Запрашивает номер телефона в браузере и не даёт устанавливать антивирусы [Trojan.Win32.Cidox.ajkz ]

Вот такая проблема у знакомой. Пожалуйста, помогите.

Антивирусы (Касперский, ESET, DrWeb) проблему видят, находят заражённые файлы, удаляют, но они возвращаются вновь.

Перманентно появляются запреты на скачивание файлов из интернета и установку антивирусов.

Логи прилагаю.

Уважаемый(ая) [B]Konstantin Kovalenko[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Documents and Settings\Мамочка\Мои документы\AppData\exp.exe','');
QuarantineFile('C:\WINDOWS\system32\exp.dll','');
DeleteFile('C:\WINDOWS\system32\exp.dll','32');
DeleteFile('C:\Documents and Settings\Мамочка\Мои документы\AppData\exp.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','~backup~');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [~backup~] C:\Documents and Settings\Мамочка\Мои документы\AppData\exp.exe
O20 - AppInit_DLLs: C:\WINDOWS\system32\exp.dll
[/CODE]

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Скачайте [url="http://malwarebytes.org/mbam-download-exe-random.php"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL], установите (во время установки откажитесь от использования [B]Пробной версии[/B]), обновите базы, выберите "[b]Perform Full Scan[/b]" ("[B]Полное сканирование[/B]"), нажмите "[b]Scan[/b]" ("[B]Сканирование[/B]"), после сканирования - [b]Ok[/b] - [b]Show Results[/b] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]mbam-log-2012-11-09 (07-32-51).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B].[/URL]

Большое спасибо, Михаил.

Вроде всё сделал, как Вы указали, прилагаю логи.
Карантин выслал.

Что-то нужно дальше делать?

1. Отключите восстановление системы. для этого нажмите Пуск > Пpогpаммы > Стандаpтные > Пpоводник Windows. Кликнуть пpавой кнопкой мыши на "Мой компьютеp". Выбpать "Свойства".
Вкладка "Восстановление системы". Поставить птичку на "Запpетить восстановление системных файлов на всех дисках" Hажать "Пpименить". Появится сообщение, пpедупpеждающее об удалении всех точек восстановления. Подтвеpдить, нажав "ОК".

2. Создайте точку восстановления системы для этого нажмите Пуск=>Все программы=>Стандартные=>Служебные=>Восстановление системы. В окне Восстановление системы выберете "Создать точку восстановления" задайте ей имя и нажмите "Создать".

3. Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 7
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\PerformerSoft\PC Performer (PUP.Optional.PCPerformer.A) -> Действие не было предпринято.
HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято.
HKLM\SOFTWARE\PerformerSoft\PC Performer (PUP.Optional.PCPerformer.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 0M1S1H1K2U -> Действие не было предпринято.

Обнаруженные папки: 4
C:\Documents and Settings\All Users\Application Data\IBUpdaterService (PUP.InstallBrain) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\DealPly (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\DealPly\UpdateProc (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\File Scout (PUP.Optional.FileScout.A) -> Действие не было предпринято.

Обнаруженные файлы:
C:\Documents and Settings\Мамочка\Application Data\DealPly\UpdateProc\UpdateTask.exe (PUP.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\File Scout\filescout.exe (Trojan.PUP.Optional.FileScout.A) -> Действие не было предпринято.
C:\Program Files\File Scout\filescout.exe (Trojan.PUP.Optional.FileScout.A) -> Действие не было предпринято.
C:\Documents and Settings\All Users\Application Data\IBUpdaterService\repository.xml (PUP.InstallBrain) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\DealPly\UpdateProc\config.dat (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\DealPly\UpdateProc\src.dat (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\DealPly\UpdateProc\STTL.DAT (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\DealPly\UpdateProc\TTL.DAT (PUP.Optional.DealPly.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\File Scout\filescout.exe (PUP.Optional.FileScout.A) -> Действие не было предпринято.
C:\Documents and Settings\Мамочка\Application Data\File Scout\uninst.exe (PUP.Optional.FileScout.A) -> Действие не было предпринято.
[/CODE]

4. После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Точку восстановления создал.

Всё, что Вы сказали — удалил.

Выкладываю лог MBAM. (Я правильно понял, что он нужен? Или AVZ и HiJackThis тоже нужны?)

Жду дальнейших указаний. :)

Проверьте эти файлы на [url=http://www.virustotal.com/index.html]virustotal[/url]
кнопка [b]Выбрать файл[/b] (Choose File) - ищите нужный файл у вас в системе - [b]Открыть[/b] (Browse) - [b]Проверить[/b] (Scan it!). Нажать на кнопку [b]Повторить анализ[/b] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

[CODE]
C:\Documents and Settings\Мамочка\Application Data\Real\Update\UpgradeHelper\RealPlayer\10.40\agent\stub_data\stubinst_pkg_en-eu.cab
[/CODE]

Проверено.

[url]https://www.virustotal.com/ru/file/88c14fbf33ceb7dc0d2da273fed351132ca0b6b652bee30559b3c2cebd19eb70/analysis/1377619938/[/url]

Удаление этого файла на ваше усмотрение. Что с проблемой?

[QUOTE=mike 1;1032859]Удаление этого файла на ваше усмотрение. Что с проблемой?[/QUOTE]Удалил на всякий случай. :)

Установил ESET NOD32, он вот такое находит:
[CODE]C:\AppData\exp.exe - модифицированный Win32/Kryptik.BIVV троянская программа - очищен удалением - изолирован[/CODE]

Сделайте лог UVs ([url]http://virusinfo.info/showthread.php?t=121767[/url])

Сделано.

1) Отключите антивирус и фаервол.

2) [URL="http://virusinfo.info/showthread.php?t=121769"]Выполните скрипт в uVS [/URL]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

В процессе выполнения скрипта UVs будет предложено удалить [B]Lyrmix[/B] согласитесь.
[CODE]
;uVS v3.80.16 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
breg

exec C:\Program Files\Lyrmix\uninstall.exe
delall %SystemDrive%\DOCUME~1\2B9E~1\APPLIC~1\DEALPLY\UPDATE~1\UPDATE~1.EXE
zoo %SystemDrive%\PROGRAM FILES\UNINSTALL TOOL\UNINSTALLTOOL.EXE
chklst
delvir

deltmp
restart
[/CODE]

3) Компьютер перезагрузиться. Папку ZOO заархивируйте в zip архив и отправьте по ссылке в вашей теме "[B]Прислать запрошенный карантин[/B]".

4) Сделайте логи AVZ.

5) Сделайте логи RSIT

[LIST][*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]32 разрядная версия windows[/URL][/B], то скачайте [url=http://safezone.cc/random/RSIT.exe][B]Random's System Information Tool (RSIT)[/B][/url] или с [url="http://images.malwareremoval.com/random/RSIT.exe"]зеркала[/url] [*]Если у вас [B][URL="http://windows.microsoft.com/ru-ru/windows-vista/32-bit-and-64-bit-Windows-frequently-asked-questions"]64 разрядная версия windows[/URL][/B], то необходимо скачать эту версию [URL="http://safezone.cc/random/RSITx64.exe"][B]Random's System Information Tool(RSIT)x64[/B][/URL] или с [URL="http://images.malwareremoval.com/random/RSITx64.exe"]зеркала[/URL][/LIST]
Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.

Выполнил.

Заархивировал ZOO, отправил.

Логи прилагаю.

1. Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
QuarantineFileF('C:\AppData', '*', true, ' ', 0, 0);
DeleteFile('C:\Documents and Settings\Мамочка\Application Data\Mozilla\Firefox\Profiles\lr6sympd.default\searchplugins\ticno.xml','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

2. [LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Search"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[R1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Выполнил скрипт.

При попытке прислать карантин выдаёт:
[QUOTE]Результат загрузки
Ошибка загрузки. Данный файл уже был загружен[/QUOTE]
Прилагаю к сообщению.

Отчёт AdwCleaner прилагаю.

1. [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Delete"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST][B]Внимание: [COLOR="Red"]Для успешного удаления может потребоваться [U]перезагрузка компьютера[/U]!!![/COLOR][/B]

2. Запакуйте папку [B]C:\AppData[/B] в zip архив с паролем [B]virus[/B] и отправьте согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы.

[QUOTE=mike 1;1032951][B][COLOR="Blue"]C:\AdwCleaner[S1].txt[/COLOR][/B]
…
Запакуйте папку [B]C:\AppData[/B] в zip архив с паролем [B]virus[/B] и отправьте согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы.[/QUOTE]
Такого файла нет, есть R1 и S0, оба прилагаю.

Папка [B]C:\AppData[/B] — совершенно пуста, там ничего нет.

Что сейчас с проблемой?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Антивирус еще ругается на файлы?

[QUOTE=mike 1;1032957]Что сейчас с проблемой?

Антивирус еще ругается на файлы?[/QUOTE]ESET считает, что компьютер девственно чист. :)

Спасибо Вам, Михаил, за Вашу помощь и терпение. Помоги Бог в Ваших делах.

Честно признаться — знай я, какой зоопарк на компьютере моей знакомой и что стоит его зачистить, просто переустановил бы Windows. Но теперь всё вычищено, благодаря Вам и никаких гадостей не осталось.

Ещё раз огромная благодарность. :)

Спасибо стараюсь. Учителя VirusInfo научили. :)

1. Деинсталлируйте MBAM. Пуск--Панель управления--Установка и удаление программ
Находим там Malwarebytes' Anti-Malware и нажимаем удалить.

2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

3. Смените пароли на веб ресурсы.

4. [url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\мамочка\\мои документы\\appdata\\exp.exe - [B]Trojan.Win32.Cidox.ajkz[/B] ( BitDefender: Gen:Variant.Graftor.91179 )[/LIST][/LIST]