Trojan.Win32.Inject.aohy

[ddimddim]

Приветствую!

Вылезла вот такая гадость в браузере, денег хочет Антивирусы ее не видят. Дополнительный интересный симптом - не дает загружаться в safe mode: при перезагрузке после F8 блокируется клавиатура и не удается выбрать нужный пункт меню; в msconfig отсутствует пункт boot.ini

Буду благодарен, если подскажете как эту гадость победить...

[olejah]

Приветствую!

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
O20 - AppInit_DLLs: H:\WINDOWS\system32\oagzbkk.dll

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 QuarantineFile('H:\WINDOWS\system32\cfuupio.exe','');
 QuarantineFile('H:\WINDOWS\system32\excasnl.exe','');
 QuarantineFile('H:\WINDOWS\system32\hde.dll','');
 QuarantineFile('H:\WINDOWS\system32\lznvnww.exe','');
 QuarantineFile('H:\WINDOWS\system32\meahjou.exe','');
 QuarantineFile('H:\WINDOWS\system32\npipihd.exe','');
 QuarantineFile('H:\WINDOWS\system32\oagzbkk.dll','');
 DeleteFile('H:\WINDOWS\system32\oagzbkk.dll');
 DeleteFile('H:\WINDOWS\system32\npipihd.exe');
 DeleteFile('H:\WINDOWS\system32\meahjou.exe');
 DeleteFile('H:\WINDOWS\system32\lznvnww.exe');
 DeleteFile('H:\WINDOWS\system32\excasnl.exe');
 DeleteFile('H:\WINDOWS\system32\cfuupio.exe');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');  
 BC_ImportAll;
 ExecuteSysClean;
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Кроме ИЕ, какие ещё браузеры установлены?

[ddimddim]

Спасибо за быстрый ответ!

Вроде бы заработало...

Карантин послал. Браузеры - Chrome (основной) и firefox (время от времени). IE - раз в пару месяцев...

[olejah]

Браузеры - Chrome (основной) и firefox

Проверьте в папках этих браузеров наличие файла setupapi.dll, если найдёте - удалите.

- Сделайте повторные логи

[ddimddim]

Приветствую!

setupapi.dll отсутствует. Логи - по полной (все три) и прислать еще раз или просто для перепроверки?

[olejah]

Сделать новые, чтобы посмотреть всё ли плохое убито.

[ddimddim]

Еще раз спасибо за помощь! Пока все работает Логи прицеплены.

[olejah]

Ну плохого не вижу.

[ddimddim]

Спасибо еще раз!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. h:\\windows\\system32\\oagzbkk.dll - Trojan.Win32.Zapchast.exo ( DrWEB: Trojan.Mayachok.based, BitDefender: Gen:Variant.Adware.Boigy.5, AVAST4: Win32:Vundo-JQ [Trj] )