подмена содержимого страниц explorer

[antivor]

Вместо любого сайта открывается порно-реклама, в настройках прописан какой-то прокси волшебный, да еще к тому же имя и пароль подключения подменены. логи в теме.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DelBHO('{20D9BE3A-C204-48FB-9988-513409575D5F}');
 QuarantineFile('C:\Documents and Settings\All Users\Application Data\viylib.dll','');
 QuarantineFile('C:\WINDOWS\system32\servises.dll','');
 QuarantineFile('C:\WINDOWS\system32\zpx2.exe','');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193429}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{64311111-1111-1121-1111-111191113457}');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E cellSpacing=5 cellPadding=3 width=400}');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\viylib.dll');
 DeleteFile('C:\WINDOWS\system32\crypts.dll');
 DeleteFile('C:\WINDOWS\system32\servises.dll');
 DeleteFile('C:\WINDOWS\system32\zpx2.exe');
 DeleteFile('C:\WINDOWS\System32\vbsys2.dll');
 DeleteFile('crypts.dll');
 DeleteFile('digeste.dll');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteSvc('winsecguard');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=42018

3. Повторите логи.

[antivor]

сделано

[Bratez]

Пофиксите в HijackThis:

O4 - HKLM\..\Run: [servises] C:\WINDOWS\system32\servises.exe
O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'Default user')
O20 - Winlogon Notify: crypt - C:\WINDOWS\

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\servises.exe','');
 DeleteFile('C:\WINDOWS\system32\servises.dll');
 DeleteFile('C:\WINDOWS\system32\servises.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[antivor]

да, я там касперского воткнул, думал все он там еще кой-чего поискал.
логи вот:

[Aleksandra]

Ничего зловредного в логах нет.

[Bratez]

Вот это еще надо пофиксить:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:8600

Ну и дежурный совет: ставьте SP3 и последующие обновления.

[antivor]

команда хелперов virusinfo - неизменно превосходный результат

спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 10
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\all users\application data\viylib.dll - Trojan.Win32.Agent2.efa ( DrWEB: Trojan.Blackmailer.982 )
  2. c:\windows\system32\servises.dll - Backdoor.Win32.Agent.aecj ( DrWEB: BackDoor.Tdss.93, BitDefender: Backdoor.Generic.165530 )