В работе - win32/TrojanDownloader.Carberp.AD + Хост процесс

Помогите, после загрузки Win 7 появляется сообщение Прекращена работа программы "Хост-процесс для служб Windows" , а Нод находит вирус win32/TrojanDownloader.Carberp.AD. почти все программы незапускаются. В безопасном режиме сделал лог файлы программ AVZ и HijackThis. После удаления временных файлов и перезагрузки больше немогу зайти в безопастный режим, поэтому образа автозапуска нет.
ссылка на лог файл http://zalil.ru/32756003

 

Доброе время суток!

1. Отключите антивирус/файрволл.

2. Скачайте ATF Cleaner, запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
- нажмите No, если вы хотите оставить ваши сохраненные пароли

3. Выполните скрипт в AVZ (Запустите AVZ, Меню - Файл - Выполнить скрипт -- в открывшееся окно вставляем -- ниже написанный скрипт -- и нажимаем - Запустить.)

Код:

begin
 ClearHostsFile;
 DeleteFile('C:\Users\SynteX\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\7t4QZxNUeR4.exe');
 DeleteFile('C:\Users\SynteX\AppData\Roaming\ygmdrm.exe');
 DeleteFile('D:\7809ac7f18582fdecb\DW\DW20.exe');
 RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportAll;
 ExecuteSysClean;
BC_Activate;
 ExecuteRepair(10);
RebootWindows(true);
end.

после выполнения скрипта компьютер перезагрузится.

4. Пофиксите в HijackThis следующие строчки:

Внимание: некоторые строки могут отсутствовать, это нормально, просто сообщите какие не нашли при фиксе.

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.apeha.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.apeha.ru
R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)
O4 - Startup: 7t4QZxNUeR4.exe

5. Сделайте новые логи AVZ.

6. Cделайте лог MBAM (подробнее) и дайте ссылку на файл лога. *выполнять обязательно!
Если лог не открылся, нажмите "Показать Результаты", сохраните отчет и дайте на него ссылку.

После выполнения всех пунктов (1 по 6) проверьте, остался ли вирус?

SynteX, если форум оказался полезен вам, пожалуйста, поддержите его работу -

 

к сожелению в безопасный режим войти больше немогу (предыдущие логи делал в нем). при обычном запуске компа AVZ не запускается. можно ли чтото сделать загрузившись с Live CD?

 

пробуйте делать образ автозапуска с помощью uVS - можно без проверки цифровых подписей - будет намного быстрее
в крайнем случае можно сделать этот лог с помощью LiveCD - просто выбрать не активную систему, а каталог с установленной ОС и дальше по инструкции и по этому логу пролечим

 

с Live CD запустил uVC указал папку с виндой и сделал образ
ссылка http://zalil.ru/32757725

 

Загрузите и распакуйте скрипт отсюда - http://upwap.ru/2041425
Запускаем uVS еще раз, только теперь меню Скрипт - Выполнить скрипт из файл - выбираем файл и ждем выполнения. После выполнения скрипта - ПК перезагрузится. Пробуем загрузиться в обычном или безопасном режиме и делаем в системе новый лог uVS

 

сделал новый лог http://rghost.ru/36658073

 

загрузился в обычном режиме пока некаких ошибок нет

 

лог битый

 

новый лог http://rghost.ru/36658755

 

Чисто. Выполнить такой скрипт из буфера обмена:

После перезагрузки сделать лог Mbam

 

Сделал лог MBAM ссылка http://zalil.ru/32760636

 

Удалить это:

 

Удалил, перезагрузися, просканировал, ничего не найдено.
Спасибо огромное!!!

PS почему Нод 32 4 с последними базами невидел эти файлы?

 

Потому что у вас система дырявая. а антивирус - это не панацея

Если проблема решена, то:
При наличии на ПК доступа в интернет выполните следующий скрипт в AVZ:

Код:

begin
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
 If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
 Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
 if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player.

Если форум оказался полезен вам, пожалуйста, поддержите его работу -