Троян подмены поисковой выдачи

[bubchen]

Здравствуйте!

Все началось с предостережения KIS 7.0, при посещении одного сайта, урл которого я немного видоименил ниже, во избежание...


Но, видимо, доступ все же был не до конца заблокирован, так как касперский перестал авто загружаться, из трея пропали иконки, откат системы стал невозможен (кнопка далее в диалоге восстановления системы перестала нажиматься), а в выдаче яндекса начал светиться урл: search.thebestwebsearch.net

В безопасном режиме cureit в файлике windows/system32/winhelp32.exe обнаруживает trojan.pws.clever.origin, пытается удалить, но он вновь появляется.

KIS 7.0 не видет ничего в моей системе криминального.

Спасибо заранее

[V_Bond]

скачайте найдите и удалите правой кнопкой (force delete)

c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\winhelp32.exe
C:\WINDOWS\System32\Drivers\acxxefuz.SYS
C:\WINDOWS\SYSTEM32\VIDEO.sys

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('I:\autorun.inf','');
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 DeleteService('VIDEO');
 QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\acxxefuz.SYS','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 QuarantineFile('c:\windows\system32\winhelp32.exe','');
 DeleteFile('c:\windows\system32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\acxxefuz.SYS');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин сгласно приложения 3 правил
повторите логи