плановая проверка

[pro-pan]

0024
авз http://rghost.ru/38037831
ювс http://rghost.ru/38037838
рсит http://rghost.ru/38037840

[Vvvyg]

По 24-му набору:
Скрипт в AVZ:

begin
ExecuteWizard('TSW',2,2,true);
end.

затем скрипт в uVS:

;uVS v3.75 BETA1 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref %SystemDrive%\HUADIO.TMP
delref HTTP://SEARCH.BABYLON.COM/HOME?AF=14276&BABSRC=NT_DEF
deltmp
delnfr
restart

далее - MBAM и проверку уязвимостей, там файрфокс как минимум старый с дырами.

[pro-pan]

вообще то уязвимости закрыты еще до сбора логов... и фаерфокса в программах не наблюдаю
0024 мбам http://rghost.ru/38038201

[Vvvyg]

В установленных программах есть Mozilla Firefox 3.5.6.

[safety]

в мбам это оставить,

Объекты реестра обнаружены: 3
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.

остальное удалите,
перегрузить систему и еще раз выполнить быстрый скан в малваребайт

[pro-pan]

повторная проверка - чисто

[safety]

значит все ок по ней.

[pro-pan]

0024 - Соединение закрыто удалённым сервером

авз http://rghost.ru/38072592
ювс http://rghost.ru/38072596
рсит http://rghost.ru/38072597

[safety]

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

;uVS v3.75 BETA1 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

addsgn A7679BC903E1117A5C5FDBBDE13E997835FFF575B4EEAB7BE9C32E9AD328703826943D554B773C699283E81A866240AD2B8C17A2D01AC4207A21F7C7CFF9DD8C 64 majachok
zoo %Sys32%\KHQZQJD.DLL
delref %Sys32%\KHQZQJD.DLL
deltmp
delnfr
setdns Подключение по локальной сети\4\{AC28148A-615F-4976-893B-6640E1C9C5C8}\
EXEC cmd /c"netsh winsock reset catalog"
CZOO
restart

перезагрузка, пишем о старых и новых проблемах.
архив, из каталога uVS, созданный после выполнения скрипта (например: 2012-12-31_23-59-59.rar/7z) отправить в почту sendvirus2011@gmail.com
----------
далее,
выполните быстрое сканирование в Malwarebytes

[pro-pan]

архив из каталога uVS отправил
мбам чистый

[safety]

ок, закрываем уязвимости

[pro-pan]

0025
авз http://rghost.ru/38073396
ювс http://rghost.ru/38073398
рсит http://rghost.ru/38073400

[safety]

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;

;uVS v3.75 BETA1 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

delref %Sys32%\QJPWBNN.DLL
deltmp
delnfr
restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
выполните быстрое сканирование в Malwarebytes

[pro-pan]

мбам http://rghost.ru/38073817

[safety]

это удалить в мбам

Обнаруженные папки: 1
C:\Program Files\ololo (Trojan.VKHosts) -> Действие не было предпринято.

Обнаруженные файлы: 4
C:\WINDOWS\system32\srcsize32d.dat (Malware.Trace) -> Действие не было предпринято.
C:\Program Files\ololo\ku4uqt155.jpg (Trojan.VKHosts) -> Действие не было предпринято.
C:\Program Files\ololo\p.txt (Trojan.VKHosts) -> Действие не было предпринято.

--------------------
этот файл, скорее всего участвует в обходе валидации

C:\WINDOWS\system32\oobe\CRYPT.dll (Hacktool) -> Действие не было предпринято.