Вирус блокирует virusinfo.info, безопасный режим, создает папки с запусочными файлами

Вирус блокирует в броузере любую страницу содержащую фразу virusinfo.info. Даже при вводе в гугле этого слова комп виснет наглухо - помогает лишь конпка ресет. Такой же результат только по слову kaspersky. На сайт захожу с другого компа.

невозможно также загрузить безопасный режим - дальше черного экрана дело не идет.
Утилиты cureit и AVP tool от заразы не лечат - они даже не находят вирусов (которые я искал, естественно в обычном режиме. из за чего - написано выше).
Также вирус создает на диске D (не системный) в папке films разные папки с запусочныи файлами под названиями заголовков бульварной прессы (увеличение груди, половых органов и так далее).

Также запускает програмку автораном (значок появляется на панели быстрого запуска) - про пополнение счета и создает соответственный ярлык на рабочем столе.

Нод32,3 с обновленными базами также ничего не находит.
Очень прошу помочь.

Логи прикрепляю

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\mscoco.exe','');
DeleteFile('C:\WINDOWS\system32\mscoco.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=40954[/url]).
Сделайте новые логи.

Карантин оказался пуст. Во время выполнения выше указанного скрипта мелькнуло сообщение "Ошибка карантина"

Зайти на сайт все также невозможно - комп виснет.

Логи:

Убрал из скрипта параметр перезагрузки. ВОт лог выполнения скрипта с ошибками карантина. Может чем то поможет

1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
SDT найдена (RVA=08B520)
Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
SDT = 80562520
KiST = 804E48A0 (284)
Функция NtCreateKey (29) перехвачена (80577925->F74D70E0), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtEnumerateKey (47) перехвачена (80578E1C->F74F5CA2), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtEnumerateValueKey (49) перехвачена (80587691->F74F6030), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtOpenKey (77) перехвачена (80572BFC->F74D70C0), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtQueryKey (A0) перехвачена (80578A1C->F74F6108), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtQueryValueKey (B1) перехвачена (8057303F->F74F5F88), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Функция NtSetValueKey (F7) перехвачена (80582294->F74F619A), перехватчик spei.sys
>>> Функция воcстановлена успешно !
>>> Код перехватчика нейтрализован
Проверено функций: 284, перехвачено: 7, восстановлено: 7
1.3 Проверка IDT и SYSENTER
Анализ для процессора 1
Анализ для процессора 2
Проверка IDT и SYSENTER завершена
1.4 Поиск маскировки процессов и драйверов
Поиск маскировки процессов и драйверов завершен
Драйвер успешно загружен
1.5 Проверка обработчиков IRP
\FileSystem\ntfs[IRP_MJ_CREATE] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_CLOSE] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_WRITE] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_EA] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8ADD41F8 -> перехватчик не определен
\FileSystem\ntfs[IRP_MJ_PNP] = 8ADD41F8 -> перехватчик не определен
Проверка завершена
[COLOR=Red]Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\mscoco.exe)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\mscoco.exe)
Карантин с использованием прямого чтения - ошибка[/COLOR]
Удаление файла:C:\WINDOWS\system32\mscoco.exe
>>>Для удаления файла C:\WINDOWS\system32\mscoco.exe необходима перезагрузка
Автоматическая чистка следов удаленных в ходе лечения программ

Скачайте файл [url]http://rapidshare.com/files/199106177/toto.pif[/url] (это более свежая версия AVZ, но в ней не обновляются базы).
Сохраните в отдельную папку и выполните 2-й стандартный скрипт.
Файл с результатами (virusinfo_syscheck.zip) приложите к теме.

Скрипт выполнил - лог выложил

Пролечитесь, как написано тут [URL]http://support.kaspersky.ru/faq/?qid=208636215[/URL].
И с новым комплектов логов снова к нам. Будем продолжать.

И снова добрый день:)

Пролечился я КидоКиллером, точнее попытался. При скане показало, что комп чист. (Был у меня конфикер когда-то, но я его замочил)

Скрин прилагаю. Также установил все последние обновления для безопасности на винду.

Также при сборе инфы AVZ указало на вот это. Может что-то с ним сделать?
[COLOR=red][FONT=&quot]C:\WINDOWS\system32\ntshrui.dll --> Подозрение на Keylogger или троянскую DLL[/FONT][/COLOR]
[COLOR=red][FONT=&quot]C:\WINDOWS\system32\ntshrui.dll>>> Поведенческий анализ [/FONT][/COLOR]
[COLOR=black][FONT=&quot] Типичное для кейлоггеров поведение не зарегистрировано[/FONT][/COLOR]

Ну и новый комплект логов

up

[size="1"][color="#666686"][B][I]Добавлено через 44 секунды[/I][/B][/color][/size]

Прикреплял логи вчера. Два раза. Сообщение под модерацией и почему то не публикуется. Исправьте неполадки.

Удалите старые логи через мой кабинет, вложения и попробуйте прикрепить...

Я открыл сообщение с логами, извините за задержку.
Удалять и прикреплять заново не нужно.

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Windows NT\Accessories\mswrd6.dat\event.ini\avp.exe .','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.

И поищите по всему диску С файлы:
[code]
*.exe .
[/code]
Именно с точкой на конце через пробел.
Подробная инструкция: [url]http://virusinfo.info/showthread.php?t=4567[/url]

Снова ошибка карантина как в моей авз, так и в той, на которую мне дали ссылку на закачку.

Поискал файлы *.exe .

AVZ показал, что просмотрено 66447, найдено 1461

Сделайте так.
В диалоге AVZ [B]Поиск файлов[/B] для диска C задайте имя файла: *.*
Размер: = 939520
Интересуют такие, которые находятся в папках с расширением ini.
Пришлите нам 2 таких файла, скопировав их в карантин.

Нужно прислать как карантин по красной ссылке, из темы уберите...

Извиняюсь, выслал

[size="1"][color="#666686"][B][I]Добавлено через 1 час 14 минут[/I][/B][/color][/size]

Карантин "долетел"? Или произошел сбой опять? есть потребность выслать еще раз?

Извиняюсь за настырность:)

Ждем ответ ВирЛаба...

Закройте все программы.
Запустите AVZ, включите AVZGuard.
Повторите поиск с теми параметрами что я указал выше.
Удалите найденные файлы, нажимая кнопку [B]Удалить отмеченные файлы[/B].
Перезагрузите компьютер не закрывая AVZ.

[quote=rodmanizer]
Также запускает програмку автораном (значок появляется на панели быстрого запуска) - про пополнение счета и создает соответственный ярлык на рабочем столе.
[/quote]
Скопируйте файл на который этот ярлык указывает в карантин.
Загрузите добавленный файл по ссылке [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.

На ваш сайт уже заходит. На диске D пока папки не создает. Что касается того ярлыка, думаю просто совпадение - удалил ту папку, куда ярлык ссылается - после перезагрузки он не появляется.

Но в безопасный режим все равно не заходит. может проблема в винде (что то заглючило)
В любом случае вот логи

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
ExecuteRepair(10);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEMCurrentControlSetServicesklrgfgwParameters','ServiceDll');
DeleteService('vdi5mzm4');
DeleteService('ticapdrv');
DeleteService('msjmksd');
BC_DeleteSvc('vdi5mzm4');
BC_DeleteSvc('ticapdrv');
BC_DeleteSvc('msjmksd');
SysCleanAddFile('D:\Games\undercover\Support\EAregister.exe');
SysCleanAddFile('C:\Program Files\Download Master\dmaster.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Попробуйте зайти в Безопасный режим.

Установите Adobe Acrobat Reader 9.0 или удалите старый.

В безопасный режим заходит. Большое Спасибо за помощь.

Ребята, вам там платят за ваш тяжкий труд? Если нет, вам надо памятники ставить...

Пункт номер 9 -> [url]http://virusinfo.info/showthread.php?t=30339[/url]

и еще раз добрый день. В общем, на диске D в папке Films продолжаются создаваться подозрительные папки, которые вгружаются в системный процесс - тоесть удалить их нельзя. Можно через АВЗ, но потом они снова появляются. Достаточно быть просто подсоединенным к интернету.

Эти файлы, что в папках выслал в карантине.

У вас, случайно диск D или папка Films как ресурс общего доступа на запись, не открыты?

открыта папка films и еще пару других - у меня на ПК(образно говоря) с ноутом сеть через вай фай.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Я нашел какие то файлы на ПК в папке шаблоны (на диске с в документ енд сеттингс /администратор/ шаблоны/ identity (что то в этом роде) через авз куча файликов с этими названиями папок, которые содавались в папке Филмз. Удалил через авз но не все. Остальное добил с помощью анлокера.

Может зря?:)

Надо отключить для Интернет-поключения Службу доступа к файлам.
И настроить доступ к сетевым ресурсам по паролю.

Службу доступа к файлам отключил. А клиент для сетей майкрософт отключать?

На быструю руку погуглил - рекомендуют...

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\ahead\nero wave editor\presets.txt\copy.ini\qip.exe - [B]Trojan-Dropper.Win32.Agent.aiut[/B][*] c:\program files\xerox\nwwia\nwwia.ico\write.ini\winamp.exe - [B]Trojan-Dropper.Win32.Agent.aiut[/B][*] d:\films\безлимитный интернет\internet explorer unlimited\iexplore.exe - [B]Trojan-PSW.Win32.Delf.dlg[/B][*] d:\films\как увеличить грудь в домашних условиях\увеличение груди без операции, натуральные способы увеличить и приподнять грудь, сделать ее более сексуальной и привлекательной.exe - [B]Trojan-PSW.Win32.Delf.dlh[/B]( BitDefender: Gen:Trojan.Heur.A321DEEBDB )[*] d:\films\читы для counter-strike\aimbot\aimbot.exe - [B]Trojan-PSW.Win32.Delf.dle[/B][*] d:\films\читы для counter-strike\cd hack\cdhack.exe - [B]Trojan-PSW.Win32.Delf.dlf[/B][*] d:\films\читы для counter-strike\dead aim 3.0\dead aim.exe - [B]Trojan-PSW.Win32.Delf.dli[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]