Помогите побороть Virtumod

[leha72]

Люди добрые!
Помогите убить злого Virtumoda.0
Гад распознается NOD32, но им не удаляется и не чистится.
AVZ зараженный файл не распознает.
При попытке удалить AVZ или отложенно удалить им же, опять ничего не получается. Зараженный файл jkhii.dll все равно остается.

[Geser]

begin
 QuarantineFile('D:\WINDOWS\system32\stmadsl.cpl','');
 QuarantineFile('D:\WINDOWS\system32\kaclayaf.dll','');
 QuarantineFile('D:\WINDOWS\system32\jguyswyr.dll','');
 QuarantineFile('D:\WINDOWS\system32\stmctrl.dll','');
 QuarantineFile('D:\WINDOWS\system32\jkhff.dll','');
 QuarantineFile('D:\WINDOWS\system32\jguyswyr.dll','');
 QuarantineFile('D:\WINDOWS\system32\gebcyab.dll','');
end.

Выполните скрипт, содержимое карантина пришлите по правилам

[leha72]

Уважаемый Gesser!
шлю карантин, как Вы просили

[AndreyKa]

По присланным файлам:
D:\WINDOWS\system32\gebcyab.dll - Trojan.Virtumod
D:\WINDOWS\system32\jguyswyr.dll - Trojan.Virtumod
И похоже, не вредосносные:
D:\WINDOWS\system32\stmctrl.dll
D:\WINDOWS\system32\stmadsl.cpl

Рекомендаций по лечению дать не могу в связи с отсутствием логов.

[leha72]

удалил их для экономии места,
(думал что это поможет уместить карантин...)

[AndreyKa]

Для лечения необходимо скачать новую версию AVZ 4.24

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 SetAVZGuardStatus(True);
 DeleteFile('D:\WINDOWS\system32\gebcyab.dll');
 DeleteFile('D:\WINDOWS\system32\jguyswyr.dll');
 BC_ImportDeletedList; 
 ExecuteSysClean;
 BC_QrFile('D:\WINDOWS\system32\jkhff.dll');
 BC_DeleteFile('D:\WINDOWS\system32\jkhff.dll');
 BC_LogFile(GetAVZDirectory + 'boot_clr.log'); 
 BC_Activate; 
 RebootWindows(True);
end.

Компьютер перезагрузится.
Загрузите файл D:\WINDOWS\system32\jkhff.dll из карантина AVZ.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме вместе с файлом boot_clr.log из папки AVZ.

[leha72]

Уважаемый АндрейКа!

Сделал все как Вы просили.
Вашу просьбу Загрузить файл D:\WINDOWS\system32\jkhff.dll из карантина AVZ, понял как восстановить файл из карантина.
Если ошибся, прошу извинить и проинструктировать.

Спасибо огромное за Ваше время и готовность помочь!!!

[AndreyKa]

Под "загрузить" я имел ввиду - прислать через форму: http://virusinfo.info/upload_virus.php?tid=8292

PS.
Пофиксте в HijackThis следующие строки:

O2 - BHO: (no name) - {2D81C3CA-5A42-4D14-B119-CCFD483CAE09} - D:\WINDOWS\system32\gebcyab.dll (file missing)
O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)
O2 - BHO: (no name) - {C44D59B3-696B-4C65-BF36-87778B7EEC20} - D:\WINDOWS\system32\jkhff.dll (file missing)
O2 - BHO: (no name) - {E03C740E-BB24-4d3c-B92A-6F84DE1DD99C} - (no file)
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "D:\WINDOWS\system32\kaclayaf.dll",setvm
O20 - AppInit_DLLs: Нsockspy.dll
O20 - Winlogon Notify: gebcyab - gebcyab.dll (file missing)
O20 - Winlogon Notify: jkhff - D:\WINDOWS\system32\jkhff.dll (file missing)
O20 - Winlogon Notify: jkhff- - D:\WINDOWS\

PPS Так файл jkhff.dll в карантин попал или нет?

[leha72]

Он попал в карантин.
Загрузил.
Профиксил.

Что дальше?

[Muffler]

Зделайте два последних лога из правил, для контроля.

[leha72]

Вирус себя не проявляет.
NOD32 не обнаруживает заразу в оперативной памяти.
Надеюсь, что с Вашей помощью, добрые люди, удалось уничтожить Virtumonda.0
Спасибо огромное!

[AndreyKa]

Осталась одна строка (наверное пропустили):
O4 - HKLM\..\Run: [DllRunning] rundll32.exe "D:\WINDOWS\system32\kaclayaf.dll",setvm
Пофиксите ее еще раз.

Вы можете нам помочь в дальнейшей борьбе с заразой.
Если у вас нет проблем с Интернет трафиком, то выполните, пожалуйста, процедуру описанную здесь: http://virusinfo.info/showthread.php?t=3519
Не забудьте при этом закрыть все программы, которые вы запустили сами.

[leha72]

Строчку профиксить не забыл, а профиксил другую.
Это плохо?

С удовольствием помогу в дальнейшей борьбе с заразой.

Спасибо огромное Вам, Гесеру и Муффлеру, а также всем борцам за чистый интернет.

[AndreyKa]

Строчку профиксить не забыл, а профиксил другую.
Это плохо?

Смотря что пофиксили

У HijackThis есть возможность отмены. Запустите его и нажмите кнопку View the list of buckups. Отметьте то, что хотите вернуть и нажмите кнопку Restore.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\\windows\\system32\\gebcyab.dll - not-a-virus:AdWare.Win32.Virtumonde.gl (DrWEB: Trojan.Virtumod)
  2. d:\\windows\\system32\\jguyswyr.dll - not-a-virus:AdWare.Win32.Virtumonde.hb (DrWEB: BackDoor.Iterator)