Помогите убрать вирус!

[alexx1]

Здравствуйте! Скачал я одну прогу и запустил установку. Компьютер сразу стал перезагружаться. Браузеры перестали открывать все страницы. Антивирусом аваст сделал быструю проверку процессов, памяти. Аваст выдал что все процессы заражены трояном. Хотя этого не может быть. При подключении к интернету устанавливаются сами много разных не видимымиых соединений типа bk-in-f100.1e100.net, 80-239-254-43.customer.teliacarrier.com 80 (http), axx175.distributed.zenon.net 80 (http) Established (установлено соединение) и другие . Аваст блокирует какие-то соединения - постоянно вылазиет окно блокировки. Я сделал восстановление системы. После этого Аваст перестал нормально запускаться, точнее служба avast. Я его удалил. Проверил утилитой MBAM в безопасном - нашел какие-то незначительные вирусы. В программе Anvir Task Manager смотрел - Какие-то странные драйвера появились: aq9qtwkp.sys - ATA/ATAPI Port Driver и spoe.sys, способ запуска - in Kernel. Оба как будто находятся в \system32\drivers, но там таких файлов нет и эти имена через некоторое время и после перезагрузки изменяются. Отключить драйвер не получается. После восстановления системы браузеры стали открывать странички.
--------------
Посмотрите логи пожалуйста и Подскажите что это за вирус? а то уже не первый раз нахожу похожее - толькко до этого восстановление системв помогало.

[Info_bot]

Уважаемый(ая) alexx1, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Techno]

Здравствуйте!!!

- Выполните в АВЗ:

begin
 QuarantineFile('c:\windows\system32\ctfmon.exe','');
 QuarantineFile('c:\windows\explorer.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте лог ComboFix.

[alexx1]

Techno, сделал скрипты и лог, посмотрите пожалуйста!!!
Что мне еще надо сделать подскажите?

[Techno]

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\1C5.tmp
c:\windows\system32\155.tmp

Driver::


NetSvc::


Folder::


Registry::
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"IE8_01"= -
"IE8_02"= -

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Как самочувствие после ComboFix'а?

[alexx1]

Techno, во время работы Combofix вылетала ошибка:
pev.3EXE - приложение будет закрыто. Нажал на Отладку и продолжилось выполнение.
Посмотрите пожалуйста лог...
------ После ComboFix вроде нормально, но так сразу непонятно. Например из мелочей пропала языковая панель в трее.
---- Комп стал стабильнее работать, меньше стал притормаживать.
--- Очень БЛАГОДАРЕН!!!! -----
Меня еще беспокоят установленные соединения с Интернетом. Когда открываю какую-нибудь любую страничку в инете появляются еще другие (не в браузере) - Через прогу Anvir Task Manager смотрелEstabilished порт 80) Через некоторое время становится (Listen):
www-12-05-prn1.facebook.com
jim5.mail.ru
bk-in-f102.1e100.net
host01.rax.ru
mc.yandex.ru ..... и другие бывают
--- Это нормальные соединения? или что-то отсылается от меня на эти сайты??? Подскажите, а то не разбираюсь

[alexx1]

Techno, А что за вирус я поймал? Просто интересно ... у меня было уже похожее но безобиднее

[Techno]

Это нормальные соединения?

Нет. Каким браузером пользуетесь?

А что за вирус я поймал?

Папку C:\Qoobox\Quarantine запакуйте с паролем virus и загрузите в этой теме http://virusinfo.info/showthread.php?t=37678&page=56

[alexx1]

Techno, пользуюсь Opera. Сейчас смотрел около 15 соединений каких-то левых было, в IE - намного лучше - несколько штук непонятных. Мне лучше Opery переустановить, настройки оперы все удалить?
----- Папку C:\Qoobox\Quarantine загрузил ...
Файл сохранён как 120121_182518_Quarantine_4f1b030e51fc1.zip
--- Посмотрите пожаалуйста ....

[regist]

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

по карантину ответил там.

[alexx1]

Посмотрите пожалуйста новые логи ....

[regist]

Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении здесь.

Добавлено через 11 минут

Прокси 127.0.0.1:1122 сами прописывали ?
Если нет то профиксите в HijackThis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:1122

Этот IP, DNS вам знакомы? если нет, тоже фиксить

O17 - HKLM\System\CCS\Services\Tcpip\..\{5E97B384-D493-407F-BA99-7F11EF6FEB63}: NameServer = 195.82.134.6 62.33.183.254

+ для порядка профиксте следующие записи

O2 - BHO: (no name) - AutorunsDisabled - (no file)
O2 - BHO: (no name) - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O9 - Extra button: (no name) - AutorunsDisabled - (no file)

[alexx1]

--- Загрузил файл:
Файл сохранён как 120122_195848_virusinfo_files_WORKGROU-M6HQD2_4f1c6a7864b46.zip
Размер файла 40331009
MD5 555b27009945e33e20c0ce6a5f8e8abb
------
Прокси 127.0.0.1:1122 сам прописывал, но пофиксил на всяк случай
NameServer = 195.82.134.6 62.33.183.254 - это 2 моих DNS
Остальное - пофиксил
------
Подскажите Что мне еще сделать?

Добавлено через 11 минут

У меня еще такой вопрос: 2 драйвера новые появились после вируса, как я в начале темы писал.
Посмотрите в последнем логе AVZ (скрипт №4):
Функция NtSetValueKey (F7) перехвачена (80579A53->BA6FF19A), перехватчик spst.sys. Еще драйвер aob906f6.sys (IDE/ATAPI Port Driver Microsoft) есть в системе. Эти 2 драйвера мне кажется зловреды: имена этих файлов меняются при каждой перезагрузке. В первый раз вместо spst.sys - было название spoe.sys - его как будто удалили. Но эти драйвера появляются снова с другими именами - причем файлов с такими именами на компе на самом деле нет.

[alexx1]

лог AVZ (скрипт №4)

[Techno]

Сделайте лог полного сканирования MBAM.

[regist]

вместо spst.sys - было название spoe.sys

это от эмулятора дисков.

[alexx1]

Загрузил лог MBAM (вроде там чисто - только кряки , кейгены) - посмотрите ...

[Techno]

Какие проблемы остались?

[alexx1]

Все нормально стало. IE хорошо работает. Оперу переустановлю с обновлением.
------ СПАСИБО ЗА ПОМОЩЬ!!!!!!!! -------------

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены