BackDoor.Banker.origin и файл UserInit в Автозагрузке

[Klin]

После очередного сёрфинга в Интернете появилась программа UserInit в Автозагрузке, причём поисчезали почти все ярлыки из системного трея, в том числе и антивирус Avast. Удалил UserInit из Автозагрузки, но после перезагрузки Файл появился опять. Проверял с помощью DrWeb - CureI в безопасном режиме, обнаружились
C:\Windows\System32\lbbd32.dll
C:\Windows\System32\lbcd64.dll
с вирусом BackDoor.Banker.origin
После того как проверил ещё раз после перезагрузки опять появился файл C:\Windows\System32\lbcd64.dll с этим же вирусом.
Помогите, пожалуйста, решить проблему.

[akok]

Пофиксить в HijackThis следующие строчки

 	F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\services.e xe

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('qandr', 4);
 QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
 QuarantineFile('C:\Documents and Settings\Миша\Главное меню\Программы\Автозагрузка\userinit.exe','');
 QuarantineFile('C:\Documents and Settings\Миша\svchost.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\qandr.sys','');
 QuarantineFile('c:\windows\system32\drivers\services.exe','');
 DeleteFile('c:\windows\system32\drivers\services.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\qandr.sys');
 DeleteFile('C:\Documents and Settings\Миша\svchost.exe');
 DeleteFile('C:\Documents and Settings\Миша\Главное меню\Программы\Автозагрузка\userinit.exe');
 DeleteService('qandr');
 BC_ImportALL;
 ExecuteRepair(2);
 ExecuteRepair(3);
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


Повторите логи

[Klin]

Файла UserInit в Автозогрузке больше нет.
Высылаю карантин и логи.

[V_Bond]

пофиксите ...

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://internetsearchservice.com
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://internetsearchservice.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://internetsearchservice.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://internetsearchservice.com/ie6.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://internetsearchservice.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://internetsearchservice.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://internetsearchservice.com/ie6.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://internetsearchservice.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://internetsearchservice.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://internetsearchservice.com

hijackthis.log повторите ....

[Klin]

Профиксил, повторяю лог-файл.

[Гриша]

Чисто,жалобы есть?

[Klin]

Всё нормально, жалоб нет. Огромное спасибо!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\миша\\svchost.exe - P2P-Worm.Win32.Socks.fi (DrWEB: Win32.HLLW.Brutus.4645)
  2. c:\\documents and settings\\миша\\главное меню\\программы\\автозагрузка\\userinit.exe - P2P-Worm.Win32.Socks.fi (DrWEB: Win32.HLLW.Brutus.4645)
  3. c:\\windows\\system32\\drivers\\services.exe - P2P-Worm.Win32.Socks.fi (DrWEB: Win32.HLLW.Brutus.4645)