Решена - Вирус Trojan.Mayachok

Искал в сети файл. Нашел ссылку на самораспаковывающийся архиф, скачал, запустил (дурак). Через пару секунд компьютер перезагрузился (понял, что словил).
Использовал антивирусы:
Касперский для Windows Workstation 6.0 - не видит, не ловит
Kaspersky Virus Removal Tools - не лечит
Malwarebytes' Anti-Malware 1.51.2.1300 - не лечит
Dr. Web CureIt! - ВИДИТ и обезвреживает, когда сканирует процессы в памяти, определяет как Trojan.Mayachok.1, путь к зараженному файлу каждый раз разный, но через некоторое время появляетя вновь.

Вирус сказывается на работе броузеров, т. е. не открываются много разных страниц.

hijackthis.log
virusinfo_syscure.zip

Заранее благодарен.

 

Доброе время суток!

1. Отключите антивирус/фаервол.

2. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли

3. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически  закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера  подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\lswtelm.dll');
 DeleteFile('C:\System Volume Information\_restore{CBF53564-5498-4A03-AD0C-72B948BECFC4}\RP231\A0124598.exe');
RegKeyStrParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

после выполнения скрипта компьютер перезагрузится.

4. Пофиксите в HijackThis следующие строчки:

Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

Код:

 O20 - AppInit_DLLs: C:\WINDOWS\system32\lswtelm.dll, C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll

5. Сделайте новые логи AVZ.

6. Cделайте лог MBAM и дайте ссылку на файл лога.

После выполнения всех пунктов (1 по 6) проверьте, остался ли вирус? Если да, выполните следующее:

 

Все сделал.
1. Отключил.
2. В ATF Cleaner во всех трех вкладках нажал да (пароли и так сохранены).
3. Выполнил скрипт.
Симтом: после начала автоматической перезагрузки на стадии загрузки Windows компьютер застыл

(черный экран до появления логотипа Windows XP), и на долго. Перезагрузил нажатием кнопки на

системном блоке. Повторил все предидущие операции (1,2,3).
4. Запустил HijackThis. Нажал Do a system scan and save a logfile. Сохранил лог. Строки "O20 -

AppInit_DLLs: C:\WINDOWS\system32\lswtelm.dll, C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll" не

было, не было ни одной строки с индексом "O20". Следовательно, пофиксить не удалось.
Симптом: В присланной Вами строке содержалось "C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll". Но

логи, которые я Вам присылал сделаны более суток назад, а за это время я неоднократно обезвреживал

Trojan.Mayachok.1 как процесс впамяти с помощью Dr. Web CureIt! и при каждом таком запуске CureIt!

показывал разные пути к разным файлам, от которых запускался процесс. Помню, что и такой путь был

("C:\PROGRA~1\KASPER~1\KASPER~1.0FO\adialhk.dll"), но сейчас, когда я все это проделывал путь

наверняка другой. Может это поможет Вам.
5. Сделал новый лог AVZ.
6. Просканировал, лог сохранил. Сканер Malwarebytes' Anti-Malware нашел 27 объектов, но просмотрев

их, я понимаю, что они существуют очень давно и относятся к разного рода не лицензионному софту и

проблем никогда не создавали. Соответственно удалять не стал.


После всего этого как я могу проверить? Не перезагружая компьютер, запустил Dr. Web CureIt! - ничего

не обнаружил в процессах в памяти. Перезагрузил компьютер и снова запустил Dr. Web CureIt! - ничего

не обнаружил в процессах в памяти.

УДИВИТЕЛЬНО! Ведь я не фиксил в HijackThis ничего! А все остальное я делал несколько раз до этого!
Буду смотреть дальше, если в течении суток ничего не появитья отпишусь. Если появится - тоже!

Спасибо!

Логи:
hijackthis.log
mbam-log-2011-11-13 (16-29-42).txt
virusinfo_syscure.zip

 

а что удивительного? Вы же выполниили скрипт в AVZ из пункта 3(который в свою очередь сделал основное удаление), далее фикс в Hijackthis не обязателен(в данном случае) это делается для дополнительной безопасности. Т.е. вирус был удален после выполнения пункта 3.

В логах активного заражения не вижу.
Проверьте файл C:\Program Files\Cheat Engine\EmptyProcess.exe на Virustotal.com результат проверки скиньте суда.

 

Да да! Конечно, совсем забыл про скрипт, созданный специально для моей ситуации! Сейчас полностью уверен, что проблемы нет.
СПАСИБО!

Отчет о проверке файла C:\Program Files\Cheat Engine\EmptyProcess.exe на Virustotal.com: www-virustotal-com_file-scan_report-html_3mltbmss 178 Кб, извините, что в таком тяжелом формате.

P.S. А Cheat Engine я просто удалю за ненадобностью.

Еще раз спасибо за Вашу работу!