Изменение страницы поиска Google

Добрый день!
Что-то подменяет страницу результата поиска Google, вставляя в начало html-файла div блок:
[CODE]<div id="lasbd128cf8dsa" style="height:3000px;width:2000px;left:0px;top:0px;position:absolute;z-index:99999;background:#FFFFFF;"></div>[/CODE]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\twex.exe,
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\UACqidewiph.dll','');
QuarantineFile('C:\WINDOWS\system32\twex.exe','');
DeleteFile('C:\WINDOWS\system32\twex.exe');
DeleteFile('C:\WINDOWS\system32\UACqidewiph.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Спасибо.

Выполнил скрипт.
Пофиксил.
Сделал новые логи.

Высылаю карантин

Ничего подозрительного не вижу.
1. Обновите систему до СП3 (возможно потербуется активация)
2. Обновите Адоби Ридер до 9-ки
3. Обновите Джаву.

UACqidewiph.dll откуда-то восстанавливается при входе в интернет ...
При условии что текущая учетная запись с админскими правами

Очищал темп-папки, кэш проводников с помощью АВЗ; корзина была пуста

Вот логи.


Лечится вот этим, но только до следующего входа с админскими правами
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\UACqidewiph.dll','');
DeleteFile('C:\WINDOWS\system32\UACqidewiph.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Установите AVZPM и сделайте логи AVZ...

Сделал при включенном AVZPM на уже инфицированной системе:
virusinfo_syscure.zip - при выключеном сетевом соединении
virusinfo_syscheck - при включенном соединении после перегрузки

Отчеты прилагаю

Последняя проверка с включенным AVZPM обнаружила драйвер: [CODE]\systemroot\system32\drivers\UACthwbdvbl.sys[/CODE]

Выполнил следующий скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\systemroot\system32\drivers\UACthwbdvbl.sys','');
QuarantineFile('\\?\globalroot\systemroot\system32\UACqidewiph.dll','');
DeleteFile('\\?\globalroot\systemroot\system32\UACqidewiph.dll');
DeleteFile('\systemroot\system32\drivers\UACthwbdvbl.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Проблема решилась.
Спасибо [B]Rene-gad[/B] и [B]Гриша[/B] за помощь

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\\\?\\globalroot\\systemroot\\system32\\uacqidewiph.dll - [B]Rootkit.Win32.TDSS.eyj[/B][*] c:\\windows\\system32\\twex.exe - [B]Backdoor.Win32.Bifrose.alcc[/B] (DrWEB: Trojan.Inject.5408)[/LIST][/LIST]