Плодиться Браузер, обваливается интернет, компьютер не видится в сети

[GODoff]

Через некоторое время после входа в систему либо обваливается интернет, либо начинают плодиться окна Explorer (до полного ступора операционки, WinXP). Так же компьютер перестает видиться в сети.
В автозагрузке странные DLL. При выполнении входа в систему появляется маленькое окошко "Личные параметры" в поле окна "...winsock32..."

До заражения стоял NOD32 3х ни чего подозрительного не увидел
С помощью CureIT! вычищено около дюжины троянов, но основные симптомы не исчезли. Установка и обновление DrWeb тоже не помогают. В автозагрузке странные DLL.
Сделал операции соглано правилам раздела.

[Rene-gad]

1. Пуск/Выполнить... набрать msconfig, нажать клавишу ВВОД.
2. В карточке Автозапуск - Все отключить
3. Перегрузить систему

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINNT\System32\Drivers\Sxd62.sys','');
 QuarantineFile('C:\WINNT\System32\drivers\tcpsr.sys','');
 QuarantineFile('C:\WINNT\dgksvbpn.dll','');
 QuarantineFile('C:\WINNT\system32\oembios.exe','');
 QuarantineFile('C:\WINNT\xrdwbfgn.dll','');
 QuarantineFile('C:\WINNT\vanwxemggvd.dll','');
 QuarantineFile('C:\WINNT\system32\ljJCvvTl.dll','');
 QuarantineFile('C:\WINNT\system32:winsock32.exe','');
 QuarantineFile('C:\WINNT\system32:winsock32.exe:$DATA','');
 QuarantineFile('C:\WINNT\system32\wlfktlpc.dll','');
 QuarantineFile('C:\WINNT\system32\vpivcaje.dll','');
 DelBHO('{ACEF4ADB-7246-465A-A526-5629020DCCB3}');
 DelBHO('{0D174882-8F1C-42AC-AB13-534E88A123EA}');
 DeleteService('tcpsr');
 DeleteService('Sxd62');
 DeleteFile('C:\WINNT\system32\vpivcaje.dll');
 DeleteFile('C:\WINNT\system32\wlfktlpc.dll');
 DeleteFile('C:\WINNT\system32:winsock32.exe:$DATA');
 DeleteFile('C:\WINNT\system32:winsock32.exe');
 DeleteFile('C:\WINNT\system32\ljJCvvTl.dll');
 DeleteFile('C:\WINNT\vanwxemggvd.dll');
 DeleteFile('C:\WINNT\xrdwbfgn.dll');
 DeleteFile('C:\WINNT\system32\oembios.exe');
 DeleteFile('C:\WINNT\dgksvbpn.dll');
 DeleteFile('C:\WINNT\System32\drivers\tcpsr.sys');
 DeleteFile('C:\WINNT\System32\Drivers\Sxd62.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Sxd62');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[GODoff]

Сделал все по инструкции.

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  DelBHO('{39EA7584-419F-4179-A2AC-2E57EC0AC930}');
 QuarantineFile('C:\WINNT\system32\ljJCvvTl.dll','');
DelCLSID('{9281A4FC-C581-3449-5FA6-456C6F7B9079}');
 QuarantineFile('C:\WINNT\system32:winsock32.exe','');
 QuarantineFile('C:\WINNT\system32\cyavtmnl.dll','');
 DeleteFile('C:\WINNT\system32\cyavtmnl.dll');
 DeleteFile('C:\WINNT\system32:winsock32.exe');
 DeleteFile('C:\WINNT\system32\ljJCvvTl.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[GODoff]

Сделал по инструкции.
Перед карантин перед отправкой не очищал.

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\WINNT\system32\msi.dll','');
 DeleteService('52F6A8F5');
 QuarantineFile('C:\WINNT\system32\3936B59B.EXE','');
 DeleteFile('C:\WINNT\system32\3936B59B.EXE');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('52F6A8F5');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[GODoff]

Выполнил по инструкции.

Операционная система с самого начала не активирована.
Может модуль активации что то в автозагрузку ставит?

[Rene-gad]

Операционная система с самого начала не активирована.
Может модуль активации что то в автозагрузку ставит?

наверно поэтому msi.dll подгружается.
Ничего плохого в логах не видно.
А почему не активируете систему?

[GODoff]

Решил сначала все настроить, потом активировать. потом посыпались вирусы.
завтра с утра займусь этим.
у меня уже 21-37 и ужастно хочется есть...

Спасибо за помощь!
До обращения к вам - бился об стену 3 дня.


В офисе еще несколько машин, вероятно тоже заражены.
Так что до встречи! И еще раз огромное спасибо!

[Rene-gad]

В офисе еще несколько машин, вероятно тоже заражены.

Для каждой машины - отдельная тема.
И спокойной ночи

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 69
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\winnt\\system32\\aedaqqaj.dll - Trojan.Win32.Monder.mot (DrWEB: Trojan.Virtumod.46
  2. c:\\winnt\\system32\\cyavtmnl.dll - Trojan.Win32.Monder.mot (DrWEB: Trojan.Virtumod.46
  3. c:\\winnt\\system32\\etgyempc.dll - not-a-virus:AdWare.Win32.Virtumonde.ahqz (DrWEB: Trojan.Virtumod.450)
  4. c:\\winnt\\system32\\ljjcvvtl.dll - Trojan.Win32.Monder.gen (DrWEB: Trojan.Virtumod.493)
  5. c:\\winnt\\system32\\vpivcaje.dll - Trojan.Win32.Monder.mjw (DrWEB: Trojan.Virtumod.450)
  6. c:\\winnt\\system32:winsock32.exe - Backdoor.Win32.Poison.kiz
  7. c:\\winnt\\system32:winsock32.exe:$data - Backdoor.Win32.Poison.kiz
  8. c:\\winnt\\system32\\wlfktlpc.dll - Trojan.Win32.Monder.mmm (DrWEB: Trojan.Virtumod.46
  9. c:\\winnt\\vanwxemggvd.dll - Trojan.Win32.Vapsup.lsu (DrWEB: Trojan.DownLoad.2315
  10. c:\\winnt\\xrdwbfgn.dll - Trojan.Win32.Vapsup.lst (DrWEB: Trojan.DownLoad.14834)