не равный бой с вирусами! =)

Доброе время суток!

ситуация следующая: комп не мой, а знакомого. началось все с того, что комп стал просить отправлять sms. я дал человеку ссылку на ваш сервис и сказал, что систему надо лечить. человек естественно ничего лечить не стал, а просто каждый раз вводил нужный номер в запросы на смс. но по прошествию нескольких недель система перестала его пускать, ссылаясь на ошибку в userinit.exe. после чего многострадальный комп попал в мои руки.

я загрузился с LiveCD и прогнал CureIt и касперского. после чего смог зайти в систему, но она продолжала себя вести не совсем адекватно, например не получалось сделать логи avz-том, так как комп просто тупо зависал. после чего я зашел в system32\drivers и переименовал все драйвера, что были созданы за последний месяц - системе полегчало и я смог нормально запустить avz.

логи собсивенно прелагаю. наверняка там что-нить еще сидит =)

забыл сказать, что cureit и касперский нашли много чего интересного на компьюете... cureit отыскал порядка 240 зараженных объектов...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\xdoej.dll','');
QuarantineFile('C:\WINDOWS\system32\srnh.lto','');
DeleteFile('C:\WINDOWS\system32\xdoej.dll');
DeleteFile('C:\WINDOWS\system32\srnh.lto');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\WINDOWS\system32\7d3a2872.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\espC8E.tmp','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\system32\7d3a2872.exe');
RegSearch('HKLM', '', 'espC8E.tmp');
SaveLog(GetAVZDirectory + 'search.log');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(13);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

вот новые логи

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] [B]все, кроме[/B]
[CODE]Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.[/CODE]

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [plugin] "C:\Program Files\plugin.exe"
O20 - AppInit_DLLs: C:\WINDOWS\system32\xdoej.dll[/CODE]

Выполните скрипт в AVZ
[code]begin
ExecuteREpair(6);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Прикрепите лог [B]search.log[/B] из папки AVZ

Сделайте новые логи МВАМ и virusinfo_syscheck.zip

повторите лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

все сделал... выкладываю новые логи

А это?
[QUOTE='thyrex;647041']Прикрепите лог [B]search.log[/B] из папки AVZ[/QUOTE]

oops! =) исправляюсь...

Выполните скрипт в AVZ
[code]begin
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Print\Providers\F6C1F53B');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Control\Print\Providers\F6C1F53B');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Control\Print\Providers\F6C1F53B');
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Сделайте новый лог [B]virusinfo_syscheck.zip[/B]

новый лог...

чисто

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]