Неубиваемый Trojan.Alipop.3 другие трояны и ошибки в работе IE

Printable View

25.01.2011, 21:50
parenek43

Неубиваемый Trojan.Alipop.3 другие трояны и ошибки в работе IE

При попытке входа на какой либо сайт выходит ошибка в IE и дальнейшая работа прекращается. Проверка DrWeB CureIT выявляет Trojan.Alipop.3 в MBR и несколько других троянов в системных папках. Если после "успешного лечения" перезагрузить компьютер и попробовать запустить через IE какой-либо сайт все повторяется. И зараженные файлы на своих местах, хотя все было пролечено и файлы удалены.
Восстановление системы отключено.
26.01.2011, 01:13
миднайт

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\DOWNLO~1\XCrypt10.ocx','');
QuarantineFile('C:\WINDOWS\system32\waiuaprnlib.dll','');
QuarantineFile('C:\WINDOWS\nhl.exe','');
QuarantineFile('C:\Program Files\owwcwi.exe','');
QuarantineFile('C:\Program Files\Common Files\System\sdb.exe','');
QuarantineFile('C:\WINDOWS\srchsdst\svchast.exe','');
QuarantineFile('C:\WINDOWS\system32\iSql\H002.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\DOCUME~1\3AAC~1\LOCALS~1\Temp\U3kp4ebU.sys','');
QuarantineFile('c:\windows\system32\waiuaprnlib.dll','');
BC_ImportAll;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Повторите логи avz.
26.01.2011, 03:17
thyrex

А также

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
26.01.2011, 07:35
parenek43

Логи авз сделал новые. Комбофикс во время работы два раза компьютер перезагружал.
27.01.2011, 09:59
parenek43

Проблема так и не решается. Антивирусы не могут окончательно вылечить заразу. Что-то не так с моими логами или карантин не получили?
27.01.2011, 10:42
миднайт

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\windows\ali.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\vdkxnzc2.sys','');
QuarantineFile('C:\WINDOWS\system32\waiuaprnlib.dll','');
DeleteService('hackfans');
QuarantineFile('C:\WINDOWS\system32\iSql\H002.exe','');
DeleteService('wusbsvc');
QuarantineFile('C:\WINDOWS\nhl.exe','');
DeleteService('WMMNetworkJbr');
QuarantineFile('C:\Program Files\owwcwi.exe','');
DeleteService('SPOOLSVC');
QuarantineFile('C:\Program Files\Common Files\System\sdb.exe','');
DeleteService('rYHlGiiZ');
QuarantineFile('C:\WINDOWS\system32\TNWSBEXR\JAYZ.exe','');
DeleteService('MSUpdqteok');
QuarantineFile('C:\WINDOWS\srchsdst\svchast.exe','');
QuarantineFile('C:\WINDOWS\System32\waiuapsclib.dll','');
DeleteFile('c:\windows\system32\waiuaprnlib.dll');
DeleteFile('C:\WINDOWS\System32\waiuapsclib.dll');
DeleteFile('C:\WINDOWS\srchsdst\svchast.exe');
DeleteFile('C:\WINDOWS\system32\TNWSBEXR\JAYZ.exe');
DeleteFile('C:\Program Files\Common Files\System\sdb.exe');
DeleteFile('C:\Program Files\owwcwi.exe');
DeleteFile('C:\WINDOWS\nhl.exe');
DeleteFile('c:\windows\ali.exe');
DeleteFile('C:\WINDOWS\system32\iSql\H002.exe');
DeleteFile('C:\WINDOWS\system32\waiuaprnlib.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WaiuSvc\Parameters','ServiceDll');
DeleteFileMask('C:\WINDOWS\system32\TNWSBEXR', '*.*', true);
DeleteDirectory('C:\WINDOWS\system32\TNWSBEXR');
QuarantineFile('c:\windows\system32\1TGHZ4DW\*.*','');
BC_ImportAll;
ExecuteSysClean;
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\wuauserv');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wuauserv', 'ImagePath', 'REG_EXPAND_SZ', '%systemroot%\system32\svchost.exe -k netsvcs');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\BITS', 'ImagePath', 'REG_EXPAND_SZ', '%systemroot%\system32\svchost.exe -k netsvcs');
ExecuteWizard('TSW',2,2,true);
BC_Activate;
AddToLog('MD5 = ' + CalkFileMD5('c:\windows\ali.exe'));
SaveLog('c:\avz00.log');
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
c:\avz00.log прикрепите.
fixmbr знаете как делать?
27.01.2011, 10:57
parenek43

Если подскажите, как сделать или если есть в правилах, то сделаю.
27.01.2011, 11:37
parenek43

Скрипты выполнил. Карантин закачал. Выкладываю порцию новых логов. Как сделать fixmbr нигде не нашел. Жду указаний. Большое спасибо, что помогаете в трудную минуту!
27.01.2011, 12:36
polword

[URL="http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/bootcons_fixmbr.mspx?mfr=true"]http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/bootcons_fixmbr.mspx?mfr=true[/URL]
[URL="http://support.microsoft.com/kb/307654/ru"]http://support.microsoft.com/kb/307654/ru[/URL]
[URL="http://support.microsoft.com/kb/314058/ru"]http://support.microsoft.com/kb/314058/ru[/URL]
[URL="http://support.microsoft.com/?scid=kb%3Bru%3B314058&x=13&y=5"]http://support.microsoft.com/?scid=kb%3Bru%3B314058&x=13&y=5[/URL]
27.01.2011, 14:50
parenek43

MBR пофиксил.
27.01.2011, 14:53
polword

- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];
27.01.2011, 15:22
parenek43

Повторный лог выполнил.
27.01.2011, 15:58
parenek43

сейчас запустил сканер Drweb и он обнаружил что эта гадость опять в MBR. Снова фиксить?
27.01.2011, 17:27
thyrex

Сделайте лог [url]http://support.kaspersky.ru/viruses/solutions?qid=208636926[/url], а потом снова ComboFix
28.01.2011, 08:40
parenek43

TDSSKiller сказал что угроз не обнаружено. Комбофиксом тоже просканировал. Логи прикладываю.
28.01.2011, 08:56
polword

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\windows\system32\waivapsclib.dll
c:\windows\system32\drivers\tcpz-x86d.sys
c:\windows\system32\waivaprnlib.dll
c:\windows\system32\kgyg.#xe
c:\windows\system32\IA68OA1E\JAYZ.exe
c:\program files\lanmao.#xe

Driver::
WaivSvc
ttbgf
TCPZ

NetSvc::

Folder::
c:\windows\system32\IA68OA1E
c:\windows\system32\13AILLWI
c:\windows\system32\LP1LRD1H
c:\windows\system32\GEIPWFU7
c:\windows\system32\NSHZ2ZDX
c:\windows\system32\IA68OA1E
c:\windows\system32\INHH7PNP
c:\windows\system32\M07ZY1X0
c:\windows\system32\LBUKBASG
c:\windows\system32\2NZ3AD16
c:\windows\system32\1TGHZ4DW
c:\windows\system32\Z1YGE6VC
c:\windows\system32\UIAM8MQ7
c:\windows\system32\UZLCYHWI
c:\windows\system32\AU5HJOKF
c:\windows\system32\AUWOCDRV
c:\windows\system32\ATNV41ZC
c:\windows\system32\8TE2XQ6R
c:\windows\system32\8T4AQGE7
c:\windows\system32\8HCR7ZIR
c:\windows\system32\8H2Y0PP7
c:\windows\system32\7GT5TEWN
c:\windows\system32\7GKDM233
c:\windows\system32\7GBKFRCK
c:\windows\system32\7F1R6GJ0
c:\windows\system32\7FSZZ4QG
c:\windows\system32\62ZGHPUZ
c:\windows\system32\62QNAF1G
c:\windows\system32\62HU238W
c:\windows\system32\6172VSHC
c:\windows\system32\61YAOHOS
c:\windows\system32\51PHH5V8
c:\windows\system32\50GOAU2O
c:\windows\system32\5PN4RF67
c:\windows\system32\5OFDK3EO
c:\windows\system32\5O5KDTM4
c:\windows\system32\4OWR5ITL
c:\windows\system32\4NNYY600
c:\windows\system32\4NE5RV7H
c:\windows\system32\4BLN8GC0
c:\windows\system32\3BCU14JH
c:\windows\system32\3B21UTQW
c:\windows\system32\3YAICEUG
c:\windows\system32\3X0Q422W
c:\windows\system32\3XRXXSAD
c:\windows\system32\2LYEECEV
c:\windows\system32\2LPL61LC
c:\windows\system32\2LGSZQSS
c:\windows\system32\2K60SFZ8
c:\windows\system32\2KX7L36O
c:\windows\system32\18IH4B0I
c:\windows\system32\188OX08X
c:\windows\system32\1WG5FLCH
c:\windows\system32\1V6D7AKX
c:\windows\system32\0VXK0YRE
c:\windows\system32\0VORTNYT
c:\windows\system32\0JV8B72D
c:\windows\system32\0JMG3WAT
c:\windows\system32\0IDNWLHA
c:\windows\system32\ZI3UPAPP
c:\windows\system32\Z5BC6US8
c:\windows\system32\Z51JZK0P
c:\windows\system32\ZT8ZH448
c:\windows\system32\ZHGHXP7S
c:\windows\system32\YH6OQEG7
c:\windows\system32\YHXVJ2NO
c:\windows\system32\Y44C0NR7
c:\windows\system32\Y4VKTCYO
c:\windows\system32\X3MRM053
c:\windows\system32\X3EYFPDK
c:\windows\system32\XRLFWAH3
c:\windows\system32\XRCMPYOK
c:\windows\system32\XR2UIOWZ
c:\windows\system32\WFABZ70J
c:\windows\system32\WE0ISX7Z
c:\windows\system32\WERPLMFG
c:\windows\system32\W1Y626JZ
c:\windows\system32\WQ5NKRNI
c:\windows\system32\VED41CR1
c:\windows\system32\VD3CU0YI
c:\windows\system32\VDUJNP5Y
c:\windows\system32\V01Z3AAI
c:\windows\system32\U0S7WYHX
c:\windows\system32\U0JFPNOE
c:\windows\system32\UOQV67SX
c:\windows\system32\UOH2ZWZE
c:\windows\system32\UCOKHH3X
c:\windows\system32\TCFRA5CD
c:\windows\system32\TB5Y2VJT
c:\windows\system32\TYDGKGND
c:\windows\system32\TNKW10RW
c:\windows\system32\TMB3UPYC
c:\windows\system32\SM1BNE5S
c:\windows\system32\SA8S4YAC
c:\windows\system32\SXG8MJEV
c:\windows\system32\SX6GF7LC
c:\windows\system32\RLEXWSPU
c:\windows\system32\RL44PHWB
c:\windows\system32\R8CL610U
c:\windows\system32\R82TZQ7B
c:\windows\system32\RWAAGBCU
c:\windows\system32\QW0H8ZJA
c:\windows\system32\QK7YQKNT
c:\windows\system32\QKY5J8UA
c:\windows\system32\QJPDCY1Q
c:\windows\system32\Q7WTTI58
c:\windows\system32\P6N1M7EP
c:\windows\system32\P6E8FWL5
c:\windows\system32\PULPWHPP
c:\windows\system32\PUCWP5W4
c:\windows\system32\OU34IU3L
c:\windows\system32\OIALZF74

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
"WaisSvc"=-
"WaitSvc"=-
"WaiuSvc"=-
"WaivSvc"=-

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
28.01.2011, 11:57
parenek43

ComboFix проверил, перезагуил комп и попросил подключение к интернету, в конце он сказал что не может загрузить файл с расширением .htm (имя файла я не записал) и что его нужно загрузить позже вручную.(это все на английском языке) Лог сформировался.
28.01.2011, 12:09
polword

Отключите[B][COLOR="Red"] Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\windows\system32\waitaprnlib.dll
c:\windows\system32\waitapsclib.dll
c:\windows\system32\gouri.bat
c:\windows\ali.exe

Driver::

NetSvc::

Folder::
c:\windows\system32\UO5LIPQC
c:\windows\system32\OH1SS3FL
c:\windows\system32\O5L1CC8E
c:\windows\system32\OTSJTWDX
c:\windows\system32\NIZZBGHH
c:\windows\system32\NHQ735OW
c:\windows\system32\NHHFVUVD
c:\windows\system32\N4OVDFZW
c:\windows\system32\MSVDUZ3G
c:\windows\system32\MSMKNOBW
c:\windows\system32\MSDRGDIC
c:\windows\system32\MGK7XXMV
c:\windows\system32\MGBGQMUC
c:\windows\system32\L3IW76XV
c:\windows\system32\LRPDPR1F
c:\windows\system32\LRGLIGAU
c:\windows\system32\LRKLDS6K
c:\windows\system32\LRBS5HE0
c:\windows\system32\KFI8N1IK
c:\windows\system32\KF8GGQP0
c:\windows\system32\KEZO8FWG
c:\windows\system32\K164QZ0Z
c:\windows\system32\J1YCJO7G
c:\windows\system32\J1PJCDGW
c:\windows\system32\JPW0SXJG
c:\windows\system32\JPN7LNRV
c:\windows\system32\JDUO27VF
c:\windows\system32\IDLWVW2V
c:\windows\system32\I0SDDH6F
c:\windows\system32\I0JK55EV
c:\windows\system32\IZARYULB
c:\windows\system32\INH8GFPU
c:\windows\system32\HN7G83WB
c:\windows\system32\HC4IUYGD
c:\windows\system32\HCVPNNNT
c:\windows\system32\HCMWGCUA
c:\windows\system32\GCD4802Q
c:\windows\system32\GZKLQL68
c:\windows\system32\GYBSJAEP
c:\windows\system32\GNV22I7I
c:\windows\system32\U2O8JY1X
c:\windows\system32\UFFYKRZA
c:\windows\system32\TEWE54F5
c:\windows\system32\T1U1GEQ5
c:\windows\system32\S1DH1R41
c:\windows\system32\SOB4C0G1
c:\windows\system32\RDLMNXHB
c:\windows\system32\R0NASJQ0
c:\windows\system32\QOLY2S1Z
c:\windows\system32\P5P2Y0ED
c:\windows\system32\NSER8QQL
c:\windows\system32\HRCNE0IX
c:\windows\system32\V3EUFMPP
c:\windows\system32\V3417BW5
c:\windows\system32\V2V80Z3M
c:\windows\system32\V2Z8VC0C
c:\windows\system32\U2QGO08R
c:\windows\system32\HABE07FS
c:\windows\system32\TBE3VI5R
c:\windows\system32\SM5GLOV0
c:\windows\system32\7JEV511Y
c:\windows\system32\8WZKP48M
c:\windows\system32\6MS8T1XC
c:\windows\system32\V0NBEGVO
c:\windows\system32\7Z3D1VXF
c:\windows\system32\FXJZAAX2
c:\windows\system32\EXP7HAUE
c:\windows\system32\EYT7CMR3
c:\windows\system32\1UIK4DKJ
c:\windows\system32\YZ1RW7NR
c:\windows\system32\YAT3MFD0
c:\windows\system32\XKZU2NKH
c:\windows\system32\WXH66PXC
c:\windows\system32\WNV1PJ3E
c:\windows\system32\TUUN7C2M
c:\windows\system32\iSql
c:\windows\srchsdst

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qQ"=-

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
28.01.2011, 12:41
parenek43

Новый скрипт выполнил. Логи выкладываю. Вот только странно, перед запуском скрипта отключил восстановление системы. Сейчас после того как ComboFix выполнил скрипт и перезапустил систему, я проверил а восстановление опять включено.
28.01.2011, 13:06
thyrex

Восстановление системы включает ComboFix

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\mywcc090310.#ll
c:\program files\Common Files\Microsoft Shared\360°ІИ«ОАКї.exe
c:\program files\Common Files\Microsoft Shared\360°ІИ«ОАКї.dll

Driver::

Folder::

DDS::
mStart Page: hxxp://www.smaxi.net

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
28.01.2011, 15:34
parenek43

ComboFix скрипт выполнил. Логи прилагаю.
28.01.2011, 16:06
polword

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\program files\Common Files\Microsoft Shared\360°ІИ«ОАКї.dll
c:\program files\Common Files\Microsoft Shared\360°ІИ«ОАКї.exe

Driver::

NetSvc::

Folder::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qQ"=-

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
28.01.2011, 17:40
parenek43

Скрипт выполнил. логи выложил.
28.01.2011, 20:26
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
28.01.2011, 22:28
parenek43

Сканирование выполнил. Были обнаружены зараженные объекты. Лог прикладываю.
28.01.2011, 22:34
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [code]c:\program files\common files\microsoft shared\360°іи«оакї.exe (Spyware.OnlineGames) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\myccdd090310a.exe.vir (Malware.Packer.Gen) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\waitaprnlib.dll.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\waitapsclib.dll.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\SM5GLOV0\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\1TGHZ4DW\e001.#xe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\2NZ3AD16\e001.#xe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\46928\h002.exe.vir (Malware.Packer.Gen) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\46928\jayz.exe.vir (Trojan.Scar) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\72390\a26.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\7Z3D1VXF\a21.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\98156\a23.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\EXP7HAUE\jayz.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\IA68OA1E\d001.exe.vir (Spyware.OnlineGames) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\IA68OA1E\h002.exe.vir (Malware.Packer.Gen) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\S1DH1R41\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\SOB4C0G1\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\T1U1GEQ5\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\TEWE54F5\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\U2O8JY1X\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\UFFYKRZA\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\UO5LIPQC\e001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\UO5LIPQC\jayz.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\WNV1PJ3E\d001.exe.vir (Malware.Packer) -> No action taken.
c:\Qoobox\quarantine\C\WINDOWS\system32\Z1YGE6VC\e001.exe.vir (Malware.Packer) -> No action taken.[/code]
28.01.2011, 22:53
parenek43

Удалил в MBAM указанные записи, после автоматической перезагрузки снова запустил проверку. прикладываю лог.
28.01.2011, 22:59
thyrex

Что с проблемой?
28.01.2011, 23:38
parenek43

Боюсь сглазить. IE ошибки не выдает, страницы открываются. DrWeb не матерится, а точнее ничего не находит. Это значит победа? или надо еще собрать какие-нибудь логи?

[size="1"][color="#666686"][B][I]Добавлено через 27 минут[/I][/B][/color][/size]

DrWeb при полной проверке обнаружил: c:\program files\common files\microsoft shared\360°IN«OAKї.dll BackDoor.PcClient.4794 Это лечится?
29.01.2011, 03:00
Bratez

[QUOTE='parenek43;761210']Это лечится?[/QUOTE]
А DrWeb разве ничего не предлагает?
29.01.2011, 08:16
parenek43

Сделал полную проверку Drweb. Нашел заразу только в архивах карантина созданных Combofix. Все полечил. Больше ничего не нашел.
Огромное спасибо всем кто помогал!!!
29.01.2011, 23:10
polword

- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
30.01.2011, 23:10
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]52[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\common files\\system\\sdb.exe - [B]Trojan-Downloader.MSIL.Agent.ada[/B] ( DrWEB: Trojan.DownLoad2.20340, BitDefender: Trojan.Generic.KD.112729, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\\windows\\ali.exe - [B]Trojan.Win32.Genome.sqfv[/B] ( DrWEB: Trojan.DownLoad2.20188, BitDefender: Gen:Trojan.Heur.PT.bmIfb0XWyoo, NOD32: Win32/TrojanDownloader.VB.OYK trojan, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\\windows\\system32\\waiuaprnlib.dll - [B]Net-Worm.Win32.Kolab.sgr[/B] ( DrWEB: Trojan.MulDrop1.62578, BitDefender: Gen:Variant.TDss.35, NOD32: Win32/TrojanDownloader.Persetco.C trojan, AVAST4: Win32:Alureon-QI [Trj] )[*] c:\\windows\\system32\\waiuapsclib.dll - [B]Net-Worm.Win32.Kolab.sew[/B] ( DrWEB: Trojan.MulDrop1.62301, BitDefender: DeepScan:Generic.Malware.WX!.8C31F4F7, AVAST4: Win32:Alureon-QT [Trj] )[*] c:\\windows\\system32\\1tghz4dw\\e001.#xe - [B]Backdoor.Win32.Krafcot.ajq[/B] ( DrWEB: Trojan.DownLoad.50456, BitDefender: Trojan.Generic.5828308, NOD32: Win32/Agent.OSH trojan, AVAST4: Win32:Agent-AMTI [Trj] )[*] c:\\windows\\system32\\1tghz4dw\\h001.exe - [B]Trojan-Downloader.Win32.Small.bjqy[/B] ( DrWEB: BackDoor.Darkshell.96, BitDefender: Gen:Variant.Graftor.501 )[/LIST][/LIST]