Всплывают тесты, анекдоты и майки [Trojan-Spy.Win32.Carberp.uzi ]

[сережка]

В любом браузере три первых клика в любой области окна - автоматически открывает страницы с тестами, майками анекдотами и прочиеВложение 395036Вложение 395037

[Info_bot]

Уважаемый(ая) сережка, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Nikkollo]

Выполните скрипт в AVZ (как выполнить):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 DelBHO('{A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE}');
 QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\Fc9ZVfl6vhM.exe','');
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msaycwfww.exe','');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msaycwfww.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','28063');
 DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\Fc9ZVfl6vhM.exe');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(21);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Обновите базы AVZ.
Если базы не обновляются через меню Файл - Обновление баз,
скачайте архив баз http://z-oleg.com/secur/avz_up/avzbase.zip
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Выполните скрипт в AVZ отсюда (скопируйте там весь текст):
http://dataforce.ru/~kad/ScanVuln.txt
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" правил) и приложите в теме.

Сделайте логи RSIT:
http://virusinfo.info/showthread.php...292#post859292
и приложите.

Файл Hosts сами правили?

[сережка]

Да, файл Hosts поправил как мог. наверно зря?

[сережка]

Вложение 395153Вложение 395154Вложение 395155Вложение 395156

[Nikkollo]

Ну ладно, если такой hosts вам нужен, то пусть будет.

Выполните скрипт в AVZ (как выполнить):

begin
 DelBHO('{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\msaycwfww.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','28063');
ExecuteSysClean;
 DeleteFileMask('C:\Documents and Settings\All Users\Application Data\IBank','*', true);
 DeleteDirectory('C:\Documents and Settings\All Users\Application Data\IBank');
 DeleteFileMask('C:\Documents and Settings\All Users\Application Data\7pz3zk58udA','*', true);
 DeleteDirectory('C:\Documents and Settings\All Users\Application Data\7pz3zk58udA');
 DeleteFileMask('C:\Documents and Settings\Сергей\Application Data\Daoqw','*', true);
 DeleteDirectory('C:\Documents and Settings\Сергей\Application Data\Daoqw');
 DeleteFileMask('C:\Documents and Settings\Сергей\Application Data\Beti','*', true);
 DeleteDirectory('C:\Documents and Settings\Сергей\Application Data\Beti');
end.

Сделайте заново лог virusinfo_syscure.zip (пункт 1 раздела "Диагностика" правил) и приложите в теме.

Сделайте заново логи RSIT:
http://virusinfo.info/showthread.php...292#post859292
и приложите.

Рекомендую сменить все пароли (особенно банковские).

Что сейчас с проблемой?

[сережка]

Спасибо большое , проблемы больше нет.
Логи скину чуть позже - возникли проблемы с интернетом.
С Наступающим, всего наилучшего в новом году!

[thyrex]

+ Сделайте лог полного сканирования МВАМ

[сережка]

Вложение 395742Вложение 395743Вложение 395744

[Nikkollo]

C:\Program Files\Infodisk\Maps\Ukraine\Ukraine.exe (Malware.Gen) -> Действие не было предпринято.
E:\Ukraine.exe (Malware.Gen) -> Действие не было предпринято.

Эти файлы вам знакомы?

Выполните скрипт в AVZ (как выполнить):

begin
 RegKeyResetSecurity('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','28063');
end.

Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" правил) и приложите в теме.

[сережка]

Вложение 395838

C:\Program Files\Infodisk\Maps\Ukraine\Ukraine.exe (Malware.Gen) -> Действие не было предпринято.
E:\Ukraine.exe (Malware.Gen) - эти файлы мне знакомы.

То что нашел Malwarebytes Anti-Malware нужно было удалять?

[Nikkollo]

Пока не надо.

Выполните скрипт в AVZ (как выполнить):

begin
ClearQuarantine;
QuarantineFile('C:\Program Files\Infodisk\Maps\Ukraine\Ukraine.exe','');
QuarantineFile('E:\Ukraine.exe','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

[сережка]

карантин отослал, что делать дальше?

[Nikkollo]

Файлы безопасные.
Если больше проблем нет, то можно на этом закончить.

[сережка]

Всё что нашел Malwarebytes Anti-Malware можно удалить ?
Спасибо большое за помощь.
Удачи вам!

[Nikkollo]

Не надо ничего удалять.

МВАМ удалите через панель управления.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\all users\\главное меню\\программы\\автозагрузка\\fc9zvfl6vhm.exe - Trojan-Spy.Win32.Carberp.uzi ( DrWEB: Trojan.Click2.47047, BitDefender: Trojan.Generic.KD.819634, AVAST4: Win32:Dropper-gen [Drp] )
  2. c:\\documents and settings\\all users\\главное меню\\программы\\автозагрузка\\fc9zvfl6vhm.exe - Trojan-Spy.Win32.Carberp.uzc ( DrWEB: Trojan.Winlock.7672, BitDefender: Gen:Variant.Graftor.62666, AVAST4: Win32:Malware-gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !