Закрывается Opera.exe

[Drag0n]

Добрый день!

Помогите пожалуйста справится с вирусом. Симптомы такие:
Под пользователем Admin окно Оперы запускается и через несколько секунд закрывается само собой, даже если в диалоге запуска оперы ничего не выбирать. Под пользователем Гость такого не происходит. Проверяли Avira, dr.Web Live CD, AVP Virus Removal Tool. Opera версии 11.01. Переустановка оперы не помогает.

Файлы сканирования системы согласно правилам оформления в этой ветке прилагаются.

Видел на форуме у кого то были подобные проблемы, но там полечили удалением пользователя, мы так сделать не можем по политическим причинам. Помогите пожалуйста!

[olejah]

Добрый день!

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\UJP.exe','');
 QuarantineFile('C:\WINDOWS\system32\XP-CC4AE88A.EXE','');
 DeleteFile('C:\WINDOWS\system32\XP-CC4AE88A.EXE');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','XP-CC4AE88A');  
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Сделайте лог Гмер

[Drag0n]

Карантин прислал, но там файлов нет, машина перегружалась. Не нужно было перегружать? Gmer при полном сканировании вызывает ошибку "Память не может быть read....." и завершается. лог неполного сканирования прилагается, похоже какая то гадость замаскировалась под svchost.exe

[Drag0n]

Еще момент заметил, при одной из полных проверок машина свалилась в синий экран и в синем экране было упоминание об fltMgr.sys, который упоминается в отчете Gmer. Возможно он инфицирован

Добавлено через 13 минут

При сканировании в секции Autostart в программе gmer так же система свалилась в синий экран, без указания причины.

[thyrex]

Сделайте лог ComboFix

[Drag0n]

Лог прилагается

[thyrex]

Забавные животные на Рабочем столе! - эту программу сами устанавливали?

Пофиксите в hijack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\windows\system32\rbtbhqck.dll
c:\docume~1\Admin\LOCALS~1\Temp\UJP.exe

Driver::
eewrte
UJP

NetSvc::
eewrte

Folder::

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[Drag0n]

Не вкурсе кто ставил забавные животные, это комп начальника, который его принес от еще большего начальника А он того домашний, так что спросить проблематично.

Лог прилагаю.

[thyrex]

Выполните скрипт в AVZ

begin
DeleteFile('C:\Program Files\VPets\VPets.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VPetsPlayer');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','GEST');
DeleteFileMask('C:\Program Files\VPets', '*.*', true);
DeleteDirectory('C:\Program Files\VPets');
DeleteFileMask('C:\VPets', '*.*', true);
DeleteDirectory('C:VPets');
DeleteFileMask('D:\VPets', '*.*', true);
DeleteDirectory('D:VPets');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Что с проблемой?

[Drag0n]

Поведение такое же, закрывается. Если появившийся диалог открытия мышкой за заголовок окна носить, не закрывается, стоит отпустить, закрывается.
А что со скрытым svchost с eewrte? Он не удалился, gmer на него ругается.

Кэш оперы или куки не могут влиять на поведение? Мне тут человек в личку посоветовал Opera Password Recovery для удаления всего. Или на єтапе открытия диалога запуска до кэша дело не доходит?

[thyrex]

Установите все новые обновления для Windows

Выполните еще раз скрипт для ComboFix из сообщения №7

[Drag0n]

Обновления установлены почти все. Критических неустановленных нет. Мне кажется что этот сервис не удаляется ComboFix'ом. Уже два раза запускал скрипт

[thyrex]

http://support.kaspersky.ru/kis2009/error?qid=208636215 пробуйте

[Drag0n]

Все таки сервис удалился и Gmer ничего не выдает теперь. На полной проверке все так же вылетает. Однако поведение оперы такое же. Попробую kk.exe по ссылке, отпишусь

[Drag0n]

Net-Worm.Win32.Kido removing tool, Kaspersky Lab 2010
version 3.4.14 Mar 19 2010 10:17:17
scanning jobs ...

scanning processes ...

scanning threads ...

scanning modules in svchost.exe...
scanning modules in services.exe...
scanning modules in explorer.exe...

scanning C:\WINDOWS\system32 ...
scanning C:\Program Files\Internet Explorer\ ...
scanning C:\Program Files\Movie Maker\ ...
scanning C:\Program Files\Windows Media Player\ ...
scanning C:\Program Files\Windows NT\ ...
scanning C:\Documents and Settings\Admin\Application Data ...
scanning C:\DOCUME~1\Admin\LOCALS~1\Temp\ ...
scanning Flash drives ...

completed
Infected jobs: 0
Infected files: 0
Infected threads: 0
Spliced functions: 0
Cured files: 0
Fixed registry keys: 0

Для продолжения нажмите любую клавишу . . .

Ничего не нашлось...

Добавлено через 53 минуты

Переустановили оперу, почистив перед установкой реестр и все заработало! Получается какой то глюк был в самой опере, версия 11.01.

Всем спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 4
• В ходе лечения вредоносные программы в карантинах не обнаружены