sdra64.exe

[ims]

здравствуйте.
была проблема с вылетом интернет эксплорера и некоторых других программ с одной и той же ошибкой
Ошибка приложения iexplore.exe, версия 6.0.2900.5512, модуль , версия 0.0.0.0, адрес 0x00000000.
вирусы вроде поудаляли, ошибка исчезла, но через пару дней все началось по новой.
оцените пожалуйста ситуацию, на этот раз комп чист, или в скором времени трояны вернутся на свои места?
спасибо!

[Ingener]

1) Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.qip.ru/search?query=%s&from=IE
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:14111
R3 - URLSearchHook: (no name) - - (no file)

2) Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('X:\WF\Dsstart.exe','');
 QuarantineFile('C:\WINDOWS\FG\FG.EXE','');
 QuarantineFile('C:\WINDOWS\ZFTmp\ZMenu6699.DLL','');
 QuarantineFile('overlapp32.dll','');
 DeleteFile('overlapp32.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
3) Затем выполните второй скрипт в AVZ:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы.
4) Сделайте новые логи virusinfo_syscure.zip + hijackthis.log + такой лог: http://virusinfo.info/showthread.php?t=53070

[ims]

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:14111

это параметр банк-клиента
файл 'overlapp32.dll' удалил вручную, видимо остались записи в реестре.
диск X: сетевой.

завтра выполню скрипты, спасибо Вам)

[ims]

немного отредактировал скрипты.
как уже писал выше прокся на локалхосте ставится банк-клиентом R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = http=127.0.0.1:14111 его я соответственно не фиксил.
файл X:\WF\Dsstart.exe тоже легитимный, строку QuarantineFile('X:\WF\Dsstart.exe',''); убрал.

пофиксил

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.qip.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.qip.ru/search?query=%s&from=IE
R3 - URLSearchHook: (no name) - - (no file)

выполнил

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\FG\FG.EXE','');
 QuarantineFile('C:\WINDOWS\ZFTmp\ZMenu6699.DLL','');
 QuarantineFile('overlapp32.dll','');
 DeleteFile('overlapp32.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

карантин выслал.
Malwarebytes Antimalware запущу позже - очень долго сканирует)

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\FG\FG.EXE');
DeleteFile('C:\WINDOWS\ZFTmp\ZMenu6699.DLL');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новый лог syscure (только п.1 раздела Диагностика).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 8
• В ходе лечения вредоносные программы в карантинах не обнаружены