\WINDOWS\System32\win32k.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
DelBHO('{9CB65201-89C4-402c-BA80-02D8C59F9B1D}');
QuarantineFile('C:\Program Files\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL','');
DeleteFile('C:\Program Files\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

Добавил парочку.
Не забудьте удалить windows defender и части дрвеба- которые не упомянули в вашем салате. :lol:

"салат" удалил, оставил токо АВИРУ, скрипты выполнил, карантин прикрепил
есть замечания:
1. после удаления SpyBot через УСТАНОВКУ/УДАЛЕНИЕ ПРОГРАММ, всё ок,
но при удалении Windows Defender выскакивает окошко SpyBot: "...изменение затрагивающее важную запись реестра С:/Program Files/Windows Defender/MSASui.exe-hide" , т.е. уже удалённый SpyBot спрашивает "разрешить" или "запретить" эту запись в реестре, через УСТАНОВКУ/УДАЛЕНИЕ ПРОГРАММ я не вижу SpyBot, нo я его вижу через Program Files, пытаюсь удалить вручную и высскакивает окошко: "ОШИБКА ПРИ УДАЛЕНИИ ПАПКИ ИЛИ АРХИВА, невозможно удалить cafw.ехе, доступ запрещен, возможно диск полон или защищён от записи или архив используется в настоящий момент"
2.Идентичная ситуация с CA firewall

[size="1"][color="#666686"][B][I]Добавлено через 1 час 35 минут[/I][/B][/color][/size]

выполнил пункт правил 2 заново, ничего не найдено,
могу прикрепить сохранившийся лог Prevx CSI Log? esli nado!? :wall:

Не надо его лога. Подождем ответа аналитиков по поводу Вашего карантина.

spasibo, komp uzhe ne peresilaet, i rabotaet gorazdo bisteree no xochu dovesti delo do konca :paratrooper:

повторите логи начиная с пункта 10 правил ...

понятно, прикрепил, :pray:

пофиксите ...
[code]
R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - C:\Program Files\AskTBar\SrchAstt\2.bin\A5SRCHAS.DLL (file missing)
O4 - HKLM\..\Run: [UserFaultCheck] C:\WINDOWS\system32\dumprep 0 -u
[/code]
какие-то проблемы остались ?

что делать с cafheaxow, я его вижу в скрытых папках по ранее указанному адресу, или он пролечен уже? есть ли другие?

Пришлите этот файлик в zip-архиве с паролем virus по этой ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20663[/url]

пришлю, но их три файла, прислать все три в одном zip?

Да, присылайте.

prinimajte ))) этот файлик в zip-архиве с паролем virus по этой ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20663[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

:)prinimajte ))) файликi в zip-архиве с паролем virus

cafheaxow.dat, cafheaxow_nav.dat, cafheaxow_navps.dat
Все три файла чистые.

Какие-то проблемы остались?

нет, благодарю, переадресаций нет, очень интересный сайт, уже посоветовал своей сестре, проблемы будут обращусь, всего вам доброго :D

Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]