Достовляет проблемы monoca32.exe в автозагрузке

[Ipkis]

Всем привет. Прошу помощи у вас потому что больше не у кого.
Помогите избавиться от monoca32 в автозагрузке. Скрипты прилагаю.

[Никита Соловьев]

Обновите базы AVZ (файл\обновление баз) и переделайте логи.

[Ipkis]

Базы не обновляются. Выскакивает сообщение "Ошибка в ходе автоматического обновления - Ошибка загрузки файла с описанием обновления avzupd.zip c http://www.z-oleg.com/secur/avz_up/ [21, 00002EFF]"

[Никита Соловьев]

Другой сервер выберите

[Ipkis]

Непомогает. Устанвил АВЗ на ноут и на нем обновил базы. всё обновилось. Теперь можно перекинуть папку Base с ноута на зараженный комп??? Так будет считаться обновление?

[Никита Соловьев]

Теперь можно перекинуть папку Base с ноута на зараженный комп??? Так будет считаться обновление?

Конечно, приступайте к диагностике (только перекинуть не папку base а полностью всю)

[Ipkis]

Обновляю логи

[Никита Соловьев]

Загрузите ПК в безопасном режиме

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\documents and settings\Пользователь\Главное меню\Программы\Автозагрузка\monoca32.exe');
 QuarantineFile('C:\WINDOWS\system32\ywpvcam.dll','');
 QuarantineFile('C:\WINDOWS\system32\rjheax.exe','');
 QuarantineFile('C:\WINDOWS\system32\syspanel32.exe','');
 QuarantineFile('C:\WINDOWS\system32\1d3987be.exe','');
 QuarantineFile('C:\Documents and Settings\Пользователь\Главное меню\Программы\Автозагрузка\monoca32.exe','');
 QuarantineFile('C:\Program Files\Microsoft LifeCam\MSCamS32.exe','');
 DeleteFile('C:\Documents and Settings\Пользователь\Главное меню\Программы\Автозагрузка\monoca32.exe');
 DeleteFile('C:\WINDOWS\system32\1d3987be.exe');
 DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
 DeleteFile('C:\WINDOWS\system32\rjheax.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Panel');
 BC_ImportALL;
 ExecuteSysClean;
 ExecuteRepair(20);
 BC_DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
 BC_DeleteFile('C:\Documents and Settings\Пользователь\Главное меню\Программы\Автозагрузка\monoca32.exe');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи

[Ipkis]

Файл карантина отправил.
вот новые логи.

[Никита Соловьев]

Пофиксите в hijackthis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\1d3987be.exe,C:\WINDOWS\system32\rjheax.exe,

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\rjheax.exe','');
 QuarantineFile('C:\WINDOWS\system32\1d3987be.exe','');
 QuarantineFile('C:\WINDOWS\system32\syspanel32.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
 DeleteFile('C:\WINDOWS\system32\1d3987be.exe');
 DeleteFile('C:\WINDOWS\system32\rjheax.exe');
 RenameFile('C:\WINDOWS\system32\sfcfiles.dll','C:\WINDOWS\system32\sfcfiles.bak');
 CopyFile('C:\WINDOWS\system32\dllcache\sfcfiles.dll','C:\WINDOWS\system32\sfcfiles.dll');
 DeleteFile('C:\WINDOWS\system32\sfcfiles.bak');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Panel');
 BC_ImportALL;
 ExecuteSysClean;
 BC_DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
 BC_DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи

+

Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[Ipkis]

добавил логи

[Ipkis]

Извините, что обращаюсь. От меня больше ничего не требуется? логи нормальные?

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\39b31732.exe','');
DeleteFile('C:\WINDOWS\system32\39b31732.exe');
DeleteFile('C:\Program Files\Common Files\keylog.txt');
DeleteFile('C:\WINDOWS\system32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Добавлено через 10 часов 47 минут

C:\WINDOWS\system32\ywpvcam.dll - Trojan-Spy.Win32.Small.ckn

В дополнение к передыдущим рекомендациям

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\ywpvcam.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пофиксите в HiJack

O20 - AppInit_DLLs: C:\WINDOWS\system32\ywpvcam.dll

И вот теперь новые логи

[Ipkis]

Пофиксите в HiJack

O20 - AppInit_DLLs: C:\WINDOWS\system32\ywpvcam.dll

Нет такой строчки у меня

[thyrex]

Значит AVZ исправил. Ждем новые логи

[Ipkis]

Выложил логи

[thyrex]

Плохого не видно

Установите SP3 (может потребоваться активация) + все новые патчи
Установите Internet Explorer 8 (даже если им не пользуетесь)
Установите Adobe Reader 9.3 или удалите старый

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\пользователь\главное меню\программы\автозагрузка\monoca32.exe - Rootkit.Win32.Agent.bijs ( DrWEB: Trojan.Botnetlog.478, BitDefender: Backdoor.Generic.412084, AVAST4: Win32:Rootkit-gen [Rtk] )
  2. c:\windows\system32\rjheax.exe - Backdoor.Win32.Shiz.se ( DrWEB: Trojan.Packed.20817, BitDefender: Gen:Variant.Zbot.15, AVAST4: Win32:Spyware-gen [Spy] )
  3. c:\windows\system32\syspanel32.exe - Trojan-Banker.Win32.Fibbit.y ( DrWEB: Trojan.PWS.Ibank.81, BitDefender: Gen:Trojan.Heur.RP.gmW@amZceDb, AVAST4: Win32:Malware-gen )
  4. c:\windows\system32\ywpvcam.dll - Trojan-Spy.Win32.Small.ckn
  5. c:\windows\system32\1d3987be.exe - Backdoor.Win32.Shiz.ts ( DrWEB: Trojan.Packed.20815, AVAST4: Win32:Malware-gen )
  6. c:\windows\system32\39b31732.exe - Backdoor.Win32.Shiz.my ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Zbot.15, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !