Решена - Подцепил заразу Trojan.Win32.Ddox.ci

Подхватил заразу (где и как так и не понял - обновление оперы на новую версию провел, посидел минут 15 в нете, комп сам перезагрузился, дальше как у всех), прошу помощи

логи:
http://exfile.ru/189208
http://exfile.ru/189209
http://exfile.ru/189210

Заранее спасибо!

 

1. Отключите антивирус/фаервол, интернет.

2. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли

3. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearHostsFile;
 QuarantineFile('C:\WINDOWS\setup.exe','');
 QuarantineFile('C:\Programs\Kaspersky_2010_Trial_Reset\Kaspersky_2010_Trial_Reset\Kaspersky_2010_Trial_Reseter\Kaspersky_2010_Trial_Reseter\Resetter 2.3\Resetter 2.3.exe','');
 QuarantineFile('C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\Resetter 2.3.exe','');
 QuarantineFile('C:\WINDOWS\system32\mypzghf.dll','');
 DeleteFile('C:\WINDOWS\system32\mypzghf.dll');
 DeleteFile('C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\Resetter 2.3.exe');
 DeleteFile('C:\Programs\Kaspersky_2010_Trial_Reset\Kaspersky_2010_Trial_Reset\Kaspersky_2010_Trial_Reseter\Kaspersky_2010_Trial_Reseter\Resetter 2.3\Resetter 2.3.exe');
 DeleteFile('C:\WINDOWS\setup.exe');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows  NT\CurrentVersion\Winlogon\', 'Userinit', GetEnvironmentVariable  ('WinDir')+'\System32\userinit.exe,');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.

после выполнения скрипта компьютер перезагрузится.
после перезагрузки выполнить второй скрипт:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке AVZ найдите архив quarantine.zip и проверьте его на VirusТotal, результат сообщите здесь.

4. Пофиксите в HijackThis следующие строчки:

Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

Код:

O16 - DPF: {230C3D02-DA27-11D2-8612-00A0C93EEA3C} (SAXFile FileUpload ActiveX Control) - http://www.termpro.com/SAXFile.cab
O20 - AppInit_DLLs: C:\WINDOWS\system32\mypzghf.dll

5. Сделайте новые логи AVZ и HijackThis

6. Cделайте лог MBAM и дайте ссылку на файл лога.

После выполнения всех пунктов (1 по 6) проверьте, остался ли вирус? Если да, выполните следующее:

Поскольку версия вашего браузера Internet Explorer устарела, официально не поддерживается и имеет множество критических уязвимостей, Обязательно обновите браузер до последней версии Internet Explorer 8, после обновления - НЕ используйте его, замените его например одним из этих: Mozilla FireFox, Opera, Google Chrome.
- Работайте в системе исключительно под учетной записью пользователя (НЕ АДМИНИСТРАТОРА).

 

результат проверки virus total
Antivirus Version Last Update Result
AhnLab-V3 2011.07.01.01 2011.07.01 -
AntiVir 7.11.10.193 2011.07.01 -
Antiy-AVL 2.0.3.7 2011.07.01 -
Avast 4.8.1351.0 2011.07.01 -
Avast5 5.0.677.0 2011.07.01 -
AVG 10.0.0.1190 2011.07.01 -
BitDefender 7.2 2011.07.01 -
CAT-QuickHeal 11.00 2011.07.01 -
ClamAV 0.97.0.0 2011.07.01 -
Commtouch 5.3.2.6 2011.07.01 -
Comodo 9241 2011.07.01 -
DrWeb 5.0.2.03300 2011.07.01 -
eSafe 7.0.17.0 2011.06.29 -
eTrust-Vet 36.1.8420 2011.07.01 -
F-Prot 4.6.2.117 2011.06.30 -
F-Secure 9.0.16440.0 2011.07.01 -
Fortinet 4.2.257.0 2011.07.01 HackerTool/Kiser
GData 22 2011.07.01 -
Ikarus T3.1.1.104.0 2011.07.01 -
Jiangmin 13.0.900 2011.06.30 -
K7AntiVirus 9.106.4859 2011.06.30 -
Kaspersky 9.0.0.837 2011.07.01 -
McAfee 5.400.0.1158 2011.07.01 -
McAfee-GW-Edition 2010.1D 2011.07.01 -
Microsoft 1.7000 2011.07.01 -
NOD32 6256 2011.07.01 -
Norman 6.07.10 2011.07.01 -
nProtect 2011-07-01.01 2011.07.01 -
Panda 10.0.3.5 2011.07.01 -
PCTools 8.0.0.5 2011.07.01 -
Prevx 3.0 2011.07.01 -
Rising 23.64.04.03 2011.07.01 -
Sophos 4.67.0 2011.07.01 -
SUPERAntiSpyware 4.40.0.1006 2011.07.01 -
Symantec 20111.1.0.186 2011.07.01 -
TheHacker 6.7.0.1.246 2011.07.01 -
TrendMicro 9.200.0.1012 2011.07.01 -
TrendMicro-HouseCall 9.200.0.1012 2011.07.01 -
VBA32 3.12.16.4 2011.07.01 -
VIPRE 9739 2011.07.01 Trojan.Win32.Generic!BT
ViRobot 2011.7.1.4544 2011.07.01 -
VirusBuster 14.0.104.0 2011.06.30 -

 

при проверке хайджеком не было этой строчки:
O20 - AppInit_DLLs: C:\WINDOWS\system32\mypzghf.dll5

 

лог MBAM
http://exfile.ru/189671

 

Судя по поведению - вируса не осталось. Спасибо огромное!

 

Удалите в MBAM следующие строки:

Зараженные файлы:
c:\program files\macromedia\dreamweaver 8\keygen [ macromedia dreamweaver 8.0.1 ].exe (Riskware.Tool.CK) -> No action taken.
c:\documents and settings\Fanat\Desktop\avz4\avz4\quarantine\2011-07-01\avz00002.dta (Trojan.Agent.CK) -> No action taken.
c:\documents and settings\Fanat\Desktop\avz4\avz4\quarantine\2011-07-01\avz00003.dta (Trojan.Agent.CK) -> No action taken.
c:\documents and settings\Fanat\Desktop\avz4\avz4\quarantine\2011-07-01\bcqr00005.dat (Trojan.Agent.CK) -> No action taken.
c:\documents and settings\Fanat\Desktop\avz4\avz4\quarantine\2011-07-01\bcqr00006.dat (Trojan.Agent.CK) -> No action taken.

 

сделал, спасибо!

 

обращайтесь