Троян заблочил все что можно.

[Sibirian]

Добрый день - интернет подключить не могу, мышь слетела, АВИРА не устанавливается, Джек виснет.

Лог смог выложить только АВЗ ст. скрипт 3.

Алексей.

[MedvedD]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.


- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('E:\Program Files\Common Files\Microsoft Shared\suambvm.exe','');
 DeleteFile('E:\Program Files\Common Files\Microsoft Shared\suambvm.exe');
 QuarantineFile('D:\autorun.inf','');
 DeleteFile('D:\autorun.inf');
 QuarantineFile('C:\autorun.inf','');
 DeleteFile('C:\autorun.inf');
 QuarantineFile('E:\pagefile.pif','');
 QuarantineFile('E:\WINDOWS\system32\drivers\alg.exe','');
 DeleteFile('E:\WINDOWS\system32\drivers\alg.exe');
 QuarantineFile('E:\WINDOWS\system32\AntiTool.exe','');
 DeleteFile('E:\WINDOWS\system32\AntiTool.exe');
 QuarantineFile('E:\WINDOWS\system32\stisvc.exe','');
 QuarantineFile('E:\WINDOWS\system32\amvo.exe','');
 DeleteFile('E:\WINDOWS\system32\amvo.exe');
 BC_DeleteFile('E:\WINDOWS\system32\amvo.exe');
 QuarantineFile('E:\WINDOWS\system32\MsSip3.dll','');
 DeleteFile('E:\WINDOWS\system32\MsSip3.dll');
 QuarantineFile('E:\WINDOWS\system32\MsSip2.dll','');
 DeleteFile('E:\WINDOWS\system32\MsSip2.dll);
 QuarantineFile('E:\WINDOWS\system32\MsSip1.dll','');
 DeleteFile('E:\WINDOWS\system32\MsSip1.dll);
 QuarantineFile('E:\WINDOWS\system32\dnsq.dll','');
 DeleteFile('E:\WINDOWS\system32\dnsq.dll');
 BC_DeleteFile('E:\WINDOWS\system32\dnsq.dll');
 TerminateProcessByName('e:\windows\system32\com\smss.exe');
 QuarantineFile('e:\windows\system32\com\smss.exe','');
 DeleteFile('e:\windows\system32\com\smss.exe');
 BC_DeleteFile('e:\windows\system32\com\smss.exe');
 TerminateProcessByName('e:\windows\system32\com\lsass.exe');
 QuarantineFile('e:\windows\system32\com\lsass.exe','');
 DeleteFile('e:\windows\system32\com\lsass.exe');
 BC_DeleteFile('e:\windows\system32\com\lsass.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=41801
- Прикрепите логи к новому сообщению.

[Sibirian]

Прошу прощения - ошибка скрипта поз. 20 13.

Алексей.

[PavelA]

Поправлено, выполняйте.

[Sibirian]

Теперь строка 22.

Алексей.
ЗЫ - может, напишите что за ошибка - я сам поправлю?

[Гриша]

Выполняйте:

begin
SetAVZGuardStatus(True);
RegKeyParamDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Session Manager', 'PendingFileRenameOperations');
 DeleteFile('E:\windows\system32\com\lsass.exe');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('E:\WINDOWS\system32\amvo.exe','');
 DeleteService('PowerManager');
 QuarantineFile('E:\WINDOWS\svchost.exe','');
 DeleteFile('E:\WINDOWS\svchost.exe');
 DeleteFile('E:\WINDOWS\system32\amvo.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('E:\windows\system32\com\smss.exe');
 DeleteFile('E:\WINDOWS\system32\com\netcfg.dll');
 DeleteFile('E:\WINDOWS\system32\com\netcfg.000');
 DeleteFile('E:\WINDOWS\system32\dnsq.dll');
 DeleteFile('E:\pagefile.pif');
 DeleteFile('E:\autorun.inf');
 DeleteFile('E:\NetApi000.sys');
 DeleteFile('E:\WINDOWS\System32\drivers\alg.exe');
 DeleteFile('E:\037589.log');
 DeleteFile('E:\WINDOWS\system32\AntiTool.exe');
 DeleteFile('E:\Program Files\Common Files\Microsoft Shared\suambvm.exe');
 DeleteFileMask('E:\', 'lsass.exe.*', false);
 DeleteFileMask('E:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('PowerManager');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[Sibirian]

Доброго дня Гриша) Очень рад видеть)
Скрипт выполнен. Логи выкладываю. Карантин прилагаю.

Алексей.

[Гриша]

Лог HJT сделайте...

[Sibirian]

Джека прилагаю. Хоть и с ошибкой, но вроде создал.

Алексей.

[Гриша]

Пофиксить

R3 - URLSearchHook: (no name) -  - (no file)
O20 - AppInit_DLLs: E:\WINDOWS\system32\dnsq.dll

Повторите лог HJT...

[Sibirian]

Сделано - повторяю HJT.

[Гриша]

Чисто, сделайте полную проверку AVPTool, установите SP3+all updates...

[Sibirian]

Гриша - спасибо!

Алексей.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. e:\pagefile.pif - Virus.Win32.Xorer.em( DrWEB: Win32.HLLP.Rox.13, BitDefender: Trojan.Xorer.P )
  2. e:\u.bat - Trojan-GameThief.Win32.OnLineGames.nhx( DrWEB: Win32.HLLW.Autoruner.1020, BitDefender: Packer.Malware.NSAnti.1 )
  3. e:\windows\system32\amvo.exe - Trojan-GameThief.Win32.OnLineGames.nhx( DrWEB: Win32.HLLW.Autoruner.1020, BitDefender: Packer.Malware.NSAnti.1 )
  4. e:\windows\system32\antitool.exe - Trojan-GameThief.Win32.OnLineGames.mix( DrWEB: Trojan.Sniff, BitDefender: Trojan.Arposon.A )
  5. e:\windows\system32\dnsq.dll - Virus.Win32.Xorer.ee( DrWEB: Win32.HLLP.Rox, BitDefender: Win32.Xorer.ED )
  6. e:\windows\system32\drivers\alg.exe - Trojan-Downloader.Win32.Agent.mis( DrWEB: Trojan.Sniff )