Крашиться браузер и закрываються антивирусные утилиты

Printable View

10.11.2010, 21:33
neverksen

Крашиться браузер и закрываються антивирусные утилиты

Доброго времени суток. У меня возникла проблемма ,после просмотра сайта нод выдал сообщение о вирусе, после чего опера стала крашиться. В папке оперы появился setupapi.dll, который я удалил. После рестарта системы опера стала также закрываться, нод перестал включаться. AVZ, HiJackThis, ComboFix, AVPTool так же закрываються. CureIT не нашло ничего вредного. Помогите пожалуйста, как можно избавиться от этой гадости!
10.11.2010, 23:10
olejah

Здравствуйте. ComboFix попробуйте запустить в безопасном режиме.
10.11.2010, 23:17
neverksen

Разобрался,что в безопасном режиме с поддержкой командной строки утилиты запустяться. Прикладываю логи. При запуске combofix - pev.cfxxe Обнаружена ошибка приложение будет закрыто.
10.11.2010, 23:32
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\4e33c58d.exe','');
QuarantineFile('C:\WINDOWS\system32\8efd9b3b.exe','');
QuarantineFile('C:\WINDOWS\system32\bcjwryh.exe','');
QuarantineFile('C:\WINDOWS\system32\psvtip.exe','');
QuarantineFile('C:\WINDOWS\system32\sudrya.exe','');
DeleteFile('C:\Program Files\internet explorer\setupapi.dll');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('C:\WINDOWS\system32\sudrya.exe');
DeleteFile('C:\WINDOWS\system32\psvtip.exe');
DeleteFile('C:\WINDOWS\system32\bcjwryh.exe');
DeleteFile('C:\WINDOWS\system32\8efd9b3b.exe');
DeleteFile('C:\WINDOWS\system32\4e33c58d.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(20);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи АВЗ + сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
11.11.2010, 13:04
neverksen

Вот новые логи:
11.11.2010, 13:11
olejah

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] -

[CODE]Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\searchbho.seobho (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\searchbho.seobho.1 (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{cf826515-af69-4282-88e9-cc31e3f393ee} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{cd31e9a7-ada8-4081-b7ec-6634b3c3518f} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d125299-c2a9-4dbc-bec3-6f7124e39a41} (Adware.FieryAds) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6715b96f-a181-462f-af5e-1e528722a70a} (Trojan.BHO) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные папки:
C:\Documents and Settings\Рома\Application Data\FieryAds (Adware.FieryAds) -> No action taken.
C:\Program Files\Common Files\wm\keys (Trojan.KeyLog) -> No action taken.
C:\Program Files\Spyware Process Detector (Rogue.SpywareProcessDetector) -> No action taken.
C:\Program Files\Spyware Process Detector\Base (Rogue.SpywareProcessDetector) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\Рома\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Documents and Settings\Рома\Application Data\fieryads.dat (Adware.FieryAds) -> No action taken.
C:\Program Files\Mozilla Firefox\setupapi.dll (Trojan.Agent) -> No action taken.
C:\a.exe (Trojan.Agent) -> No action taken.
C:\b.exe (Trojan.Agent) -> No action taken.
[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS\system32\bcjwryh.exe');
BC_ImportAll;
ExecuteSysClean;
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Попробуйте запустить АВЗ в нормальном режиме

- [B]C:\Program Files\Spyware Process Detector[/B] - эта программа знакома Вам?

- [B]C:\Program Files\PartyGaming\PartyPoker[/B] - пользуетесь?
11.11.2010, 15:38
neverksen

Выполнил вышеописанные действия. АВЗ в нормальном режиме запускаеться. Spyware Process Detector не устанавливал, PartyPoker не пользуюсь.
11.11.2010, 15:44
olejah

Тогда повторите логи АВЗ в нормальном режиме.
11.11.2010, 16:49
neverksen

Прилагаю требуемые логи:
11.11.2010, 16:59
olejah

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFileMask('C:\Program Files\Spyware Process Detector','*.*',true);
DeleteDirectory('C:\Program Files\Spyware Process Detector');
DeleteFileMask('C:\Program Files\PartyGaming','*.*',true);
DeleteDirectory('C:\Program Files\PartyGaming\PartyPoker');
DeleteDirectory('C:\Program Files\PartyGaming');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Что сейчас с проблемой?
11.11.2010, 17:02
neverksen

Вроде все хорошо, браузер работает, сайты открываються. Спасибо большой за помощь ;)
11.11.2010, 17:04
olejah

Рекомендуется

- Установить все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установить [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.
11.11.2010, 17:08
neverksen

Еще раз спасибо, воспользуюсь рекомендациями.
12.11.2010, 17:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\bcjwryh.exe - [B]Trojan.Win32.Jorik.Shiz.gr[/B] ( DrWEB: Trojan.PWS.Ibank.242, BitDefender: Trojan.Generic.KDV.63735, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-IJ [Cryp] )[*] c:\\windows\\system32\\sudrya.exe - [B]Backdoor.Win32.Shiz.atf[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.5210884, AVAST4: Win32:Malware-gen )[/LIST][/LIST]