После банера (9800) не работают браузеры

Доброго времени суток!

Немного истории: хапнул вирус-банер, который висел поверх всех окон и вымогал смс на короткий номер 9800. На сайты антивирусов (в том числе и на этот сайт) попасть не мог. Каким-то образом наткнулся в поисковике на ссылку к теме [url]http://virusinfo.info/showthread.php?t=80566&highlight=9800[/url] (в ссылке вместо virusinfo.info был ip адрес, поэтому вирус попытку зайти не прикрыл). Avz скачать с сайта не получилось, поэтому пришлось воспользоваться бог знает на сколько старой версией, лежавшей на местном фтп (обновить тоже не получилось). Увлёкшись процессом я выполнил скрипт в avz, указанный с вышеупомянутой теме (предварительно немного изменив). Т.е. как-то так:


begin
SetAVZGuardStatus(True);
ExecuteWizard('TSW', 2, 2, true);
DeleteFile('C:\Documents and Settings\Admin\AppData\jpsqqdoh.ddr');
DeleteFile('C:\Documents and Settings\Admin\AppData\jpsqqdoh.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\jpsqqdoh.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\jpsqqdoh.ddr');
DeleteFile('C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\healm_tcqb.lnk');
DeleteFile('C:\Users\Admin\AppData\Roaming\ohlgcweu.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PC Health Status');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
В результате такой самодеятельности банер пропал, но установленные браузеры (opera и IE) вообще перестали открывать любые сайты. Скачал firefox, который открывал всё кроме сайтов антивирусов. Сумел попасть фтп Др.Веба ([url]http://210.233.71.100/pub/drweb/cureit/[/url]) и скачать свежий cureit.

В настоящее время проверил комп:
- cureit
- [B][URL="http://www.comss.ru/page.php?id=202"]NOD32 Antivirus Scanner 14.06.2010 v.5196[/URL][/B]
- [B][URL="http://www.comss.ru/page.php?id=93"]Kaspersky Virus Removal Tool (AVPTool) 9.0.0.722 [13.06.2010 11-39][/URL][/B]
- AVZ
- Ad-aware free

В результате вирус был найден. Теперь могу заходить на любой сайт, но только через firefox (который был установлен после заражения). Opera и IE ни один сайт не открывают. Побывал удалять и ставить новые свежие версии, обнулял личные данные - результата 0 .

Господа, подскажите пожалуйста как можно вернуть к жизни Oper-y и IE.

Где логи AVZ и HiJack?

Дополнительно сделайте лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

[QUOTE=thyrex;654822]Где логи AVZ и HiJack?

Дополнительно сделайте лог [URL]http://virusinfo.info/showpost.php?p=457118&postcount=1[/URL][/QUOTE]
Логи mbam, avz и hij прикрепил. Файл virusinfo_syscure.zip выкладывать не стал (согласно правилам). Или всё таки... ?

[QUOTE='mkd;654842']virusinfo_syscure.zip выкладывать не стал (согласно правилам)[/QUOTE]Согласно правилам его как раз нужно выкладывать, а вот virusinfo_[B]cure[/B].zip не нужно

Пофиксите в HiJack
[CODE]R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\I2j29O2.exe,\\?\globalroot\systemroot\system32\AHjJ55X.exe,[/CODE]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\oN0s4xln.sys','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\oN0s4xln.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{3f5a62e2-51f2-11d3-a075-cc7364cae42a} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{3f5a62e2-51f2-11d3-a075-cc7364cae42a} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{3f5a62e2-51f2-11d3-a075-cc7364cae42a} (Trojan.BHO) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{3f5a62e2-51f2-11d3-a075-cc7364cae42a} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\I2j29O2.exe,\\?\globalroot\systemroot\system32\AHjJ55X.exe,) Good: (userinit.exe) -> No action taken.

Зараженные файлы:
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
[/CODE]

Сделайте новые логи

Спасибо за оперативность!

К сожалению не все рекомендации получилось выполнить:
[B]1)[/B]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\I2j29O2.exe,\\?\globalroot\systemroot\system32\AHjJ55X.exe,
Такого кода в HiJack не нашёл… Нет никаких позиций по f2 и ничего начинающегося с «reg».
[B]2)[/B]
Зараженные файлы:
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken
Также не нашёл такой «штуки» в МВАМ.
Всё остальное из указанного Вами было успешно пофиксено\удалено.

Ещё сюрприз такого рода: при попытке отправить заражённый файл оказалось, что его нет оО Если не ошибаюсь, код для avz, отписанный Вами, содержал задачу законсервировать "вражину", но, к моему большому удивлению при открытии через avz карантина я наблюдаю в правом поле 0 объектов на 0.00 кб. Что avz писал при выполнении скрипта вспомнить не могу, т.к. комп очень быстро на перезагрузку. Мистика однако.
Увы, Opera и IE по-прежнему не открывают ни один сайт...

Высылаю Вам новые логи.

[QUOTE]ProxyServer = http=127.0.0.1:41653;[/QUOTE]сами прописывали этот прокси?

Убрал прокси и всё заработало! -) Все браузеры работают. Ура!
Большое человеческое спасибо Вам и вашему порталу.

Ну и заодно другие хвосты почистили. Обращайтесь :)