Снова здорова! (Подозрение на троян)

[Rampager]

Здравствуйте!

Недавно лечился у вас:
http://virusinfo.info/showthread.php...041&highlight=
http://virusinfo.info/showthread.php...811&highlight=

Не дошли руки навести порядок в системе и полностью прикрыть уязвимости, как произошло новое подозрительное событие:

При серфинге по сайтам ПК внезапно стал виснуть и тормозить, плотно работая с ЖД. Тормозил даже диспетчер задач. Через пол-минуты ПК сам ушел в перезагруз.

CCleaner показывает ошибку в разделе реестра:
HKEY_CLASSES_ROOT\CLSID\{35CEC8A3-2BE6-11D2-8773-92E220524153}\InprocServer32:
%AppData%\DAOao\oletf16.ng

Хотя, возможно, эта запись осталась с прошлого заражения.

Плюс мне кажется подозрительным найденный AVZ драйвер:
C:\DOCUME~1\9335~1\LOCALS~1\Temp\aaudstum.sys

Поставить более свежую ОС, к сожалению, не позволяют аппаратные ограничения. А уязвимости, найденные скриптом AVZ, который порекомендовал ваш хелпер, уже закрыл, пароль поменял. Но опасение, что что-то всё же пролезло вынуждает вас снова побеспокоить.

Посмотрите, пожалуйста, всё ли в порядке.

Большое спасибо!

[Info_bot]

Уважаемый(ая) Rampager, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\WINDOWS\gtwatch.exe','');
 DeleteFile('C:\WINDOWS\gtwatch.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Gtwatch');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Rampager]

Карантин отправил. Высылаю логи.

- - - - -Добавлено - - - - -

AVZ

[thyrex]

Поместите в карантин МВАМ только

Registry Keys: 6
PUP.Optional.FaceMoods.A, HKU\S-1-5-21-1409082233-1647877149-1644491937-500-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{64182481-4F71-486B-A045-B233BD0DA8FC}, , [d10453ebe79546f02cfbb80e7b8755ab], 
PUP.Optional.FaceMoods.A, HKLM\SOFTWARE\CLASSES\facemoods.facemoodsHlpr, , [d10453ebe79546f02cfbb80e7b8755ab], 
PUP.Optional.FaceMoods.A, HKLM\SOFTWARE\CLASSES\facemoods.facemoodsHlpr.1, , [d10453ebe79546f02cfbb80e7b8755ab], 
PUP.Optional.FaceMoods.A, HKU\S-1-5-21-1409082233-1647877149-1644491937-500-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{64182481-4F71-486B-A045-B233BD0DA8FC}, , [d10453ebe79546f02cfbb80e7b8755ab], 
PUP.Optional.FaceMoods.A, HKU\S-1-5-21-1409082233-1647877149-1644491937-500-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{DB4E9724-F518-4DFD-9C7C-78B52103CAB9}, , [23b29ca20f6d181ef92fa81e70926a96], 
PUP.Optional.FaceMoods.A, HKU\S-1-5-21-1409082233-1647877149-1644491937-500-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{DB4E9724-F518-4DFD-9C7C-78B52103CAB9}, , [23b29ca20f6d181ef92fa81e70926a96], 

Folders: 4
PUP.Optional.FaceMoods.A, C:\Documents and Settings\????????????N?N?N??°N???N?\Application Data\facemoods.com, , [3b9a3a04b6c643f334fbcc4b44bf2dd3], 
PUP.Optional.FaceMoods.A, C:\Documents and Settings\????????????N?N?N??°N???N?\Application Data\facemoods.com\facemoods, , [3b9a3a04b6c643f334fbcc4b44bf2dd3], 
PUP.Optional.FaceMoods.A, C:\Documents and Settings\a??@a??ta??}a??ya??~a??ya??N?a??a??a??a??a??pa??a??a????a??a??\Application Data\facemoods.com, , [fed7e15d8cf054e231fe8f88cb382ed2], 
PUP.Optional.FaceMoods.A, C:\Documents and Settings\a??@a??ta??}a??ya??~a??ya??N?a??a??a??a??a??pa??a??a????a??a??\Application Data\facemoods.com\facemoods, , [fed7e15d8cf054e231fe8f88cb382ed2],

[Rampager]

thyrex, а как поместить в карантин по результатам предыдущего сканирования? Там только отчет и никаких кнопок. У меня полная проверка всех дисков часов 12 заняла... Можно потереть это всё вручную?

[Rampager]

Сделано. Что-нибудь ещё?

[thyrex]

Что с проблемой?

[Rampager]

Насколько я могу судить, все в порядке, спасибо!

[thyrex]

Удалите МВАМ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения вредоносные программы в карантинах не обнаружены