Вирус Вы выиграли бонус [Trojan.Win32.Cidox.kac, ]

[JonnyB]

Добрый день, помогите, пожалуйста справиться с вирусами.
В IE8. При открытии ya.ru появляются сверху элементы с надписью "Вы выиграли бонус" и просьбой отправить SMS для его активации. Многие сайты не открываются или открываются не с первого раза. После загрузки сайта mail.ru происходит переход на страницу с "квадратиками", видимо отсутствующая кодировка, словами SMS и полем для ввода.
В FireFox все тормозит, страницы открываются по несколько минут.

[Info_bot]

Уважаемый(ая) JonnyB, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Здравствуйте.

Пофиксите в HijackThis (как пофиксить):

O2 - BHO: (no name) - autorunsdisabled - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - Startup: AutorunsDisabled
O9 - Extra button: (no name) - autorunsdisabled - (no file)

Выполните скрипт в AVZ (как выполнить):

procedure FixServiceStart(ServiceName:string;);
var j:integer; NumStr:string;
begin
for j:=0 to 999 do
 begin
    if j=0 then
        NumStr:='CurrentControlSet' else
        if j<10 then
            NumStr:='ControlSet00'+IntToStr(j) else
            if j<100 then
                NumStr:='ControlSet0'+IntToStr(j) else
                NumStr:='ControlSet'+IntToStr(j);
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName) then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName);
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName, 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\' + ServiceName + ' исправлено на оригинальное.');
   if (RegKeyIntParamRead('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName, 'Start') = 0) then
    begin
    RegKeyIntParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\' + ServiceName,'Start', 2);
    AddToLog('Тип запуска службы ' + ServiceName + ' переведен в режим Авто.');
   end;
  end;
 end;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
FixServiceStart('BITS');
FixServiceStart('wuauserv');
 ClearQuarantine;
 QuarantineFile('C:\WINDOWS\oyxqyjr.bak 2nCCPGNHED','');
 QuarantineFile('C:\WINDOWS\system32\eqnrkem.dll','');
 DeleteFile('C:\WINDOWS\system32\eqnrkem.dll');
 DeleteFile('C:\WINDOWS\oyxqyjr.bak 2nCCPGNHED');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','midi9');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела Диагностика правил) и приложите в теме.

[JonnyB]

Большое спасибо, система стала работать нормально. Карантин прицепил. И вот логи, которые вы просили.

[Nikkollo]

Теперь чисто.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\eqnrkem.dll - Trojan.Win32.Cidox.kac ( DrWEB: Trojan.Mayachok.1, BitDefender: Gen:Variant.Zusy.Elzob.7820 )