Вирус в оперативной памяти?

[Hilt]

Добрый день! У меня стоит Нод32, стал ругаться на файл jkkhxpqh.dll в system 32, видит вирус win32/adware.virtumonde.fp приложение. Компьютер запускался очень долго, вис, в интернете не пускал на некоторые сайты.
Сделала всю диагностику. После пункта 9 (перезагрузка компьютера), перестали запускаться все екзешники, в том числе и AVZ. Я, признаться, не сразу это поняла, и скачала его заново. Поэтому лог от первой проверки не сохранился. Потом восстановила rundll32.exe, все стало запускаться, диагностику провела до конца. После диагностики запустила НОД, он опять находит тот же самый вирус и опять ничего не может с ним сделать. Но тормозить комп стал заметно меньше.

[kps]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\csrss.exe','');
 QuarantineFile('C:\WINDOWS\System32\prccqajc.dll','');
 QuarantineFile('C:\WINDOWS\System32\mdm.exe','');
 QuarantineFile('C:\WINDOWS\System32\hhylhopa.dll','');
 QuarantineFile('C:\WINDOWS\System32\wmldap.dll','');
 QuarantineFile('C:\WINDOWS\System32\swin32.dll','');
 QuarantineFile('C:\WINDOWS\System32\mlJAtQKC.dll','');
 QuarantineFile('C:\WINDOWS\System32\jkkHXpQH.dll','');
 DeleteFile('C:\WINDOWS\System32\jkkHXpQH.dll');
 DeleteFile('C:\WINDOWS\System32\mlJAtQKC.dll');
 DeleteFile('C:\WINDOWS\System32\swin32.dll');
 DeleteFile('C:\WINDOWS\System32\wmldap.dll');
 DeleteFile('C:\WINDOWS\System32\hhylhopa.dll');
 DeleteFile('C:\WINDOWS\System32\prccqajc.dll');
 DeleteFile('C:\WINDOWS\csrss.exe');
 DelBHO('{FFFFFFFF-85A3-452b-B7A8-759AD9B42162}');
 DelBHO('{A0084875-7F3C-4BC9-B8A4-15F67E68C2F7}');
 DelBHO('{06E12C36-760F-4D92-8509-5E5DBF12C423}');
DelWinlogonNotifyByKeyName('mlJAtQKC');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 правил (загружать здесь: http://virusinfo.info/upload_virus.php?tid=23945 ).

Ваш Windows нужно обновить.
Сделайте новые логи.

[Hilt]

Обновите Ваш Windows.

То есть надо будет переустановить Windows?

[kps]

Не переустановить, а желательно поставить обновления от Microsoft.

[Hilt]

kps, спасибо! Скрипт выполнила, карантин отправила. Логи можно присылать до обновления Windows, или обязательно сначала обновить, а потом уже делать логи?

[kps]

Можно сейчас, до обновления.

[Hilt]

Новые логи:

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{A460D010-90A7-4E2D-887D-7032AF5F103C}');
 DelBHO('{7F17681C-BBF9-4FD4-AF78-EA7C3E0544D2}');
 DelBHO('{06E12C36-760F-4D92-8509-5E5DBF12C423}');
 QuarantineFile('C:\WINDOWS\System32\jkkHXpQH.dll','');
 QuarantineFile('C:\WINDOWS\System32\mlJAtQKC.dll','');
 QuarantineFile('C:\WINDOWS\System32\vcxfbmgb.dll','');
 QuarantineFile('C:\WINDOWS\System32\uqsuaxsf.dll','');
 QuarantineFile('C:\WINDOWS\System32\qoMgdbcd.dll','');
 QuarantineFile('C:\WINDOWS\System32\mlJCVmnk.dll','');
 QuarantineFile('c:\windows\system32\mdm.exe','');
 DeleteFile('c:\windows\system32\mdm.exe');
 DeleteFile('C:\WINDOWS\System32\mlJCVmnk.dll');
 DeleteFile('C:\WINDOWS\System32\uqsuaxsf.dll');
 DeleteFile('C:\WINDOWS\System32\qoMgdbcd.dll');
 DeleteFile('C:\WINDOWS\System32\vcxfbmgb.dll');
 DeleteFile('mlJCVmnk.dll');
 DeleteFile('C:\WINDOWS\System32\mlJAtQKC.dll');
 DeleteFile('C:\WINDOWS\System32\jkkHXpQH.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...
повторите логи ...

[Hilt]

V_Bond, скрипт выполнила, карантин отправила. Нод больше не ругается.
Вот новые логи:

[kps]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\qoMgdbcd.dll','');
 QuarantineFile('C:\WINDOWS\System32\mlJCVmnk.dll','');
 QuarantineFile('C:\Documents and Settings\User\Application Data\Mra\Update\checkers.dll','');
 DeleteFile('C:\WINDOWS\System32\mlJCVmnk.dll');
 DeleteFile('C:\WINDOWS\System32\qoMgdbcd.dll');
 DelBHO('{9506BD09-8174-4F2C-ACF1-5C372894002C}');
 DelBHO('{487C9905-26A8-42C8-8033-C58AD3D2AEC3}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин по правилам.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Сделайте новые логи.

[Hilt]

kps, все сделала. Карантин отправила. Логи вышлю завтра.
Спасибо большое!

[Hilt]

Новые логи:

[kps]

В логах чисто. Отключите восстановление системы, а потом можете снова включить.
Какие-то проблемы остались?

[Hilt]

kps, нет, проблем больше нет. Спасибо всем огромное!

[kps]

Нам интересно Ваше мнение о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 39
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\hhylhopa.dll - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.based.11)
  2. c:\\windows\\system32\\mdm.exe - Trojan.Win32.Agent.qrf (DrWEB: BackDoor.IRC.Sdbot.2249)
  3. c:\\windows\\system32\\mljatqkc.dll - Trojan-Downloader.Win32.Agent.rhn (DrWEB: Trojan.Virtumod.based.11)
  4. c:\\windows\\system32\\mljcvmnk.dll - not-a-virus:AdWare.Win32.Virtumonde.wwr (DrWEB: Trojan.Virtumod.based.11)
  5. c:\\windows\\system32\\prccqajc.dll - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.based.11)
  6. c:\\windows\\system32\\qomgdbcd.dll - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.based.11)
  7. c:\\windows\\system32\\swin32.dll - Trojan-Downloader.Win32.BHO.gv (DrWEB: Trojan.Siggen.41)
  8. c:\\windows\\system32\\uqsuaxsf.dll - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.based.11)
  9. c:\\windows\\system32\\vcxfbmgb.dll - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.based.11)
  10. c:\\windows\\system32\\wmldap.dll - Trojan-Spy.Win32.Goldun.su (DrWEB: Trojan.PWS.GoldSpy)