Модификация Trojan-Ransom

Здравстуйте
Поймал недавно вирус. Выходит окно о том стоит нелицензинная ОС Windows и предложением активации по смс. После проверки AVPtool находит множество вирусов, в том чиле модификацию Trojan-Ransom.Win32.Agent.После удаления AVPtool окно изчезло,но есть подозрения что что то осталось.

Логи прилагаю.Заранее благодарен

Сделайте лог Gmer!!!

Логи gmer`a прикрепил

Сохраните текст ниже как cleanup.bat в ту же папку, где находится kk4z5ixp.exe (gmer)

[CODE]kk4z5ixp.exe -del service puoyi
kk4z5ixp.exe -del service qglrwfgs
kk4z5ixp.exe -del service snfpdiv
kk4z5ixp.exe -del service xnjhwf
kk4z5ixp.exe-del service xrflgclox
kk4z5ixp.exe -del file "C:\WINDOWS\system32\yyoafjwh.dll"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\qglrwfgs"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\snfpdiv"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xnjhwf"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xrflgclox"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\puoyi"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\qglrwfgs"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\snfpdiv"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xnjhwf"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xrflgclox"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\puoyi"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\cyfmu"
kk4z5ixp.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\cyfmu"
kk4z5ixp.exe -reboot[/CODE]

И запустите cleanup.bat .Компьютер перезагрузится. Сделать новый лог gmer

Новый лог gmer`a

Чисто, что с проблемой?

в avz
нестандартный диспетчер задач "TASKMAN.EXE"
Подмена диспетчера задач

[size="1"][color="#666686"][B][I]Добавлено через 39 секунд[/I][/B][/color][/size]

сервисы удалились

Выполните скрипт в avz
[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
RebootWindows(true);
end.[/code]
ПК перезагрузится.

после перезагрузки тоже самое

Сделаете лог [url=http://virusinfo.info/showpost.php?p=493584&postcount=2]mbam [/url]

Логи mbam

Что с проблемой?

тоже самое (

Выполните скрипт из сообщения #8.

к сожалению все по прежнему

Попробуйте так
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
RebootWindows(true);
Executerepair(6);
Executerepair(9);
RebootWindows(true);
end.[/CODE]

не помогло (

Сделайте комплект логов, будем искать.

ДЛя начала выполните

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\03.tmp','');
DeleteService('nvfbty');
DeleteFile('C:\WINDOWS\system32\03.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Карантин выслал,вот комплект логов

Отключите восстановление системы!!! Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
RebootWindows(true);
Executerepair(6);
Executerepair(9);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]
Отпишитесь

К сожалению TASKMAN остался и подмена тудаже...попробую выполнить восстановление ос с диска

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 4 минуты[/I][/B][/color][/size]

К сожалению, все на своих местах так и осталось...
Неужели нет никакой возможности обезвредить эту заразу?(

Сделайте комплект логов, + лог MBAM

Если, можно то отпишусь в понедельник, надеюсь тема не пропадет...

Конечно можно! За тему не переживайте, сохраним.:)

Спасибо огромное всем за помошь!
Проблему решил, удалив вручную из ветки Winlogon`a ключ Taskman.
После ребута проблема ушла
Проверил AVPtool`ом все чисто...
Сейчас отключил в реестре автозапуск со всех носителей

[size="1"][color="#666686"][B][I]Добавлено через 42 минуты[/I][/B][/color][/size]

Странно только, почему скрипт его не удалил....)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]