Помогите прибить подменщика explorera

Здравствуйте, появился в аппликейшн дата файл ogix.exe -
симантек и доктор вэб его не видят. Вроде зловредного ничего не делает активности не проявляет. только перестали присваивать буквы к подключаемым дискам (Диск подключаешь а его как бы и нет - рестартанеш експлорер, тогда все видно) - поэтому и обнаружился ентот файл - так как в реестре создает запись Taskman и прописывает себя в загрузчики разные. Удаление вируса + Чистка и восстановление реестра ничего не дает, после перезагрузки откуда - то загружается опять восстанавливает все записи в реестре и снова ложит свое тельце в аппликейшн дата.
Помогите, пожалуйста!
P/s прикрепил сканы avz + hijack :O

[QUOTE='Wolant87;673455']P/s прикрепил сканы avz + hijack [/QUOTE]Куда?

x-files

Где virusinfo_syscure.zip ?

Извините, анй момент!

[QUOTE]Протокол антивирусной утилиты AVZ версии 4.27[/QUOTE]
- это раритет!!!!

- скачайте новую версию [URL="http://z-oleg.com/avz4.zip"]AVZ - 4.34[/URL]
- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- Переделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip

Есть! нью релиз

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
R3 - URLSearchHook: (no name) - {95289393-33EA-4F8D-B952-483415B9C955} - (no file)
R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - (no file)
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
[/CODE]
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\legitcheckcontrol.dll.bak','');
QuarantineFile('C:\WINDOWS\system32\winlogon.bak','');
QuarantineFile('C:\WINDOWS\system32\wgatray.exe.bak','');
QuarantineFile('C:\WINDOWS\system32\wgalogon.dll.bak','');
QuarantineFile('C:\Documents and Settings\palagina\Application Data\ogix.exe','');
DeleteFile('C:\Documents and Settings\palagina\Application Data\ogix.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

Сидит на своем месте, гад, и улыбается. Только он раньше был скрытым, а сейчас без атрибутов.

Rfhfynby nj; pfrfxfkcz

"Файл сохранён как 100720_200102_quarantine_4c45c83eb506b.zip"
MD5 eb8597f5ecc7eb9576c9d165b25d277d

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('\??\c:\windows\system32\winlogon.exe','')
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

Карантин готов и МБАМ тоже

Файл сохранён как 100721_111239_quarantine_4c469de700de0.zip

1. удалите в MBAM
[CODE]
Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00a6faf6-072e-44cf-8957-5838f569a31d} (Adware.MyWebSearch) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.

Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{07b18ea9-a523-4961-b6bb-170de4475cca} (Adware.MyWebSearch) -> No action taken.


Зараженные папки:
C:\Documents and Settings\palagina\Application Data\Starware (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\BrowserSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ErrorSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Games (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Manager (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Movies (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\PopupBlocker (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Reference (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\RelatedSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Screensavers (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ScreensaversMarketingSitePager (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchAssistPlus (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchMatch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Toolbar (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarLogo (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarSearch (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\TravelSearch (Adware.Starware) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\palagina\Application Data\Starware\BrowserSearch\BrowserSearch.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\BrowserSearch\BrowserSearch.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ErrorSearch\ErrorSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ErrorSearch\ErrorSearchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Games\GamesOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Games\GamesOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\PreferencesLayout.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\PreferencesLayout.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\ToolbarLayout.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Layouts\ToolbarLayout.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Manager\ManagerOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Manager\ManagerOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Movies\MoviesOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Movies\MoviesOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\PopupBlocker\PopupBlockerOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\PopupBlocker\PopupBlockerOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Reference\ReferenceOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Reference\ReferenceOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\RelatedSearch\RelatedSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\RelatedSearch\RelatedSearchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Screensavers\ScreensaversOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Screensavers\ScreensaversOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ScreensaversMarketingSitePager\ScreensaversMarketingSitePagerOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ScreensaversMarketingSitePager\ScreensaversMarketingSitePagerOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchAssistPlus\SearchAssistPlusOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchAssistPlus\SearchAssistPlusOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchMatch\SearchMatchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\SearchMatch\SearchMatchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Toolbar\TBProductsOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\Toolbar\TBProductsOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarLogo\ToolbarLogoOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarLogo\ToolbarLogoOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarSearch\ToolbarSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\ToolbarSearch\ToolbarSearchOptions.xml.backup (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\TravelSearch\TravelSearchOptions.xml (Adware.Starware) -> No action taken.
C:\Documents and Settings\palagina\Application Data\Starware\TravelSearch\TravelSearchOptions.xml.backup (Adware.Starware) -> No action taken.

[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\shell31.dll','');
QuarantineFile('C:\Program Files\Total Commander\Soft\USDownloader\captchaocr\caps_net\test.exe ','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]

Удалил в МБАМ требуемые записи --- закарантинил нечисть!
При сканировании МБАМ - обнаружилась активность Backdoor создание файлов 4.tmp и 6.tmp
они сразу были прибиты местным антивирусником.
После перезагрузки все записи в реестре восстановились, ogix.exe опять сидит в аппликейшн дата.

Карантин сохранён как 100722_114037_quarantine_4c47f5f5e219c.zip

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Нашел похожую проблему в теме
[Новая] Taskman ltzqai.exe в Winlogon'e после удаления вновь появляется
--- ее так походу и не решили ... Неужели эту заразу никак не взять руками?

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]

Лог готов!

Скачайте утилиту [URL="http://support.kaspersky.ru/downloads/utils/tdsskiller.zip"]TDSSKiller[/URL]
Сохраните текст ниже как run.bat в туже папку где находится TDSSKiller.exe (переименуйте файл именно в это имя)

[CODE]TDSSKiller.exe -l C:\log.txt -v[/CODE]

- Все сканирование делайте с правами администратора. Запустите run.bat
- Когда программа отработает, сформируется лог-файл log.txt в корне диска C.
- Прикрепите файл log.txt к сообщению.

- повторите лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]

УРААААААААААААААА!
TDSSKiller показал отсутствие ошибок
Combofix - прищемил большой палец злоподсосу и закинул в карантин.
Спасибо за активную помощь!