monoca32.exe

[William-Rast]

Здравствуйте.
Будьте добры, помогите, пожалуйста. Симптомы те же, что и у других. Зависает проводник, ненадолго помогает его перезагрузка.

[olejah]

Правила выполнить сможете?

[William-Rast]

Olejah, смогу. Уже всё скачал. В процессе.

Добавлено через 3 часа 11 минут

Добавил логи. Помогите, пожалуйста.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Windows\system32\d402086d.exe,
O4 - Startup: monoca32.exe

Выполните скрипт в АВЗ в безопасном режиме -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\PROGRA~1\TOTALV~1\Flv.ax','');
 QuarantineFile('C:\Users\William Rast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup-\monoca32.exe','');
 QuarantineFile('C:\Users\William Rast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\monoca32.exe','');
 QuarantineFile('C:\Windows\system32\d402086d.exe','');
 QuarantineFile('C:\Windows\system32\sidebar32.exe','');
 DeleteFile('C:\Windows\system32\sidebar32.exe');
 DeleteFile('C:\Windows\system32\d402086d.exe');
 DeleteFile('C:\Users\William Rast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\monoca32.exe');
 DeleteFile('C:\Users\William Rast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup-\monoca32.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Повторите логи.

[William-Rast]

Попытался загрузить запрошенный файл.
Результат загрузки: Ошибка загрузки. Данный файл уже был загружен

Повторил логи.

[olejah]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

O4 - HKCU\..\Policies\Explorer\Run: [Secure Star] C:\Windows\system32\sidebar32.exe
R3 - URLSearchHook: (no name) -  - (no file)

Выполните скрипт в АВЗ в безопасном режиме -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFile('C:\Users\William Rast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup-\monoca32.exe');
 DeleteFile('C:\Windows\system32\sidebar32.exe');
 BC_ImportAll;
 ExecuteSysClean;     
 ExecuteWizard('TSW',2,2,true);   
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Повторите логи.

Пробуйте загрузить карантин.

[William-Rast]

Все сделал.
Карантин снова не загрузился. Похоже архив пустой.
Повторил логи.

[olejah]

Как состояние у компьютера? Звери умерли.

[William-Rast]

Olejah, вроде бы все хорошо. Проводник "кушает" 25% ЦП. Это ведь нормально?

[olejah]

Сделайте лог MBAM на всякий случай, не хотелось бы что-либо упустить.

[William-Rast]

Добавил лог MBAM

[olejah]

Удалите в MBAM -

Зараженные файлы:
C:\Users\William Rast\AppData\Local\Temp\~TME7A2.tmp (Rootkit.Agent) -> No action taken.
C:\Users\William Rast\Desktop\h\backups\backup-20100730-125550-431-monoca32.exe (Trojan.Dropper) -> No action taken.
C:\Users\William Rast\AppData\Roaming\netprotocol.exe (Trojan.Agent) -> No action taken.

- Повторите лог MBAM

- вот эти файлы Вам знакомы, доверяете им? -

E:\Soft\Nero\Activation\Nero 9.0 HQ License maker manager 5.55 BetaMaster.exe (Trojan.Agent) -> No action taken.
E:\Разобрать!\Новая папка (3)\SuperPuperMegaFerma\SetupFarmCraft.exe (Trojan.Spambot) -> No action taken.
E:\Разобрать!\Новая папка (3)\SuperPuperMegaFerma\SetupFarmFrenzy.exe (Trojan.Spambot) -> No action taken.

[William-Rast]

Удалил все.

Повторяю лог MBAM. Все чисто.

Большое спасибо за помощь! Незнаю чтобы делал без вашей помощи

[olejah]

Самодеятельностью занимаетесь? Сдаётся мне Вас можно выписывать, согласны?

[William-Rast]

Olejah, прости за самодеятльность.
Выписывать надо, если вы считаете это нужным.