модифицированный Win32/Kryptik.X троян найден в оперативной памяти

[Маша]

NOD 32 находит троян, но удалить его не может

модифицированный Win32/Kryptik.X троян найден в оперативной памяти. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\system32\yayaXOGv.dll.

помогите пожалуйста!!!

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

[ser208]

В HijackThis поставь галочку перед значением и нажми Fix Checked.

O21 - SSODL: qmafxprs - {22A49FF7-D59D-4571-B582-B45FBA4AB61C} - (no file)

В AVZ меню Файл -- Выполнить скрипт. Скопируй код и нажми "Запустить".

beginSetAVZGuardStatus(True);SearchRootkit(true, true);QuarantineFile('C:\WINDOWS\system32\efcBrPjH.dll','');QuarantineFile('C:\WINDOWS\system32\yayaXOGv.dll','');QuarantineFile('c:\windows\system32\snmp.exe','');DelBHO('{CF272101-7F6E-4CF2-9453-B4C5D2FC32C0}');DelBHO('{3C3D6A39-B167-4506-A377-E262402A29F5}');DelBHO('{3F0183BC-2D55-4AB7-A926-0EC9C20A10DF}');DeleteFile('C:\WINDOWS\system32\yayaXOGv.dll');DeleteFile('C:\WINDOWS\system32\efcBrPjH.dll');BC_ImportAll;ExecuteSysClean;ExecuteRepair(6);ExecuteRepair(12);BC_Activate;RebootWindows(true);end.

После перезагрузки выполни еще скрипт.

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

.. и вышли получившийся архив мне в приват.

Повтори все логи.

Edited October 12, 2008 by ser208

[Маша]

В HijackThis поставь галочку перед значением и нажми Fix Checked.

O21 - SSODL: qmafxprs - {22A49FF7-D59D-4571-B582-B45FBA4AB61C} - (no file)

В AVZ меню Файл -- Выполнить скрипт. Скопируй код и нажми "Запустить".

beginSetAVZGuardStatus(True);SearchRootkit(true, true);QuarantineFile('C:\WINDOWS\system32\efcBrPjH.dll','');QuarantineFile('C:\WINDOWS\system32\yayaXOGv.dll','');QuarantineFile('c:\windows\system32\snmp.exe','');DelBHO('{CF272101-7F6E-4CF2-9453-B4C5D2FC32C0}');DelBHO('{3C3D6A39-B167-4506-A377-E262402A29F5}');DelBHO('{3F0183BC-2D55-4AB7-A926-0EC9C20A10DF}');DeleteFile('C:\WINDOWS\system32\yayaXOGv.dll');DeleteFile('C:\WINDOWS\system32\efcBrPjH.dll');BC_ImportAll;ExecuteSysClean;ExecuteRepair(6);ExecuteRepair(12);BC_Activate;RebootWindows(true);end.

После перезагрузки выполни еще скрипт.

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

.. и вышли получившийся архив мне в приват.

Повтори все логи.

!

Предупреждение:

Ну русским же языком говорят - карантин высылать на почту или в приват... Скоро штрафовать буду за публикацию архивов с карантином... Архив удален.

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

Edited October 13, 2008 by Ray

[Matias]

Убедительная просьба не прикреплять карантин к сообщению!

[ser208]

Маша, карантин можно выслать на "мой ник" собака rambler.ru

Повторные логи точно повторные, а не те же самые? :) :g:

Edited October 13, 2008 by ser208

[ser208]

Маша, в правилах написано во время сканирования закрывать все программы и запускать только IE. У тебя же все наоборот.

На почту присылать только карантин, а повторные логи всегда на форум.

Выкладываю их за тебя. Они необходимы для проверки модератором раздела.

В HijackThis поставь галочки перед значениями и нажми fix checked.

O2 - BHO: (no name) - {3C3D6A39-B167-4506-A377-E262402A29F5} - C:\WINDOWS\system32\yayaXOGv.dll (file missing)O2 - BHO: (no name) - {DBB5B072-99C1-4CB3-9247-41CC1BAEE58B} - C:\WINDOWS\system32\efcBrPjH.dll (file missing)O20 - Winlogon Notify: yayaXOGv - yayaXOGv.dll (file missing)

В AVZ выполни скрипт для закрепления.

beginSetAVZGuardStatus(True);SearchRootkit(true, true);DelBHO('{CF272101-7F6E-4CF2-9453-B4C5D2FC32C0}');DelBHO('{3C3D6A39-B167-4506-A377-E262402A29F5}');DelBHO('{3F0183BC-2D55-4AB7-A926-0EC9C20A10DF}');DeleteFile('C:\WINDOWS\system32\yayaXOGv.dll');DeleteFile('C:\WINDOWS\system32\efcBrPjH.dll');BC_ImportAll;ExecuteSysClean;BC_Activate;RebootWindows(true);end.

Повтори логи и выложи здесь.

virusinfo_syscure.zip

virusinfo_syscheck.zip

hj.txt

virusinfo_syscure.zip

virusinfo_syscheck.zip

hj.txt

Edited October 13, 2008 by ser208

[Маша]

Извините что я все напутала

Просто первый раз на вашем форуме

я выполнила все что вы писали

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

virusinfo_syscheck.zip

virusinfo_syscure.zip

hijackthis.log

[akoK]

Обновите базы AVZ.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

beginSearchRootkit(true, true);SetAVZGuardStatus(true);QuarantineFile('C:\WINDOWS\system32\clipsrv.exe','');QuarantineFile('C:\WINDOWS\system32\stobject.dll','');QuarantineFile('C:\WINDOWS\egpt.exe','');QuarantineFile('C:\WINDOWS\system32\efcBrPjH.dll','');QuarantineFile('C:\WINDOWS\system32\yayaXOGv.dll','');QuarantineFile('yayaXOGv.dll','');DeleteFile('yayaXOGv.dll');DeleteFile('C:\WINDOWS\system32\yayaXOGv.dll');DeleteFile('C:\WINDOWS\system32\efcBrPjH.dll');DeleteFile('C:\WINDOWS\egpt.exe');DelBHO('{DBB5B072-99C1-4CB3-9247-41CC1BAEE58B}');DelBHO('{3C3D6A39-B167-4506-A377-E262402A29F5}');DelWinlogonNotifyByFileName('yayaXOGv.dll');BC_ImportALL;BC_Activate;ExecuteSysClean;RebootWindows(true);end.

После выполнения скрипта компьютер перезагрузится.

beginCreateQurantineArchive(GetAVZDirectory+'quarantine.zip');end.

Полученный архив отправьте на akok<at>pisem.net с указанной ссылкой на тему. (at=@)

Пофиксить в HijackThis следующие строчки

 O20 - Winlogon Notify: yayaXOGv - yayaXOGv.dll (file missing)

Повторите логи.

Edited October 15, 2008 by akoK

[akoK]

C:\WINNT\system32\tmfuhc.dll - not-a-virus:AdWare.Win32.SuperJuan.ekm

Удалим

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

beginSearchRootkit(true, true);SetAVZGuardStatus(true);DeleteFile('C:\WINNT\system32\tmfuhc.dll');BC_ImportDeletedList;BC_Activate;ExecuteSysClean;RebootWindows(true);end.

После выполнения скрипта компьютер перезагрузится.