Троян Вконтакте смс, неактивные окна

[egikas]

Добрый день! Очень прошу помочь с решением следующий проблемы!!!
29 октября около 13.00 заметил, что активные окна (вне зависимости что это браузер или окно проводника) перестают быть активными, при этом издается звук "панели информации" из стандартного набора звуков windows. Затем при заходе на сайт Вконтакте, увидел сообщение что мой аккаунт заблокирован и для разблокировки просят отправить смс, на какой номер не запомнил) Только тут заподозрил наличие вируса, просканировал диск C:\ DrWeb 5.0. Доктор определил что hosts файл изменен и вернул его в исходное состояние, больше ничего не нашел. Открыв диспетчер задач обнаружил запущенный процесс iexplore.exe хотя пользуюсь браузером firefox. Запустил AVZ, который после сканирования также ничего подозрительного не нашел, однако AVZ-товский диспетчер процессов, показал, что есть процесс( затрудняюсь сказать название что-то вроде msrvc.tmp ) расположенный в папке C:\Windows\System32. который он считает подозрительным. Затем неожиданно стал открываться интернет эксплорер с желанием закачать какие-то файлы, стали выскакивать ошибки о завершение программ windows instaler, flashplayer, adobe acrobat. А при желании раскрыть и просканировать папку system32 через DrWeb комп выдавал синий экран и шел на перезагрузку. Далее я поставил утилиту касперского и просканировал ей, она удалила троян: Trojan-Downloader.Win32.Agent.cwfw C:\Program Files\Internet Explorer\1.exe
C:\Program Files\Internet Explorer\svcnost.exe
Но это проблемы не решило. Т.е с Вконтакте стало все нормально больше не предлагали послать смску, но неактивные окна и звук не исчезли и постоянно донимают, особенно если что-то пишешь и тут окно перестает быть активным.
Я проверил систему еще двумя прогами SUPERAntiSpyware Free Edition и Spyware Doctor, безрезультатно... Затем запустил утилиту GMER, она просканировала руткиты, засекла парочку опасностей в там числе и тот процесс msrvc.tmp расположенный в папке C:\Windows\System32 . Не нашел ничего лучше как расправится с этими проблемами средствами программы, также выгрузил из автозагрузки iexplore.exe, однако он все равно переодически загружается при загрузки системы. Тут я пожалел что вообще стал чего-то делать, а не сразу писать на форум, итогом всех манипуляций стали все теже проблемы с неактивными окнами и звуком, постоянно вылетают ошибки о завершении windows instaler, flashplayer, adobe acrobat и вообще все работает крайне медленно. Чего делать не знаю, очень надеюсь на помощь и заранее благодарю!!

[Никита Соловьев]

1. Выполните скрипт в AVZ:

begin
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Windows\system32\inetsrv\certobj.dll','');
 QuarantineFile('C:\Windows\System32\winagent.exe','');
 QuarantineFile('C:\Windows\system32\btwhidcs.DLL','');
 DeleteFile('C:\Windows\System32\winagent.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Internet Agent');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

2. Файл quarantine.zip закачайте по ссылке прислать запрошенный карантин вверху темы

3. Сделайте новые логи

[egikas]

Скрипт выполнил, quarantine.zip залил

вот логи

[thyrex]

Выполните скрипт в AVZ

begin
QuarantineFile('C:\Windows\system32\drivers\mssrvc.sys','');
 QuarantineFile('C:\Users\Egikas\AppData\Local\Temp\esihdrv.sys','');
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

[egikas]

карантин выслал... проблемы вроде пропали... готов благодарить всех и вся))))

[thyrex]

Ждем. Карантин ушел в вирлаб

[egikas]

спасибо, сижу жду)

[thyrex]

Выполните скрипт в AVZ:

begin
 DeleteService('mssrvc');
 DeleteFile('C:\Windows\system32\drivers\mssrvc.sys');
 ExecuteSysClean;
 RebootWindows(true);
end.

Компьютер перезагрузится

Сделайте новые логи

[egikas]

выполнил скрипт, свежие логи выложил

[Никита Соловьев]

Что с проблемой?

[egikas]

ну проблема в общем-то исчезла еще после применения первого скрипта, я по этому поводу уже трубил в трубы) а дальше покорно выполнял ваши рекомендации, на данный момент все работает, все проблемы решились!
огромнейшее спасибо, всем кто помог!!!! низкий поклон и все такое

[thyrex]

Чисто

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\mssrvc.sys - Trojan.Win32.Agent.ddeu ( DrWEB: Trojan.NtRootKit.4859, AVAST4: Win32:Crypt-AUN [Trj] )
  2. c:\windows\system32\winagent.exe - Backdoor.Win32.Buterat.ar ( DrWEB: Trojan.Click.31902, NOD32: Win32/Kryptik.BHG trojan )