Подозрение на инфекцию Winlogon

[Anotherworld]

Началось все с того, что Аутпост стал предупреждать о частых изменениях, которые Винлогон делает в элементах других программ. Стали самопроизвольно открываться окна браузера.
1. Нортон Антивирус опознал и убрал вирус Infostealer. Проблема не исчезла.

2. Нод32 убрал

C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\CJ2LMQX7\Install-Errorprotector-Free[1].cab »CAB »UERT_0001_D19M2109NetInstaller.exe - модифицированный Win32/Adware.WinFixer

C:\WINDOWS\system32\efcdayx.dll - Win32/Adware.Virtumonde

C:\WINDOWS\system32\nnnnmkk.dll - Win32/Adware.Virtumonde

Проблема не исчезла.

3. drweb-cureit опознал c:\windows\system32\awvvw.dll инфицирован Trojan.Virtumod, но не лечит -(
Прилагаю логи AVZ & hijack'a ...Что делать?

[drongo]

AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\dibrijqe.dll','');
 QuarantineFile('C:\WINDOWS\system32\winubg32.dll','');
 QuarantineFile('C:\WINDOWS\system32\khffeby.dll','');
 QuarantineFile('C:\WINDOWS\system32\awvvw.dll','');
RebootWindows(true);
end.

Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=8999........

P.S. удалить одного из антивирусов полностью, на вашем месте удалил бы нортона .

[drongo]

3. drweb-cureit опознал c:\windows\system32\awvvw.dll инфицирован Trojan.Virtumod, но не лечит -(

Лечить там нечего , надо удалить

[Anotherworld]

Карантин отправил.
Эти были тоже раньше, но я их стер вручную:
WINDOWS\system32\dibrijqe.dll','');
WINDOWS\system32\winubg32.dll','');
WINDOWS\system32\khffeby.dll','');

А эта штука невидима, хотя системные и скрытые файлы показываются

\WINDOWS\system32\awvvw.dll'

[Anotherworld]

Так, туплю. awvvw.dll нашел. Что с ним сделать: поджарить или зарезать?

[Anotherworld]

khffeby.dll, dibrijqe.dll и awvvw.dll прописаны как надстройки IE

[AndreyKa]

C:\WINDOWS\system32\awvvw.dll - Trojan.Virtumod

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:

begin
 SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\awvvw.dll');
 DelCLSID('12D0B0C5-4069-4E37-B7B5-3197FE144D13');
 DelCLSID('67C55A8D-E808-4caa-9EA7-F77102DE0BB6');
 DelCLSID('A416D604-EAA3-4618-958C-2ECA22414616');
 DelWinlogonNotifyByFileName('winubg32.dll');
 ExecuteSysClean;
 RebootWindows(True);
end.

Компьютер перезагрузится.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.

[Anotherworld]

Сделано. Комп повис, перезагружал резетом после лечения.

В логе хайджэка надпись настораживает:
O2 - BHO: (no name) - {6BBA6345-FDDE-407D-B125-1FECA2D326FC} - C:\WINDOWS\system32\awvvw.dll (file missing)

т.е. в реестре фигня прописана еще?

[drongo]

а утилитой , которую советовал- запускали для удаления нортона ? что-то больно много следов осталось
Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 )

O2 - BHO: (no name) - {6BBA6345-FDDE-407D-B125-1FECA2D326FC} - C:\WINDOWS\system32\awvvw.dll (file missing)

O2 - BHO: CNavExtBho Class - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll (file missing)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll (file missing)
O20 - Winlogon Notify: winubg32 - winubg32.dll (file missing)
O20 - Winlogon Notify: awvvw - C:\WINDOWS\
O23 - Service: Norton Unerase Protection (NProtectService) - Unknown owner - C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE (file missing)

[Anotherworld]

Спасибо, вроде бы нет их - отфиксились, упокой их коды...
А утилиту, уважаемый Дронго, вы мне не говорили для устранения НАВа.

[drongo]

Точно -другому говорил , похожие темы вот она http://service1.symantec.com/SUPPORT...05033108162039

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\awvvw.dll - not-a-virus:AdWare.Win32.Virtumonde.fp (DrWEB: Trojan.Virtumod)