Pornhub.com снова

[Bskn]

Попали на вирус pornhub.com 3381 - 4450101744816
На данный момент пытаемся использовать liveCD.

лог hijackthis : http://files.mail.ru/20RMWT
лог avz htm: http://files.mail.ru/6MBHAG
лог avz zip: http://files.mail.ru/6LCM6W

Помогите пожалуйста справиться с заразой.
Если можно, пожалуйста, как можно детальнее, мы новички и с подобной проблемой столкнулись впервые.

[romul781]

Bskn, еще такие логи сделайте http://pchelpforum.ru/showpost.php?p=229780&postcount=3

[Bskn]

http://files.mail.ru/PQZQ34
пожалуйста RSIT лог

[romul781]

Bskn, я прошу прощения, ссылка была не верной
пройдите еще раз по ссылке - из моего первого поста.
нужны Дополнительные логи утилитки Hijackthis

[Bskn]

http://files.mail.ru/HWK2IB
startuplist scan
Open Ads spy - ничего не нашел

[01pump]

Bskn,
Во-первых выкиньте вашу древнюю версию avz
Уже 4.32 полгода функционирует.

Во-вторых вы логи делали из-под LiveCD ? Значит по этой инструкции http://pchelpforum.ru/showpost.php?p=69244&postcount=2 попадите с помощью вашей LiveCD в больной реестр в ключе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows иу параметра AppInit_DLLs перепишите значение

[Bskn]

Сообщение от 01pump

Значит по этой инструкции http://pchelpforum.ru/showpost.php?p=69244&postcount=2 попадите с помощью вашей LiveCD в больной реестр в ключе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows иу параметра AppInit_DLLs перепишите значение

C:\WINDOWS\system32\dllcache\c_28594.nls:QRNluC

это имелось в виду? или о каком значении речь?

[snifer67]

Удаляйте это значение и сам файл.

[01pump]

Bskn,
Да это значение удалите и перезагрузившись сделайте это http://pchelpforum.ru/showpost.php?p=37758&postcount=1

[Bskn]

Сообщение от 01pump

Да это значение удалите и перезагрузившись сделайте это http://pchelpforum.ru/showpost.php?p=37758&postcount=1

это делается из LiveCD или перезапуститься в винду?

[01pump]

Bskn,
Эти логи делаются в обычной системе.

[Bskn]

http://files.mail.ru/G4TOIL

Это - virusinfo_syscure.zip

---------- Добавлено в 22:58 ---------- Предыдущее сообщение было написано в 22:37 ----------

http://files.mail.ru/ZE0HNF

Это hijackthis.log

[snifer67]

Пофиксить в HijackThis

F3 - REG:win.ini: run=C:\WINDOWS\system32\vqpzqso.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\vqpzqso.exe','');
 DeleteFile('C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MyWebSearch Email Plugin');
 DeleteFile('C:\WINDOWS\system32\vqpzqso.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.

ПК перезагрузится.

Выполнить скрипт в AVZ.

var
  qfolder: string;
  qname: string;
begin
  qname := GetAVZDirectory + '..\Quarantine\quarantine.zip';
  qfolder := ExtractFilePath(qname);
  if (not DirectoryExists(qfolder)) then CreateDirectory(qfolder);
  CreateQurantineArchive(qname);
  ExecuteFile('explorer.exe', qfolder, 1, 0, false);
end.

Вы увидите папку с архивом. Это - карантин.
Карантин отправьте на newvirus@tut.by (размер карантина должен быть больше 5кб)
Сделайте новые логи.

[Bskn]

Уважаемый snifer67
Извиняюсь. Вынужден был отложить до завтра финальную часть.
Уже писал, что новичок.
Что значит: Пофиксить в HijackThis?
Где конкретно в HijackThis вставить эти:
F3 - REG:win.ini: run=C:\WINDOWS\system32\vqpzqso.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Pol icies\System, DisableRegedit=1

То же и по отношению к AVZ?
Если можно - чуть подробнее.
Заранее спасибо.

[winshelp]

Bskn.
Как работать с программами читаем и смотрим здесь: http://pchelpforum.ru/f26/t24207/