Помогите пожалуйста, поймал модифицированный Win32/Spy.Shiz.NCE

[BuHTuK]

Здравствуйте.
Вот поймал со свёрнутым IE вот это: winlogon.exe(796) - модифицированный Win32/Spy.Shiz.NCE троянская программа (так его назвал нод32). Особых тормозов не замечено, winlogon.exe грузит проц процентов на 15-20, распологается в оперативке. Только нод ругается и IE иногда вылетает. Помогите пожалуйста, заранее благодарен.

[Info_bot]

Уважаемый(ая) BuHTuK, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[ARMA9000]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\apppatch\ghhpdgm.exe','');
 DeleteFile('C:\WINDOWS\apppatch\ghhpdgm.exe');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','System');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Карантин прислать согласно правилам. БАЗЫ АВЗ обновить и повторить логи.

[BuHTuK]

Карантин загрузил по ссылке в шапке, логи с обновлённого авз прилогаю.

[ARMA9000]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\M@TROX\LOCALS~1\Temp\mc24.tmp','');
 QuarantineFile('C:\WINDOWS\apppatch\ghhpdgm.exe','');
 DeleteFile('C:\WINDOWS\apppatch\ghhpdgm.exe');
 DeleteFile('C:\DOCUME~1\M@TROX\LOCALS~1\Temp\mc24.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Логи повторит + сделайте лог MBAM(ссылка в подписи).

[BuHTuK]

всё зделал:

[ARMA9000]

Удалите в MBAM:

c:\documents and settings\M@TROX\local settings\Temp\0.25864616649658323.exe (Exploit.Drop.2) -> No action taken.
c:\documents and settings\M@TROX\application data\wndsksi.inf (Malware.Trace) -> No action taken.
c:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> No action taken.

[BuHTuK]

и всё?

[ARMA9000]

Пожалуйста, сделайте еще такой лог http://virusinfo.info/showthread.php?t=58309

[BuHTuK]

зделал

[thyrex]

Запустите редактор реестра

Зайдите в ветку

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]

и удалите параметр "34c0d3c9"

[BuHTuK]

спасибо

[BuHTuK]

И ещё вопрос Combofixу не понравились главный exe супер копира и моего звукового драйвера, и даже после их переустановки он не позволяет им запуститься, а через команду в выполнить - Combofix /Uninstall он не удаляется (не находит нужный файл для выполнения).
Подскажите пожалуйста что делать

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\apppatch\\ghhpdgm.exe - Backdoor.Win32.Shiz.aczn ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.KDV.442672, NOD32: Win32/Spy.Shiz.NCF trojan, AVAST4: Win32:MalOb-IP [Cryp] )