[решено] Помогите с лечением вируса

[Dolin]

Около пол месяца назад, началась проблема с компьютером, точнее с браузерами, будь то Internet Explorer, либо Opera. В Opera пишет соединение закрыто удаленным сервером, а Internet Explorer - Internet Explorer не может отобразить эту старницу. В Opera иногда выходит исходный код. Сделал логи как описано на форуме в AVZ и RSIT, находятся они в прикрепленном файле Logs.rar
Помогите пожалуйста с решением данной проблемы.
Зарание благодарен всем откликнувшимся.

[alex_sev]

Пролечитесь сначала так: http://support.kaspersky.ru/viruses/solutions?qid=208639609

Лог утилиты прикрепите к следующему сообщению.

После лога TDSSKiller

Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\tunvhnl.dll','');
QuarantineFile('C:\WINDOWS\system32\41.tmp','');
DeleteFile('C:\WINDOWS\system32\tunvhnl.dll');
DeleteFile('C:\WINDOWS\system32\41.tmp');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте с помощью этой формы (http://www.oszone.net/virusnet/) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

[Dolin]

Выполнил все что было описано, кроме
"Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту."

Помогло, только при открытии Internet Explorer при загрузке первой страницы выходит сообщение о присутствии в системе вредоносного ПО, затем сообщение о обновлении данного браузера, естественно я не согласился. По страницам ходит нормально, ошибок не пишет ни Opera ни Internet Explorer.
Спасибо огромное за помощь!!!

[alex_sev]

Помогло, только при открытии Internet Explorer при загрузке первой страницы выходит сообщение о присутствии в системе вредоносного ПО »

Это значит, что зловред еще в системе, предлагаю продолжать лечение с выполнением всех рекомендаций хелперов.

Логов TDSSKiller'a я так и не вижу.

[Dolin]

Лог TDSSKiller

[alex_sev]

Хорошо, сделайте для контроля лог MBAM а также

Скачайте ComboFix здесь (http://subs.geekstogo.com/ComboFix.exe), здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/forum/showthread.php?t=2773)

[Dolin]

Лог Malwarebytes' Anti-Malware

[alex_sev]

Еще подхватили зловреда (((

Удалите в MBAM:

c:\documents and settings\беломестнова\application data\lsass.exe (Spyware.Passwords.XGen) -> 1688 -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Беломестнова\Application Data\lsass.exe) Good: (Userinit.exe) -> No action taken.
c:\documents and settings\беломестнова\application data\lsass.exe (Spyware.Passwords.XGen) -> No action taken.

Выполните скрипт в AVZ:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\documents and settings\беломестнова\application data\lsass.exe','');
DeleteFile('c:\documents and settings\беломестнова\application data\lsass.exe');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте с помощью этой формы (http://www.oszone.net/virusnet/) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

После жду лог Combofix

[Dolin]

Лог Combofix

[Dolin]

Проделал все предложенные операции. Эта "скотина" все равно выдает соощение об обновлении вот скрин. Интернет работает.

[alex_sev]

Закройте все программы

Очистите временные файлы через Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1) - скачайте ATF Cleaner (http://www.atribune.org/ccount/click.php?id=1), запустите, поставьте галочку напротив Select All и нажмите Empty Selected. - если вы используете Firefox, нажмите Firefox - Select All - Empty Selected - нажмите No, если вы хотите оставить ваши сохраненные пароли - если вы используете Opera, нажмите Opera - Select All - Empty Selected - нажмите No, если вы хотите оставить ваши сохраненные пароли.

Повторите логи АВЗ и RSIT

[alex_sev]

Еще несколько вопросов:

В хост-файл сами прописывали?
192.162.16.197 srvmail

Radmin сами устанавливали?

Стартовая страница Вашей сборки hxxp://lonerd.dreamprogs.net Вам так необходима?