Trojan downloader.win32.agent

[Максим22]

У меня проблема: Когда захожу в WoW появляется окно c предупреждением что обнаружен Trojan downloader.win32.agent variant. Проверял касперским, нодом, они его невидят.

[Синауридзе Александр]

Выполните скрипт в AVZ:

begin
 DelBHO('{92860A02-4D69-48c1-82D7-EF6B2C609502}');
end.

Что-то я ничего интересного не вижу. А можно увидеть скриншот с сообщением?

[Максим22]

скриншот

[Синауридзе Александр]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('vistaui.exe','');
 QuarantineFile('kdexz.exe','');
 QuarantineFile('WCamRmv.exe','');
 QuarantineFile('C:\WINDOWS\system32\PnkBstrA.exe','');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=22321

[Максим22]

Скрипт выполнил, карантин отправил.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\kdexz.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи.

Добавлено через 4 минуты

Можно еще вот эти строчки пофиксить, но это уже так, для порядка:

R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

[Максим22]

Проблема решена, большое вам спасибо!

[Bratez]

Файл удалился, а в реестре след остался.
Выполните такой скрипт:

begin
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'System');
end.

Кроме трех вышеупомянутых строчек в Hijack'e ничего плохого больше не вижу.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\kdexz.exe - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.based.14)