[решено] Вирус в system32\userinit.exe

[DarkingCat]

Хм...вот в чем проблема, может в логах и будет видно, хотя не знаю)))
Вот, во всех браузерах невозможно проиграть аудио или видео, видео то проигрывается, а звука нету)))
Еще постоянно в трее выскакивает обновление винды, а потом исчезает oO
Короче, надо от этой фигни избавиться ^_^ (AVZ ловил их, но кидал подозрения, а userinit не мог удалить, по понятным причинам).

[Drongo]

DarkingCat, Привет

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\sfc.sys','');
QuarantineFile('c:\program files\internet explorer\setupapi.dll','');
QuarantineFile('c:\program files\mozilla firefox\setupapi.dll','');
QuarantineFile('c:\program files\opera\setupapi.dll','');
DeleteFile('c:\windows\system32\drivers\sfc.sys');
QuarantineFile('%windir%\system32\sfcfiles.dll','');
RenameFile('%windir%\system32\sfcfiles.dll', '%windir%\system32\sfcfiles.bak');
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
DeleteFile('%windir%\system32\sfcfiles.bak');
DeleteFile('c:\program files\internet explorer\setupapi.dll');
DeleteFile('c:\program files\mozilla firefox\setupapi.dll');
DeleteFile('c:\program files\opera\setupapi.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_Activate;
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму (http://support.kaspersky.ru/virlab/helpdesk.html). В строке "Подробное описание возникшей ситуации:", напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

Повторите логи

Что с проблемой после выполнения скрипта?

[DarkingCat]

Проблема исчезла, скоро будут логи. И дабы не создавать лишних тем, у меня вопрос: при нажатии второй клавиши мыши, по файлу, у меня выскакивает сначала загрузка Windows Installer (жмякаю по кнопочке отмена, отмена, отмена), а только потом выскакивает окошко с "Свойствами", "Копировать", "Удалить" и т.д. Может есть решение этой проблемы?
--------
Ответ от Л. К.:

setupapi.dll,
setupapi_0.dll,
setupapi_1.dll - Trojan.Win32.BHO.aihg

At the moment these files are detected with the latest antivirus bases.

sfcfiles.dll

This file is in process.
----------
Вот и сами логи:

[thyrex]

Выполните скрипт в AVZ
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Akamai', 4);
QuarantineFile('C:\WINDOWS\System32\userinit.exe','');
DeleteFile('c:\program files\common files\akamai\rswin_3725.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Akamai\Parameters','ServiceDl l');
DeleteService('Akamai');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. Компьютер перезагрузится.

Выполните скрипт в AVZ
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.quarantine.zip из папки AVZ отправьте через форму (http://support.kaspersky.ru/virlab/helpdesk.html).
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Пароль: virus".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 1,5 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь.

Сделайте новые логи

[DarkingCat]

Вот логи.

[thyrex]

C:\WINDOWS\System32\userinit.exe проверьте на virustotal (http://www.virustotal.com/ru)
Ссылку на результат проверки сообщите

[DarkingCat]

http://www.virustotal.com/vt/ru/recepcion?0295e8447be88239b3070cdf51790e66
Фигня нейкая :D

[Drongo]

DarkingCat, Ссылка не открывается.

[DarkingCat]

Так и я о чем. Там ничего нету.

[thyrex]

Так и я о чем. Там ничего нету. »Выложите нормальную ссылку на результат проверки

[Drongo]

DarkingCat, Хорошо, проверьте ещё раз здесь

http://www.virscan.org/
http://virusscan.jotti.org/ru

[DarkingCat]

В первом не нашел файл.
Во втором файл весит 0 байт.