Вирус блокирует все известные браузеры

[vbb]

операционка Windows XP

Все началось с того, что перестал запускаться AVG... потом я выяснил, что это из-за того, что вирус изменил настройки доступа в рабочие папки AVG (после полного удаления всех файлов/сервисов/ключей реестра, относящихся к AVG и повторной его установки, ситуация повторяется)

Через несколько дней появилось следующее. При попытке открыть браузер запускается рекламный сплэш с предложением активировать браузеры посредством смс...

При подключении flash-накопителя, через несколько секунд, Windows меняет тему оформления на классическую и не реагирует на завершение работы, не вызывается диспетчер задач...

avz говорит, что на процессы браузеров повешен отладчик (dll лежит в system32, после перезагрузки - случайное имя)

вчера используя редактор политик, разблокировал реестр, снял отладчик - браузер заработал... сегодня эта тема не проходит (редактор автоматом сворачивается)...

Dr.Web CureIt обнаружил
Win32.HLLW.Kati
system32\ahtomsys19.exe [удален]
system32\psagor18.sys [удален]
system32\ctfmon.exe [удален]
system32\DETER177\lsass.exe [удален]
system32\DETER177\smss.exe [удален]
system32\DETER177\svchost.exe [удален]

После удаления Win32.HLLW.Kati стал нормально открываться редактор реестра...

[Гриша]

Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\twex.exe','');
 DeleteService('ujznroy');
 QuarantineFile('C:\WINDOWS\system32\pdAyCb.dll ',' ');
 QuarantineFile('C:\WINDOWS\system32\01.tmp','');
 DeleteFile('C:\WINDOWS\system32\01.tmp');
 DeleteFile('C:\WINDOWS\system32\twex.exe');
 DeleteFile('C:\WINDOWS\system32\pdAyCb.dll ');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ujznroy');
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(13);
RebootWindows(true);
end.

Пришлите карантин по правилам, обновите базы AVZ и повторите логи...

[vbb]

выполнил скрипт... правда комп сам не перезагрузился AVZ выдал, что скрипт успешно выполнен.... карантин отправил

Добавлено через 43 минуты

не могу вложить отчеты - форум пишет, что я уже прикрепил эти файлы ранее...

[Гриша]

Удалите старые логи через "Мой кабинет"=>"Вложения"

[vbb]

вот отчеты

[Гриша]

Это точно новые логи?

[vbb]

возможно нет.... сейчас сделаю еще раз

[vbb]

это свежие отчеты

[Гриша]

Выполните проверку свежим CureIT и повторите логи...

[vbb]

вот логи после лечения

[light59]

Что с проблемами?

[vbb]

проблем нет... последний CureIt нашел и удалил несколько копий Trojan.Kor (в том числе в карантине AVZ)... отладчики с браузеров снялись, антивирус AVG установился и нормально функционирует.... появился доступ к свойствам папок...

единственный минус - вручную пришлось разблокировать средства редактирования реестра и реакцию на Ctrl-Alt-Del через политики

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\pdaycb.dll - Trojan.Win32.Delf.pba ( DrWEB: Trojan.Kor )
  2. c:\windows\system32\twex.exe - Trojan-Spy.Win32.Zbot.abgv ( DrWEB: Trojan.PWS.Panda.117, BitDefender: Backdoor.Bot.105877 )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !