[решено] Помогите, пожалуйста!!! Вирус Vundo.Gen.AW

[Oljchichek]

Поймала где-то эту гадость, антивирус (НОД32) не удаляет, стандартная программа Windows тоже. Лог прикрепляю (сделан при помощи AVZ). Заранее спасибо за помощь!

[iskander-k]

1. Логи не те. смотрите инструкцию.
Выложите логи в соответствии с этими (http://forum.oszone.net/post-717373.html) инструкциями.

[Oljchichek]

Добавляю все файлы в соответствии с инструкциями

[Oljchichek]

iskander-k, добавила логи.

[thyrex]

Выполните скрипт в AVZ
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\D395~1\AppData\Local\Temp\6sdeybon.exe','');
DeleteFile('C:\Users\D395~1\AppData\Local\Temp\6sdeybon.exe');
DeleteFile('C:\Windows\Tasks\7wyncldu2.job');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.Компьютер перезагрузится.

Выполните скрипт в AVZ
begin
CreateQurantineArchive('c:\quarantine.zip');
end.Отправьте c:\quarantine.zip при помощи этой формы (http://www.oszone.net/virusnet/)


Сделайте новые логи

[Oljchichek]

thyrex, карантин при помощи формы отправила, логи прикрепляю.

[Oljchichek]

Логи, сделанные AVZ

[thyrex]

Пофиксите в HiJack
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
Скачайте Malwarebytes' Anti-Malware (http://malwarebytes.org/mbam-download-exe-random.php) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2012-11-09 (07-32-51).txt

[Oljchichek]

thyrex, прикрепляю новый лог.

[Oljchichek]

Лог

[thyrex]

Запустите еще раз сканирование в МВАМ и после его завершения удалите только эти строки
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.

Проблема решена?

[Oljchichek]

thyrex, к сожалению, нет =((( все так же вылезает реклама, и яндекс блокирует сайты с антивирусной помощью, типа virusinfo. Я уже замучилась с ним вконец!!! Это началось после того, как подруга скачала без моего ведома программу VkontakteDj, папка с ней в корне диска С. Деинсталлятора нет. Переустановка виндовс поможет??

[thyrex]

Скачайте ComboFix здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) и сохраните на Рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет, пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, файл C:\ComboFix.txt прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo@fix.exe

[Oljchichek]

thyrex, прикрепляю еще один лог...

[Oljchichek]

thyrex, Баннер никуда не делся, я так понимаю, вирус все еще со мной... Возможно ли, что проблема в этой программе VkontakteDj? Подскажите, пожалуйста, как ее удалить. С автозагрузки я ее убрала.

[iskander-k]

Баннер никуда не делся »
Повторите логи АВЗ и РСИТ


VkontakteDj? Подскажите, пожалуйста, как ее удалить. »
кнопка пуск - панель управления - удаление программ - найдите это приложение, выделите и выберите удалить. Или поищите в меню Все программы приложение Vkontakte и кликните по Удалить

[Oljchichek]

iskander-k, в том то и дело, что нет его ни в панели управления, ни в меню программ... а тупо удалять папку, как-то не совсем корректно

[iskander-k]

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.


begin
QuarantineFile('C:\VkontakteDJ\VKontakteDJ.exe','');
DeleteFile('C:\VkontakteDJ\VKontakteDJ.exe');
RebootWindows(true);
end.


Ломалку для нод удалите хотя бы временно.

[Oljchichek]

iskander-k, ломалку удалила, она уже давно не работает все равно. Новые логи высылаю. За совет об удалении странной программы отдельное спасибо! =)

[thyrex]

Пофиксите в HiJack (запустив утилиту от имени Администратора по правой кнопке мыши)
O17 - HKLM\System\CCS\Services\Tcpip\..\{846ee342-7039-11de-9d20-806e6f6e6963}: NameServer = 193.111.137.199
O17 - HKLM\System\CCS\Services\Tcpip\..\{A577D5D8-D579-4FD2-81C0-EC9167E12C33}: NameServer = 193.111.137.199Сделайте новые логи RSIT