Решена - Помощь с internet.com

Здравствуйте. Заразился трояном, Mozilla Firefox работает некоректно и переодически перекидывает на internet.com.
Логи:
hijackthis.log
virusinfo_syscure.zip
Спасибо

 

Доброе время суток!

1. Отключите антивирус/файрволл.

2. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли

3. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически   закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера   подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('G:\Users\Barm\AppData\Roaming\netprotocol.exe','');
 QuarantineFile('G:\Users\Barm\Мои документы\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Users\Barm\Documents\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Documents and Settings\Barm\Мои документы\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Documents and Settings\Barm\Documents\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Windows\system32\dprclient32.exe','');
 DeleteFile('G:\Users\Barm\AppData\Roaming\eType\eType.exe');
 DeleteFile('G:\Users\Barm\AppData\Roaming\netprotocol.exe');
 DeleteFile('G:\Windows\system32\dprclient32.exe');
 DeleteFile('G:\Windows\system32\ijdrxub.dll');
 DeleteFile('G:\Documents and Settings\Barm\Documents\My Received Files\497498130\pbsetup.zip');
 DeleteFile('G:\Documents and Settings\Barm\Мои документы\My Received Files\497498130\pbsetup.zip');
 DeleteFile('G:\Users\Barm\Documents\My Received Files\497498130\pbsetup.zip');
 DeleteFile('G:\Users\Barm\Мои документы\My Received Files\497498130\pbsetup.zip');
 RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteRepair(1);
RebootWindows(true);
end.

после выполнения скрипта компьютер перезагрузится.

4. Пофиксите в HijackThis следующие строчки:

Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.etypestart.com/?src=startpage&provider=&provider_name=yahoo&provider_code=&partner_id=697&product_id=730&affiliate_id=&channel=&toolbar_id=205&toolbar_version=2.3.0&install_country=RU&install_date=20111105&user_guid=1B04767C171D4C36B6458E23C6BF6657&machine_id=af059d284310f505b7f4d8dfab8f5b99&browser=IE&os=win&os_version=6.1-x64-SP0
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O4 - HKCU\..\Run: [Netprotocol] G:\Users\Barm\AppData\Roaming\netprotocol.exe
O4 - HKCU\..\Policies\Explorer\Run: [Windows Debugger 32] G:\Windows\system32\dprclient32.exe
O20 - AppInit_DLLs: G:\Windows\system32\ijdrxub.dll

5. Сделайте новые логи AVZ.

6. Cделайте лог MBAM и дайте ссылку на файл лога.

После выполнения всех пунктов (1 по 6) проверьте, остался ли вирус?

Barm_nk, если форум оказался полезен вам, пожалуйста, поддержите его работу -

 

При запуске вышепреведенного Вами скрипта программа крэшится:

 

Попробуйте выполнить вот такой скрипт:

Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)

Код:

begin
 QuarantineFile('G:\Users\Barm\AppData\Roaming\netprotocol.exe','');
 QuarantineFile('G:\Users\Barm\Мои документы\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Users\Barm\Documents\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Documents and Settings\Barm\Мои документы\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Documents and Settings\Barm\Documents\My Received Files\497498130\pbsetup.zip','');
 QuarantineFile('G:\Windows\system32\dprclient32.exe','');
 DeleteFile('G:\Users\Barm\AppData\Roaming\eType\eType.exe');
 DeleteFile('G:\Users\Barm\AppData\Roaming\netprotocol.exe');
 DeleteFile('G:\Windows\system32\dprclient32.exe');
 DeleteFile('G:\Windows\system32\ijdrxub.dll');
 DeleteFile('G:\Documents and Settings\Barm\Documents\My Received Files\497498130\pbsetup.zip');
 DeleteFile('G:\Documents and Settings\Barm\Мои документы\My Received Files\497498130\pbsetup.zip');
 DeleteFile('G:\Users\Barm\Documents\My Received Files\497498130\pbsetup.zip');
 DeleteFile('G:\Users\Barm\Мои документы\My Received Files\497498130\pbsetup.zip');
 RegKeyStrParamWrite('HKLM','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteRepair(1);
RebootWindows(true);
end.

Каков результат?

 

Олег, теперь все получилось. И бразуер начал снова работать как и прежде. Огромное спасибо за помощь!

 

Не торопитесь, выполните пункт 6.

Выполните следующий скрипт в AVZ:

После того как скрипт отработает, если будут найдены уязвимости, то в блокноте откроется файл avz_log.txt со ссылками на обновления, которые нужно загрузить и установить. Если ничего обновлять не надо, AVZ просто закроется.

Спасибо за поддержку.

 

Все сделал, после выполнения скрипта было найдено 3 уязвимости, в hijackthis не было этих строк:

Код:

O4 - HKCU\..\Run: [Netprotocol] G:\Users\Barm\AppData\Roaming\netprotocol.exe
O4 - HKCU\..\Policies\Explorer\Run: [Windows Debugger 32] G:\Windows\system32\dprclient32.exe
O20 - AppInit_DLLs: G:\Windows\system32\ijdrxub.dll

 

Хорошо, лог MBAM из пункта 6 сделайте и дайте на него ссылку.
На этом лечение завершено.

Чистого вам интернета.