Avast: Слишком много идентичных электронных писем в определенное время

[QwertyzZ]

Салют

Avast стал выдавать множество окон с содержанием вроде

Слишком много идентичных электронных писем в определенное времяОтправитель: <[email protected]>Получатель: <[email protected]>Тема: good!

Вроде называют спамбот?
После исполнения всего, что указано в Правилах, Avast продолжает ругаться на winlogon.exe , но сделать ничего не может.

plz help

[olejah]

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) -  - (no file)

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 QuarantineFile('C:\WINDOWS\system32\drivers\kxrpw.sys','');  
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[QwertyzZ]

Скрипты выполнил, quarantine.zip отправил.
Avast виснет при автозагрузке и вместе с ним рабочий стол, если остановить Avast до полной загрузки, то затем после прогрузки Windows удаётся его включить и работать, но при открывании нового окна IE или Firefox выдаёт сообщение о

C:\WINDOWS\system32\winlogon.exe
Win32:Bamital-AC

При открывании окон браузеров Google Chrome или Opera сообщение не выдаёт, ими редко пользовался.

[olejah]

Сделайте лог полного сканирования МВАМ

[QwertyzZ]

Лог MBAM

[olejah]

C:\WINDOWS\system32\h@tkeysh@@k.dll - сами ставили, знакомо/нужно Вам?

[QwertyzZ]

Нет, не знаю что это.

[olejah]

Удалите в МВАМ -

Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\HiSoft\CrackDownloader (CrackTool.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
C:\WINDOWS\system32\h@tkeysh@@k.dll (Trojan.Agent) -> No action taken.

[QwertyzZ]

Удалил, после перезагрузки проблема

Avast виснет при автозагрузке и вместе с ним рабочий стол, если остановить Avast до полной загрузки, то затем после прогрузки Windows удаётся его включить и работать, но при открывании нового окна IE или Firefox выдаёт сообщение о
C:\WINDOWS\system32\winlogon.exe
Win32:Bamital-AC

осталась, но заметил, что если при прогрузке Windows и Avast через CtrlAltDelete снять задачу spoolsv.exe , то всё прогружается нормально. Отправил его на проверку на virustotal.com , там ничего не нашли.

Проблемы со спамом писем сегодня не было.

Повторил лог MBAM, но без диска D:\

[olejah]

По логу МВАМ - чисто.

[QwertyzZ]

Теперь и на explorer.exe Avast иногда ругается также как и на winlogon.exe

Повторил Virus Removal Tool в безопасном режиме.
Повторил AVZ и HijackThis.
Пожалуйста, проверьте новые логи.
Если ничего, то переустановлю ОС.

[olejah]

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('c:\windows\explorer.exe','');
 QuarantineFile('C:\WINDOWS\System32\winlogon.exe','');  
 BC_ImportAll;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip'); 
 end.

Пришлите файл quarantine2.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[QwertyzZ]

quarantine2.zip отправил.

[olejah]

Нашли корень проблемы, не зря Аваст ругался.

c:\windows\explorer.exe и C:\WINDOWS\System32\winlogon.exe - эти два файла нужно заменить чистыми с дистрибутива.

[QwertyzZ]

Заменил, Avast и Windows нормально прогружаются.
Запустил сканирование, вроде всё нормально.

Благодарю virusinfo.info


Olejah, огромное спасибо!

[olejah]

Больше жалоб ни на что нету?

[QwertyzZ]

Спама не было. Avast не ругается.
Ещё раз спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\explorer.exe - Trojan.Win32.Patched.kl ( DrWEB: Win32.Dat.8, BitDefender: Win32.Loader.Q, NOD32: Win32/Bamital.EC trojan, AVAST4: Win32:Bamital-AC )
  2. c:\\windows\\system32\\winlogon.exe - Trojan.Win32.Patched.kl ( DrWEB: Win32.Dat.8, BitDefender: Win32.Loader.Q, NOD32: Win32/Bamital.EC trojan, AVAST4: Win32:Bamital-AC )