Comodo работает в режиме усиленной защиты. Помогите вылечить

[Frosto]

Система: Win 7 32 bit
Установлен антивирус Comodo. После опрометчивого "обновления" флеш плеера по ссылке из Вконтакте вместо антивируса появилось сообщение "Comodo работает в режиме усиленной защиты... и т.д."

Логи AVZ не прикладываю, поскольку не нашел в стандартных скриптах пункта "Скрипт сбора информации для раздела "Помогите!" virusinfo.info".

Там только все на английском. Импровизировать боюсь. Подскажите какой выполнить.

[Info_bot]

Уважаемый(ая) Frosto, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

Логи AVZ не прикладываю, поскольку не нашел в стандартных скриптах пункта "Скрипт сбора информации для раздела "Помогите!" virusinfo.info".

Там только все на английском.

Выполнить пункт 2 и 3.

[Frosto]

Выполнил

[Никита Соловьев]

Пофиксите в hijackthis:

R3 - URLSearchHook: (no name) - {1a894269-562d-459e-b17e-efd8de428e41} - (no file)
R3 - URLSearchHook: (no name) - {8dec4b69-27c4-405d-a37d-8d45c83f66ab} - (no file)
O23 - Service: wxpdrivers - Unknown owner - C:\Windows\update.1\svchost.exe (file missing)

Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\systemup.exe');
 TerminateProcessByName('c:\windows\sysdriver32.exe');
 TerminateProcessByName('c:\windows\update.tray-5-0\svchost.exe');
 TerminateProcessByName('c:\windows\update.2\svchost.exe');
 TerminateProcessByName('c:\windows\l1rezerv.exe');
 QuarantineFile('D:\kvmVlD.exe','');
 QuarantineFile('D:\kvmVld.eXE','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\Windows\update.tray-5-0\svchost.exe','');
 QuarantineFile('C:\Windows\systemup.exe','');
 QuarantineFile('C:\Windows\sysdriver32_.exe','');
 QuarantineFile('C:\Windows\l1rezerv.exe','');
 QuarantineFile('C:\Windows\Temp\805551.exe','');
 QuarantineFile('C:\Windows\Temp\704867.exe','');
 QuarantineFile('C:\Windows\Temp\6873405.exe','');
 QuarantineFile('C:\Users\Kerroll\AppData\Local\Temp\5453256.exe','');
 QuarantineFile('C:\Windows\sysdriver32.exe','');
 DeleteService('srvsysdriver32');
 QuarantineFile('C:\Windows\update.2\svchost.exe','');
 DeleteService('srviecheck');
 DeleteFile('C:\Windows\update.2\svchost.exe');
 DeleteFile('C:\Windows\sysdriver32.exe');
 DeleteFile('C:\Users\Kerroll\AppData\Local\Temp\5453256.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','5453256.exe');
 DeleteFile('C:\Windows\Temp\6873405.exe');
 DeleteFile('C:\Windows\Temp\704867.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','6873405.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','704867.exe');
 DeleteFile('C:\Windows\Temp\805551.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','805551.exe');
 DeleteFile('C:\Windows\l1rezerv.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','l1rezerv.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32.exe');
 DeleteFile('C:\Windows\sysdriver32_.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32_.exe');
 DeleteFile('C:\Windows\systemup.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systemup');
 DeleteFile('C:\Windows\update.tray-5-0\svchost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','tray_ico0');
 DeleteFile('D:\autorun.inf');
 DeleteFile('D:\kvmVld.eXE');
 DeleteFile('D:\kvmVlD.exe');
 DeleteFileMask('c:\windows\update.tray-5-0','*.*',true);
 DeleteFileMask('c:\windows\update.2','*.*',true);
 DeleteDirectory('c:\windows\update.tray-5-0');
 DeleteDirectory('c:\windows\update.2');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи

[Frosto]

Файл загрузил. Вот новые логи:

[Никита Соловьев]

Пофиксите:

O20 - AppInit_DLLs:

Выполните скрипт в AVZ:

begin
ExecuteRepair(13);
end.

Сделайте лог MBAM

[Frosto]

Сделал лог по инструкции, но автоматически файл не открылся, а в указанной папке его не оказалось, по этому просто сделал "Сохранить отчет", его и прикладываю.

На всякий случай программу пока не закрываю.

[Никита Соловьев]

Удалите всё, кроме:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
d:\Games\ancientrome.exe (Trojan.Spambot) -> No action taken.
d:\Kerroll\документы\Соломаха\win7_loader_lite\removewat.exe (HackTool.Wpakill) -> No action taken.

Что с проблемой?

[Frosto]

Когда грузишься в безопасном режиме винда больше не перегружается сама по себе, из трея предупреждение об усиленном режиме пропало. Думаю что проблема решена. Большое спасибо за помощь. С меня поддержка проекту )

Последний вопрос. На машине стоял Comodo. Я им везде пользуюсь. Это что плохой антивирус раз такое произошло, или все дело в том что пользователь сам инициировал установку на компьютер вируса?

[Никита Соловьев]

Это что плохой антивирус раз такое произошло, или все дело в том что пользователь сам инициировал установку на компьютер вируса?

Нет, это такие подлые вирусы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\users\\kerroll\\appdata\\local\\temp\\5453256. exe - Trojan.Win32.Scar.eajx ( DrWEB: Trojan.KillProc.8870, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )
  2. c:\\windows\\l1rezerv.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.DownLoad2.30127, BitDefender: Trojan.Agent.ASAJ, NOD32: Win32/TrojanDownloader.Delf.QQI trojan, AVAST4: Win32:Delf-QBF [Trj] )
  3. c:\\windows\\sysdriver32.exe - Trojan.Win32.Scar.eajx ( DrWEB: Trojan.KillProc.8870, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )
  4. c:\\windows\\sysdriver32_.exe - Trojan.Win32.Scar.eajx ( DrWEB: Trojan.KillProc.8870, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )
  5. c:\\windows\\systemup.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.VkBase.38, BitDefender: Trojan.Agent.ASAJ, AVAST4: Win32:Delf-QBF [Trj] )
  6. c:\\windows\\temp\\6873405.exe - Trojan.Win32.Scar.eajx ( DrWEB: Trojan.KillProc.8870, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )
  7. c:\\windows\\temp\\704867.exe - Trojan.Win32.VkHost.dvs ( DrWEB: Trojan.DownLoader3.35016, BitDefender: Generic.Malware.SFHYVdhidWkg.0F757958, AVAST4: Win32:Delf-QBF [Trj] )
  8. c:\\windows\\temp\\805551.exe - Trojan.Win32.Scar.eajx ( DrWEB: Trojan.KillProc.8870, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )
  9. c:\\windows\\update.tray-5-0\\svchost.exe - Trojan-PSW.Win32.VKont.bjc ( DrWEB: BackDoor.VkBase.47, BitDefender: Generic.Malware.SFPYVdPkTkWkg.64E22ACF, AVAST4: Win32:Delf-QBF [Trj] )
  10. c:\\windows\\update.2\\svchost.exe - Trojan.Win32.VkHost.dvs ( DrWEB: Trojan.DownLoader3.35016, BitDefender: Generic.Malware.SFHYVdhidWkg.0F757958, AVAST4: Win32:Delf-QBF [Trj] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !