userini.exe, startup virus

Printable View

24.08.2010, 11:20
error1982

userini.exe, startup virus

Всем привет!
Сканил в безопасном режиме альтернативными антивирусами(cureit, kasperskiy, avz) комп, вирусы они находят и кладут их в карантин, после перезаггрузки вирусы (Startup: 0njee6q.exe) все равно висят в процессах, никак не могу побороть
помогите с троянами, ниже отчет программы avz

модератор, вложил логи avz, логи Malwarebytes Antimalware не создались, 1,5 часа сканил винчестер, в итоге нашел 10 инфицированных файлов,но папка Logs пустая, не знаю почему, что делать дальше?
тепер могу загрузиться только в безопасном режиме и то через раз, в автозагрузке уже не появляются левые процессы, но в моем профиле во временной папке появляются неизвестные экзешники, удаляются только ручками но снова появляются после перезагрузки, хелп!
24.08.2010, 11:42
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - Startup: 0njee6q.exe
[/CODE]
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\userini.exe');
QuarantineFile('C:\Documents and Settings\Л\Главное меню\Программы\Автозагрузка\0njee6q.exe','');
QuarantineFile('C:\Documents and Settings\Л\msgvn.exe','');
QuarantineFile('c:\windows\system32\userini.exe','');
DeleteFile('c:\windows\system32\userini.exe');
DeleteFile('C:\Documents and Settings\Л\msgvn.exe');
DeleteFile('C:\Documents and Settings\Л\Главное меню\Программы\Автозагрузка\0njee6q.exe');
QuarantineFile('C:\Documents and Settings\Л\Application Data\ehgey.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2922857610-1968273733-176158403-8679\yv8g67.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7535988068-7278369957-386093702-1356\yv8g67.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9323064280-7641228079-534478287-0787\nissan.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-2922857610-1968273733-176158403-8679\yv8g67.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-7535988068-7278369957-386093702-1356\yv8g67.exe');
DeleteFile('C:\Documents and Settings\Л\Application Data\ehgey.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9323064280-7641228079-534478287-0787\nissan.exe');
DeleteFileMask('C:\RECYCLER\S-1-5-21-2922857610-1968273733-176158403-8679', '*.*', true);
DeleteDirectory('C:\RECYCLER\S-1-5-21-2922857610-1968273733-176158403-8679');
DeleteFileMask('C:\RECYCLER\S-1-5-21-7535988068-7278369957-386093702-1356', '*.*', true);
DeleteDirectory('C:\RECYCLER\S-1-5-21-7535988068-7278369957-386093702-1356');
DeleteFileMask('C:\RECYCLER\S-1-5-21-9323064280-7641228079-534478287-0787', '*.*', true);
DeleteDirectory('C:\RECYCLER\S-1-5-21-9323064280-7641228079-534478287-0787');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"][B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B][/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
24.08.2010, 14:21
error1982

- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=blue][B]MBAM[/B][/COLOR][/URL]

1,5 часа сканировал, нашел 10 инфицированных файлов , но логи не создались! пустая папка logs по вышеуказанному пути

модератор, вложил логи avz, логи Malwarebytes Antimalware не создались, 1,5 часа сканил винчестер, в итоге нашел 10 инфицированных файлов,но папка Logs пустая, не знаю почему, что делать дальше?
тепер могу загрузиться только в безопасном режиме и то через раз, в автозагрузке уже не появляются левые процессы, но в моем профиле во временной папке появляются неизвестные экзешники, удаляются только ручками но снова появляются после перезагрузки, хелп!
24.08.2010, 14:36
polword

делайте комплект догов
24.08.2010, 14:37
error1982

[B]polword[/B],
в шапку прикрепил
24.08.2010, 14:39
pig

[QUOTE='polword;694041']вложил логи avz[/QUOTE]
Надо было в этом сообщении, а не в первом. История много чему учит.
24.08.2010, 14:42
error1982

[QUOTE=pig;694050]Надо было в этом сообщении, а не в первом. История много чему учит.[/QUOTE]
по просьбе трудящих выкладываю сюда
24.08.2010, 15:05
polword

Файл quarantine.zip - из темы уберите...
[QUOTE=polword;693829] - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы[/QUOTE]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('G:\check.exe','');
QuarantineFile('G:\autorun.inf','');
DeleteFile('C:\Documents and Settings\Л\msgvn.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('G:\check.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"][B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B][/COLOR])
24.08.2010, 15:06
error1982

[QUOTE=polword;694088]Файл quarantine.zip - из темы уберите...[/QUOTE]

сорри, туплю, загрузил файл карантина, по поводу bds сейчас буду смотреть дамп памяти
24.08.2010, 15:15
polword

сделайте скрипт и новые логи
24.08.2010, 15:28
error1982

сделал новые логи, проверьте, пожалуйста

[B]polword[/B],
24.08.2010, 15:44
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Documents and Settings\Л\msgvn.exe','');
QuarantineFile('C:\Documents and Settings\Л\Application Data\ozzfhv.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Beep.sys','');
DeleteService('srservice');
QuarantineFile('C:\WINDOWS\system32\drivers\AtapiDrv.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\AtapiDrv.sys');
DeleteFile('srservice.sys');
DeleteFile('C:\Documents and Settings\Л\Application Data\ozzfhv.exe');
DeleteFile('C:\Documents and Settings\Л\msgvn.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
BC_DeleteSvc('srservice');
BC_DeleteFile('srservice.sys');
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"][B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B][/COLOR])
24.08.2010, 16:03
error1982

сделал

[B]polword[/B],
сделал! :)
24.08.2010, 16:07
polword

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]
24.08.2010, 16:37
error1982

[QUOTE=polword;694192]- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR=blue][B]Combofix[/B][/COLOR][/URL][/QUOTE]
сделал!
24.08.2010, 19:58
polword

- Замените файл c:\windows\system32\winlogon.exe на чистый из [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива[/URL].

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[CODE]
KillAll::

File::
c:\windows\system32\userini.exe
c:\windows\system32\1A86B8\A4F961.EXE
c:\windows\System32\ifjuibics.exe

Driver::

NetSvc::

Folder::
c:\windows\system32\1A86B8

Registry::
[-HKLM\~\startupfolder\C:^Documents and Settings^Л^Главное меню^Программы^Автозагрузка^0njee6q.exe]

FileLook::

DirLook::[/CODE]

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.
25.08.2010, 11:18
error1982

[B]polword[/B],
спасибо за помощь, ноут уже не у меня, заявку можно закрывать, винда грузится в startup вирусов не видно
26.08.2010, 11:18
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\л\\application data\\ehgey.exe - [B]Trojan-Downloader.Win32.Agent.eigw[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Trojan.Generic.4792090, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\documents and settings\\л\\application data\\ozzfhv.exe - [B]Trojan-Spy.Win32.Zbot.astq[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Trojan.Generic.7372303, NOD32: Win32/Bflient.K worm, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\documents and settings\\л\\msgvn.exe - [B]Backdoor.Win32.Bredolab.het[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.1007, NOD32: Win32/Peerfrag.II worm, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\windows\\system32\\drivers\\atapidrv.sys - [B]Rootkit.Win32.Agent.blls[/B] ( DrWEB: Trojan.NtRootKit.6671, BitDefender: Backdoor.Generic.435125, AVAST4: Win32:FakeAV-ANE [Rtk] )[*] c:\\windows\\system32\\drivers\\beep.sys - [B]Rootkit.Win32.Agent.blls[/B] ( DrWEB: Trojan.NtRootKit.6671, BitDefender: Backdoor.Generic.435125, AVAST4: Win32:FakeAV-ANE [Rtk] )[*] c:\\windows\\system32\\userini.exe - [B]Backdoor.Win32.Bredolab.hfw[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Trojan.Generic.KD.28134, AVAST4: Win32:Crypt-HIL [Trj] )[*] g:\\check.exe - [B]Backdoor.Win32.Bredolab.het[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.1007, NOD32: Win32/Peerfrag.II worm, AVAST4: Win32:MalOb-CS [Cryp] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]