Помогите вылечить от вируса Trojan.Win32.Generic [Trojan-Downloader.Win32.AdLoad.oktk ]

[fisherEAV]

Добрый день! Подцепил вирус Trojan.Win32.Generic. При обнаружение его Касперский просит произвести проверку с перезагрузкой ПК, но после проверки и перезагрузки вирус все равно находится в системе.

[Info_bot]

Уважаемый(ая) fisherEAV, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Сомнение]

Здравствуйте!

Вам необходимо:

1. Выполнить следующий скрипт в AVZ:

begin
 QuarantineFile('C:\Documents and Settings\Client\Local Settings\Application Data\svshost\svshost.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','qwdwudzyrj');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\xcdpjgzsle','command');
 DeleteFile('C:\Documents and Settings\Client\Local Settings\Application Data\svshost\svshost.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "svshost.job" /F', 0, 15000, true);
 ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 RebootWindows(true);
end.

Компьютер будет перезагружен.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху данной темы.

2. Пофиксите в HiJackThis (используйте тот, который находится в папке с AutoLogger'ом):

O4 - MSConfig\startupreg:  [xcdpjgzsle] cmd /c start "" "http://thatmi.ru/?utm_source=uoua03&utm_content=8793b47ee3853535722dc12f5e31f9c4" (2015/04/08)
O17 - HKLM\System\CSS\Services\Tcpip\..\{2643723A-DC2E-43FA-ADEB-09741973BA24}: NameServer = 108.61.170.121
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{2643723A-DC2E-43FA-ADEB-09741973BA24}: NameServer = 108.61.170.121
O17 - HKLM\System\ControlSet003\Services\Tcpip\..\{2643723A-DC2E-43FA-ADEB-09741973BA24}: NameServer = 108.61.170.121

3. Удалите ContentProtector через "Установку и удаление программ".

4. Сами вносили изменения?

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 173.15.39.253:80
O1 - Hosts: 192.166.0.3 ssf-ora10as

5. Перетащите лог Check_Browsers_LNK.log из папки с AutoLogger'ом на утилиту ClearLNK, как показано на картинке.
Лог результата работы программы прикрепите в ответном письме.

6. Сделайте и пришлите в ответном сообщении лог AdwCleaner и новые логи AutoLogger'а.

[fisherEAV]

Спасибо за быстрый ответ. Высылаю необходимые логи.

- - - - -Добавлено - - - - -

Сами вносили изменения?
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 173.15.39.253:80
O1 - Hosts: 192.166.0.3 ssf-ora10as

Вносил сам изменение O1 - Hosts: 192.166.0.3 ssf-ora10as. R1 -нет

[Сомнение]

1. Удалите все найденное AdwCleaner'ом.
Потребуется перезагрузка компьютера. Лог сформированный после удаления предоставьте в ответном сообщении.

2. Пофиксите в HiJackThis (используйте тот, который находится в папке с AutoLogger'ом):

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = 173.15.39.253:80

3. Выполнить следующий скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZPMStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ihctrl32.dll','');
 QuarantineFile('C:\Documents and Settings\Client\Local Settings\Application Data\svshost\svshost.exe','');
 DeleteFile('C:\Documents and Settings\Client\Local Settings\Application Data\svshost\svshost.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "svshost.job" /F', 0, 15000, true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер будет перезагружен.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху данной темы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\client\local settings\application data\svshost\svshost.exe - Trojan-Downloader.Win32.AdLoad.oktk