HEUR:Trojan.Win32.Generic

[inguard]

Антивирус Касперского периодически, раз в 2-3 часа, обнаруживает HEUR:Trojan.Win32.Generic в файлах C:\windows\temp\49022844.exe и C:\windows\temp\49022844.exe/UPX.

[polword]

1.Профиксите в HijackThis

R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)

2.Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
  QuarantineFile('C:\WINDOWS\Installer\8de91.msi','');
 QuarantineFile('C:\Program Files\pchd\PCHDPlayer.exe','');
 QuarantineFile('C:\Games\Рисоваська\risovaska.exe','');
 DeleteService('ddservice');
 QuarantineFile('C:\WINDOWS\winexp.exe','');
 DeleteService('srviecheck');
 QuarantineFile('C:\WINDOWS\iecheck.exe','');
 DeleteFile('C:\WINDOWS\iecheck.exe');
 DeleteFile('C:\WINDOWS\winexp.exe');
 DeleteFile('C:\Program Files\pchd\PCHDPlayer.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
 DeleteFileMask('C:\Program Files\pchd', '*.*', true);
 DeleteDirectory('C:\Program Files\pchd');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[inguard]

Файл сохранён как 101223_124045_quarantine_4d13191d788c4.zip
Размер файла 1353345
MD5 78dc8bf408d826ed5d867a02b870583b

[inguard]

загружены virusinfo_syscheck.zip;hijackthis.log

[polword]

что с проблемой?

[inguard]

Последнее сообщение от Касперского было в 11:28:57, то есть до предложенного Вами лечения:
23.12.2010 11:28:57 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe.

пока все чисто, еще пару часиков помониторю и сообщу результат.

Добавлено через 2 часа 29 минут

Похоже что проблема не исчезла:
23.12.2010 15:38:42 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\WINDOWS\temp\49022844.exe
23.12.2010 15:38:42 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\WINDOWS\temp\49022844.exe/UPX
23.12.2010 14:18:07 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\WINDOWS\temp\49022844.exe
23.12.2010 14:18:07 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\WINDOWS\temp\49022844.exe/UPX

[polword]

сделайте новый комплект логов

[inguard]

новые логи загружены

[thyrex]

Сделайте лог полного сканирования МВАМ

[inguard]

просканировал

[polword]

- удалите в MBAM

Заражённые ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FieryAds (Adware.FieryAds) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\TDSS (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\tdssdata (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\zipdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\zipdrivers (Trojan.Agent) -> No action taken.


Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.StartPage) -> Bad: (http://webalta.ru/) Good: (http://www.google.com/) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Page_URL (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Page_URL (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.

Заражённые папки:
c:\program files\FieryAds (Adware.Adware.FearAds) -> No action taken.

Заражённые файлы:
c:\program files\FieryAds\fieryadsuninstall.exe (Adware.FieryAds) -> No action taken.
c:\WINDOWS\system32\phc9mhj0e5cp.bmp (Trojan.FakeAlert) -> No action taken.
c:\WINDOWS\system32\TDSSfxmp.dll (Rootkit.TDSS) -> No action taken.

Пролечитесь так
- лог работы утилиты прикрепите к сообщению

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.Версия_Дата_Время_log.txt
Например, C:\TDSSKiller.2.4.0_23.07.2010_15.31.43_log.txt

[inguard]

Загружен

[polword]

- Сделайте повторный лог MBAM

[inguard]

готово

[polword]

готово

где лог?

[inguard]

видимо не прикрепился в первый раз

[thyrex]

Что с проблемой?

[inguard]

Все еще живет... :-(
26.12.2010 13:05:25 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe
26.12.2010 13:05:24 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe/UPX

Добавлено через 36 секунд

снова запустил MBAM

Добавлено через 4 часа 50 минут

MBAM говорит что чисто, а Касперский опять находит
26.12.2010 20:02:06 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe
26.12.2010 20:02:06 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe/UPX
26.12.2010 18:42:14 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe
26.12.2010 18:42:13 Антивирус Касперского Центр защиты Обнаружено: HEUR:Trojan.Win32.Generic C:\windows\temp\49022844.exe/UPX

[inguard]

лог MBAM а аттача

[polword]

в логе чисто