Вирус: nod+osmanskiy.com

[gor]

Здравствуйте.
Помогите удалить трояны.
Ссылка на архив avg и хиджака:
http://exfile.ru/100741

[winshelp]

gor, зачем темы плодить!
Сделайте лог не старой AVZ 4.30, а скачайте AVZ 4.32, обновите базы и лог свежий в студию!!!

[gor]

Извините за дублирование тем: перемудрил с предпросмотром пока ссылку вставлял)
Сейчас попробую найти новую авг - вирус блокирует сайты...

[winshelp]

Проделайте: Пуск -> Выполнить -> вставляем: route -f
Жмем ОК. Перегружаем машину!
---
Пробуем качать, как описано здесь: http://pchelpforum.ru/f26/t6442/

[01pump]

gor,
Вы инструкцию читали через 10 строчек чтоли? В ней есть альтернативные ссылки для скачивания avz

[gor]

Та лан...)) Так уж строго не судите...)
новый лог авз: http://exfile.ru/100751

[winshelp]

Отключите компьютер от Интернет/локалки.
Закройте/отключите на время выполнения скрипта всё защитное ПО !!!
Закройте/выгрузите все программы кроме AVZ.
Как выполнять скрипт и фиксить читаем здесь: http://pchelpforum.ru/f26/t24207/

AVZ, файл, выполнить скрипт - в открывшееся окно внимательно!!! вставить текст:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\\?\globalroot\systemroot\system32\U2VgKvV.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\sETukOa.exe','');
DeleteFile('\\?\globalroot\systemroot\system32\U2VgKvV.exe');
DeleteFile('\\?\globalroot\systemroot\system32\sETukOa.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
-----
Выполнить еще такой скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ обязательно отправьте на newvirus@tut.by
----
Выполните в avz стандартный скрипт №2 и архив virusinfo_syscheck.zip
залейте на файлообменник http://exfile.ru - и ссылку на форум.

[gor]

скрипты выполнил, архив карантина - отправил.
ссылка на лог скрипта №2 : http://exfile.ru/100761
Вопрос: в папке C:\WINDOWS\system32\ есть ещё ряд экзешников похожих на U2VgKvV.exe,которые появились и продолжают плодиться после заражения 12.05.10, сейчас НОД стал их потихоньку ловить), стоит ли их всех удалить?

[01pump]

gor,

Выполните этот скрипт

 
var
Lines : TStrings;
i : integer;
begin
Lines := TStringList.Create;
SearchFiles('%system32%', '*.exe', Lines, true, false);
for i:= 0 to Lines.Count-1 do
AddToLog(Lines[i]+', Size='+inttostr(GetFileSize(Lines[i])));
Lines.Free;
SaveLog(GetAVZDirectory + 'files.log');
end.

И пришлите лог files.log из папки avz

Еще нужен лог Hijackthis

[gor]

Сделал: http://exfile.ru/100763

Перед составлением лога НОД поймал 6 файлов и поместил их в карантин.*во время составления логов - нод, фаер и сеть - отключаю, вклчаю потом перед выходом в инет*
Под похожими экзешниками - подразумевал:
6pkOnc1.exe
EjFUX2W.exe
MF3Pw6G.exe
OOZTptR.exe
PTQo3B3.exe
qs0uqS3.exe
SguGcvG.exe

у всех разная дата создания, но одинаковые абракадабры в "Производитель" и описание

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\qs0uqS3.exe','');
DeleteFile('C:\WINDOWS\system32\qs0uqS3.exe');
QuarantineFile('C:\WINDOWS\system32\PTQo3B3.exe','');
DeleteFile('C:\WINDOWS\system32\PTQo3B3.exe');
QuarantineFile('C:\WINDOWS\system32\EjFUX2W.exe','');
DeleteFile('C:\WINDOWS\system32\EjFUX2W.exe');
QuarantineFile('C:\WINDOWS\system32\6pkOnc1.exe','');
DeleteFile('C:\WINDOWS\system32\6pkOnc1.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Выполнить скрипт в AVZ.

var
  qfolder: string;
  qname: string;
begin
  qname := GetAVZDirectory + '..\Quarantine\quarantine.zip';
  qfolder := ExtractFilePath(qname);
  if (not DirectoryExists(qfolder)) then CreateDirectory(qfolder);
  CreateQurantineArchive(qname);
  ExecuteFile('explorer.exe', qfolder, 1, 0, false);
end.

Вы увидите папку с архивом. Это - карантин.
Карантин отправьте на newvirus@tut.by (размер карантина должен быть больше 5кб)
Скачайте RSIT или отсюда. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

[gor]

логи RSIT: http://exfile.ru/100788
карантин отправил на мыло