Модифицированный Win32/SpyVoltar [Trojan.Win32.Jorik.Buterat.esn, , Trojan-PSW.Win32.Delf.hvv ]

[Елена19861]

Доброго времени суток!Антивирус ESET NOD32 Business Edition обнаружил:Оперативная память = C:\Documents and Settings\Admin\Application Data\taskhost.exe - модифицированный Win32/SpyVoltar.A троянская программа - очистка невозможна.Также не открывается контакт.
Помогите излечить! Вложения как в правилах 3 лога. Заранее спасибо!!!

[Info_bot]

Уважаемый(ая) Елена19861, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\WINDOWS\system32\SHcnJMXuJAwKkR.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\fdZL5qHs4GM.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Ruimly\edby.exe','');
 TerminateProcessByName('c:\documents and settings\admin\application data\taskhost.exe');
 QuarantineFile('c:\documents and settings\admin\application data\taskhost.exe','');
 DeleteFile('c:\documents and settings\admin\application data\taskhost.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\Ruimly\edby.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Taskhost');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{DE5B99E6-18A2-6336-68E9-A3DE11B4BC7B}');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\fdZL5qHs4GM.exe');
 DeleteFile('C:\WINDOWS\system32\SHcnJMXuJAwKkR.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(13); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT

[Елена19861]

Спасибо, что отозвались. Карантин загрузила по вашим указаниям. Вот логи.

[thyrex]

Удалите в МВАМ все, кроме

Объекты реестра обнаружены:  1
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

Обнаруженные файлы:  22
C:\Program Files\smartdl\vfd.exe (Adware.Dropper) -> Действие не было предпринято.
C:\Program Files\WinRAR\SFX-Tools\WinRAR351StandAlone.exe (Trojan.Exchanger) -> Действие не было предпринято.
C:\Program Files\WinRAR\SysTools\Plugins\Alcohol 1.x.dll (Malware.Packer.Gen) -> Действие не было предпринято.
D:\InstallPack\nero66013\Nero.Burning.ROM.v6.6.0.3.exe (Trojan.Agent) -> Действие не было предпринято.

Удалите вручную

C:\Documents and Settings\Admin\Application Data\Ruimly
C:\Documents and Settings\Admin\Application Data\Kaoq
C:\Documents and Settings\All Users\Application Data\IBank

[Елена19861]

Большое спасибо, вот новый лог.

[thyrex]

Проблема решена?

[Елена19861]

Да. Большое спасибо, но компьютер немного подвисает.

[thyrex]

Смените все пароли

Больше плохого не видно

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\application data\\ruimly\\edby.exe - Trojan-Spy.Win32.Zbot.esvh ( DrWEB: Trojan.PWS.Panda.368 )
  2. c:\\documents and settings\\admin\\application data\\taskhost.exe - Trojan.Win32.Jorik.Buterat.esn ( DrWEB: BackDoor.Butirat.91 )
  3. c:\\documents and settings\\admin\\главное меню\\программы\\автозагрузка\\fdzl5qhs4gm.exe - Trojan-Spy.Win32.Carberp.pky ( DrWEB: Trojan.Carberp.647 )
  4. c:\\windows\\system32\\shcnjmxujawkkr.exe - Trojan-PSW.Win32.Delf.hvv ( DrWEB: Trojan.PWS.Turist.1, BitDefender: Gen:Variant.Graftor.39773 )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !