z connect

[Denn91s]

Подключение интернет все время отключается

[Никита Соловьев]

1. Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('H:\autorun.wsh','');
 QuarantineFile('D:\autorun.inf','');
 QuarantineFile('C:\autorun.inf','');
 QuarantineFile('C:\Documents and Settings\Администратор\update.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\atksgt.sys','');
 DeleteFile('C:\Documents and Settings\Администратор\update.exe');
 DeleteFile('C:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('H:\autorun.wsh');
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

2. Пофиксите в HJT:

R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - C:\Program Files\Mail.Ru\Agent\Mra\dll\newmrasearch.dll (file missing)

Сделайте новые логи

[Denn91s]

все сделал.один вопрос.что значит сделать новые логи?

[Denn91s]

вот

[Никита Соловьев]

все сделал.один вопрос.что значит сделать новые логи?

Это значит выполнить пункт "Диагностика" правил заново

вот

Все три лога!

[Denn91s]

+2

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\autorun.inf','');
 DeleteFile('E:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Кроме того, Пуск - Выполнить - services.msc
Найдите службу wscsvc (Центр обеспечения безопасности) и сравните параметр Исполняемый файл с

C:\WINDOWS\System32\svchost.exe -k netsvcs

Если не совпадает, замените

[Denn91s]

вот

[Denn91s]

как изменить исполняемый файл?

[pig]

Свойства службы отредактировать. С правами администратора. Сама служба должна быть остановлена, иначе консоль этот параметр менять не даёт.

[thyrex]

+ к pig

Можно такой скрипт попробовать

Выполните скрипт в AVZ

var j:integer; NumStr:string;
begin
for j:=0 to 999 do
 begin
    if j=0 then
        NumStr:='CurrentControlSet' else 
        if j<10 then
            NumStr:='ControlSet00'+IntToStr(j) else
            if j<100 then
                NumStr:='ControlSet0'+IntToStr(j) else
                NumStr:='ControlSet'+IntToStr(j);
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wscsvc') then
  begin
 RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wscsvc'); 
 RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wscsvc', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wscsvc исправлено на оригинальное.');
  end;
  end;
SaveLog(GetAVZDirectory + 'wscsvc.log');
end.

wscsvc.log прикрепить к сообщению.

Сделать новый лог virusinfo_syscheck.zip

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 32
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\администратор\update.exe - Trojan.Win32.Buzus.cjcb ( DrWEB: Dialer.Siggen.121, BitDefender: Dialer.Generic.49794, AVAST4: Win32:Trojan-gen )