В папке SYSTEM32 постоянно плодятся зараженные файлы .exe. Не пускает на сайты антивирусов

Здравствуйте, господа!

Прошу помощи в борьбе с вирусами. NOD32, Dr.Web не смогли помочь.
Симптомы следующие:
- IE 8.0 грузится со второго, третьего, а то и только с пятого раза. При первой и т.д. загрузке вылетает с ошибкой;
- Не могу загрузить сайты антивирусов в том числе и Ваш сайт ([url]http://virusinfo.info);[/url]
- В папке WIDOWS \ SYSTEM32 постоянно плодятся файлы .exe. При удалении антивирусом или вручную они создаются заново (утверждать не могу, но субъектино сложилось ощущение, что они создаются при загрузке IE 8).

Надеюсь на Вашу помощь.

Здравствуйте.

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,\\?\globalroot\systemroot\system32\qqhriap.exe,\\?\globalroot\systemroot\system32\b065Czu.exe,\\?\globalroot\systemroot\system32\ueOFKvm.exe,\\?\globalroot\systemroot\system32\HYQEONB.exe,\\?\globalroot\systemroot\system32\TpT4s5a.exe,\\?\globalroot\systemroot\system32\7gsl9BW.exe,\\?\globalroot\systemroot\system32\a23RT2D.exe,\\?\globalroot\systemroot\system32\0WIqimK.exe,C:\WINDOWS\system32\jkrjvr.exe,C:\WINDOWS\system32\2cde3b41.exe,C:\WINDOWS\system32\snlurp.exe,[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('\\?\globalroot\systemroot\system32\ueOFKvm.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\qqhriap.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\b065Czu.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\a23RT2D.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\TpT4s5a.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\HYQEONB.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\7gsl9BW.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\0WIqimK.exe','');
QuarantineFile('C:\WINDOWS\system32\2cde3b41.exe','');
QuarantineFile('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe','');
DeleteFile('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
DeleteFile('C:\WINDOWS\system32\2cde3b41.exe');
DeleteFile('\\?\globalroot\systemroot\system32\0WIqimK.exe');
DeleteFile('\\?\globalroot\systemroot\system32\7gsl9BW.exe');
DeleteFile('\\?\globalroot\systemroot\system32\HYQEONB.exe');
DeleteFile('\\?\globalroot\systemroot\system32\TpT4s5a.exe');
DeleteFile('\\?\globalroot\systemroot\system32\a23RT2D.exe');
DeleteFile('\\?\globalroot\systemroot\system32\b065Czu.exe');
DeleteFile('\\?\globalroot\systemroot\system32\qqhriap.exe');
DeleteFile('\\?\globalroot\systemroot\system32\ueOFKvm.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\0WIqimK.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\7gsl9BW.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\HYQEONB.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\TpT4s5a.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\a23RT2D.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\b065Czu.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\qqhriap.exe');
DelAutorunByFileName('\\?\globalroot\systemroot\system32\ueOFKvm.exe');
DelAutorunByFileName('C:\WINDOWS\system32\2cde3b41.exe');
DelAutorunByFileName('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

Повторите логи.

А также

Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.

Всем, доброго дня!

IE стал грузится с первого раза и без ошибок, но стал работать на столько медленно, что можно «выспаться» пока загрузит страничку, страницы антивирусов и вашу по прежнему не грузит.

Подозрительные файлы в SYSTEM32 остались. (rqvwjjm.exe, vsffmah.exe, xylolsn.exe, snlurp.exe)

Высылаю второй карантин
Quarantine.zip - сделан по вашей инструкции (сначало карантин, потом «Повторите логии»)
Quarantine2.zip – сделан после повтора логов

Спасибо за помощь!

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\Documents and Settings\IBVoronkova\Application Data\sdra64.exe','');
QuarantineFile('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe','');
QuarantineFile('C:\Program Files\plugin.exe','');
QuarantineFile('C:\Program Files\Mozilla Firefox\setupapi.dll','');
DeleteFile('C:\Program Files\plugin.exe');
DeleteFile('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
DeleteFile('C:\Documents and Settings\IBVoronkova\Application Data\sdra64.exe');
DeleteFile('C:\Documents and Settings\EAKarmolina\DoctorWeb\Quarantine\PopularScreenSaversFWBInitialSetup1.0.0.15-3[1].cab');
DelAutorunByFileName('C:\Documents and Settings\IBVoronkova\Application Data\sdra64.exe');
DelAutorunByFileName('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
DelAutorunByFileName('C:\Program Files\plugin.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine2.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

А также

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Common Files\keylog.txt');
QuarantineFile('C:\WINDOWS\system32\snlurp.exe','');
DeleteFile('C:\WINDOWS\system32\snlurp.exe');
QuarantineFile('C:\WINDOWS\system32\xylolsn.exe','');
DeleteFile('C:\WINDOWS\system32\xylolsn.exe');
QuarantineFile('C:\WINDOWS\system32\vsffmah.exe','');
DeleteFile('C:\WINDOWS\system32\vsffmah.exe');
QuarantineFile('C:\WINDOWS\system32\rgvwjjm.exe','');
DeleteFile('C:\WINDOWS\system32\rgvwjjm.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

quarantine2.zip (сообщение #5) – отправлен
virus.zip (сообщение #6) – отправлен

IE продолжает тормозить

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Mozilla Firefox\setupapi.dll');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
DeleteFile('C:\Documents and Settings\IBVoronkova\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи

Скорость работы IE нормализовалась

Пофиксите в HiJack
[CODE]O4 - Startup: wwwznv32.exe[/CODE]Новый лог HiJack подготовьте

[QUOTE=thyrex;670586]Пофиксите в HiJack
[CODE]O4 - Startup: wwwznv32.exe[/CODE]Новый лог HiJack подготовьте[/QUOTE]

По моему пофиксить не получилось

Сделайте [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]

[QUOTE=thyrex;670597]Сделайте [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url][/QUOTE]
В связи с предостерегающими сообщениями по вашей ссылке, прежде чем запускать предложенную программу хочу спросить...
в системе обнаружен файл "C:\WINDOWS\Prefetch\WWWZNV32.EXE-119FC880.pf", может в нем собака порылась?

Предостерегающие сообщения касались [B]самостоятельного удаления найденного[/B]

Результат работы программы Malwarebytes Antimalware

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] все, [B]кроме последней строки[/B]

C:\WINDOWS\system32\sfcfiles.dll замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

После этого сделайте новый лог MBAM

лог MBAM и, на всякий случай, логи по HiJack и AVZ

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\cuifh.sys','');
DeleteService('ljvmpeot');
DeleteFile('C:\WINDOWS\System32\drivers\cuifh.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте только новые логи AVZ

логи AVZ

Похоже чисто. Что с проблемой?

Спасибо, огромное!

- IE 8.0 грузится с первого раза;
- Работает на нормальной скорости;
- Сайты антивирусов в том числе и Ваш сайт ([url]http://virusinfo.info[/url]) грузятся нормально;
- В папке WIDOWS \ SYSTEM32 файлы .exe больше не плодятся.

Так же передаю благодарность, и воздушный поцелуй всем кто принял участие в решении проблемы от девушки Иринки, для которой и чистился компьютер.

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все новые патчи
Установите [url="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/url] или удалите старый

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]39[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\ibvoronkova\главное меню\программы\автозагрузка\wwwznv32.exe - [B]Trojan.Win32.Jorik.Bredolab.bh[/B] ( DrWEB: Trojan.Botnetlog.126, BitDefender: Trojan.Generic.4501595, AVAST4: Win32:Crypt-GWI [Drp] )[*] c:\program files\internet explorer\setupapi.dll - [B]Trojan.Win32.BHO.aihr[/B] ( DrWEB: Trojan.BhoSiggen.3723, NOD32: Win32/Agent.OSS trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\program files\mozilla firefox\setupapi.dll - [B]Trojan.Win32.BHO.aihr[/B] ( DrWEB: Trojan.BhoSiggen.3723, NOD32: Win32/Agent.OSS trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\rgvwjjm.exe - [B]Trojan.Win32.Jorik.Bredolab.bh[/B] ( DrWEB: Trojan.Botnetlog.126, BitDefender: Trojan.Generic.4501595, AVAST4: Win32:Crypt-GWI [Drp] )[*] c:\windows\system32\rgvwjjm.exe - [B]Trojan.Win32.Jorik.Shiz.ax[/B] ( DrWEB: Trojan.PWS.Ibank.53 )[*] c:\windows\system32\snlurp.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.PWS.Ibank.53, BitDefender: Gen:Trojan.Heur.FU.gq0@aWO0X3ji, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\vsffmah.exe - [B]Trojan.Win32.Jorik.Shiz.ax[/B] ( DrWEB: Trojan.PWS.Ibank.53 )[*] c:\windows\system32\xylolsn.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.PWS.Ibank.53, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\xylolsn.exe - [B]Trojan.Win32.BHO.aihr[/B] ( DrWEB: Trojan.BhoSiggen.3723, NOD32: Win32/Agent.OSS trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\2cde3b41.exe - [B]Trojan.Win32.Jorik.Shiz.at[/B] ( DrWEB: Trojan.Siggen1.63837, AVAST4: Win32:Malware-gen )[*] \\?\globalroot\systemroot\system32\b065czu.exe - [B]Backdoor.Win32.Shiz.kx[/B] ( DrWEB: Trojan.MulDrop1.17819, BitDefender: Trojan.Generic.4078056, AVAST4: Win32:Malware-gen )[/LIST][/LIST]