троян

[Diman)]

всем доброго дня ну или ночи)))
я буду краток)
как вылечить "Trojan.WinSpy.440" (C:\WINDOWS\system32\mssfc.dll)
жду помощи)

[olejah]

http://virusinfo.info/pravila.html

[Diman)]

вот логи:

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) - *{09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Documents and Settings\Владелец.C2D8E422C1CF489\Application Data\S85-28348346-HAT83-E3-62366-HASG-1732735\winlogon.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\fqzNymk.exe','');
 QuarantineFile('\\?\globalroot\systemroot\system32\ntfs_ext7.exe','');
 QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 QuarantineFile('C:\Program Files\internet explorer\setupapi.dll','');
 QuarantineFile('C:\Program Files\opera\setupapi.dll','');
 DeleteFile('C:\Program Files\opera\setupapi.dll');
 DeleteFile('C:\Program Files\internet explorer\setupapi.dll');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 DeleteFile('\\?\globalroot\systemroot\system32\ntfs_ext7.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NTFS_ext_drv');
 DeleteFile('\\?\globalroot\systemroot\system32\fqzNymk.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
 DeleteFile('C:\Documents and Settings\Владелец.C2D8E422C1CF489\Application Data\S85-28348346-HAT83-E3-62366-HASG-1732735\winlogon.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Login Services');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Login Services');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Login Services');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Login Services');  
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 ExecuteRepair(8);
 ExecuteRepair(17);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи

[Diman)]

позже пришлю повторные логи...

[olejah]

Внимательно читаем про quarantine.zip. Куда его нужно прислать.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 14
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\internet explorer\\setupapi.dll - Trojan.Win32.Zapchast.cpr ( DrWEB: Trojan.WinSpy.965, BitDefender: Gen:Variant.Buzy.1635, AVAST4: Win32:Patched-TI [Trj] )
  2. c:\\program files\\opera\\setupapi.dll - Trojan.Win32.Zapchast.cpr ( DrWEB: Trojan.WinSpy.965, BitDefender: Gen:Variant.Buzy.1635, AVAST4: Win32:Patched-TI [Trj] )