[решено] Вирус Trojan.Win32.Ddox.ci

[cir1us]

Собственно сабж.Хватанул где-то этого добра,помогите избавиться

Логи:

virusinfo_syscure.zip - http://exfile.ru/191541
virusinfo_syscheck.zip - http://exfile.ru/191540
log.txt - http://exfile.ru/191542
info.txt - http://exfile.ru/191543

[zirreX]

Здравствуйте!

Отключите защитное ПО (Антивирус/Файерволл)!

• Выполните скрипт AVZ

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". (http://www.forum.oszone.net/post-1430637-4.html)
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearQuarantine;
QuarantineFile('C:\Users\Noxx\AppData\Roaming\Microsoft\Internet Explorer\qstatsrv.dll','');
QuarantineFile('C:\Users\Noxx\AppData\Local\Temp\ALSysIO.sys','');
QuarantineFile('C:\Windows\system32\sakadse.dll','');
QuarantineFile('c:\windows\kmsem\kmservice.exe','');
QuarantineFile('C:\Windows\system32\8B79.tmp','');
DeleteFile('C:\Windows\system32\8B79.tmp');
DeleteFile('C:\Windows\system32\sakadse.dll');
DeleteFile('C:\Users\Noxx\AppData\Roaming\Microsoft\Internet Explorer\qstatsrv.dll');
DelBHO('6B5863A0-C43F-4C0A-982B-CC0E9125783F');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

• После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". (http://www.forum.oszone.net/post-1430637-4.html)
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин.Отправьте quarantine.zip из папки AVZ через эту (http://www.oszone.net/virusnet/) форму.


• Пофиксите в HiJackThis (http://www.forum.oszone.net/post-1430293-2.html)
Отметьте галочками указанные строки и нажмите Fix Checked.
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: QipLI - {6B5863A0-C43F-4C0A-982B-CC0E9125783F} - C:\Users\Noxx\AppData\Roaming\Microsoft\Internet Explorer\qstatsrv.dll (file missing)


• Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. (http://data.mbamupdates.com/tools/mbam-rules.exe)

[cir1us]

Проделал все пункты.Логи по ссылке
http://exfile.ru/191679

Да и строчки O2 - BHO: QipLI - {6B5863A0-C43F-4C0A-982B-CC0E9125783F} - C:\Users\Noxx\AppData\Roaming\Microsoft\Internet Explorer\qstatsrv.dll (file missing) » не было в списке HiJackThis

[zirreX]

C:\Windows\system32\sakadse.dll - Trojan.Win32.Agent.nzks

Удалите в MBAM:
Заражённые ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\snda\woool (Spyware.OnlineGames) -> No action taken.

Сделайте новые логи по правилам (http://forum.oszone.net/thread-98169.html)

[cir1us]

virusinfo_syscure.zip, http://exfile.ru/191760
virusinfo_syscheck.zip, http://exfile.ru/191759
log.txt, http://exfile.ru/191764
info.txt http://exfile.ru/191763

[zirreX]

В логах чисто. Если проблема решена, можете приступить к выполнению следующих рекомендаций.

Создайте новую контрольную точку восстановления и удалите зараженную:
1. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно - Восстановление системы нажмите Очистить
2. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.

Очистите временные файлы:
• Пуск-Программы-Стандартные-Служебные-Очистка диска или с помощью ATF Cleaner (http://www.atribune.org/public-beta/ATF-Cleaner.exe)

• Скачайте ATF Cleaner (http://www.atribune.org/public-beta/ATF-Cleaner.exe), запустите, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected
нажмите No, если вы хотите оставить ваши сохраненные пароли
- если вы используете Opera, нажмите Opera - Select All - Empty Selected
нажмите No, если вы хотите оставить ваши сохраненные пароли.


Установите все последние обновления Windows (http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru)
Обновите Adobe Reader до последней версии (http://get.adobe.com/reader/).
Обновите Java до последней версии (http://www.java.com/ru/download/index.jsp).
Обновите Adobe Flash Player до последней версии (http://www.adobe.com/support/flashplayer/downloads.html)


Для предотвращения заражения в будущем, рекомендую вам придерживаться этих правил:
- не работать за компьютером с правами администратора
- использовать браузер Firefox с дополнением NoScript (https://addons.mozilla.org/ru/firefox/addon/722/).
Если вы используете браузер Internet Explorer, отключите в нем ActiveX (Сервис -> свойства обозревателя -> безопасность -> другой -> запуск элементов ActiveX и модулей подключения
- Регулярно устанавливать обновления Windows и обновлять антивирусные базы.

[cir1us]

К сожалению проблема не решилась((
Страницы все еще загружаются в кодах,а когда загружаются нормально вылезает табличка "В системе обнаружен вирус. Использование интернета нежелательно."

[zirreX]

Сделайте лог TDSSKiller (http://support.kaspersky.ru/faq/?qid=208639606)

[iskander-k]

+
Сделайте еще лог Universal Virus Sniffer (UVS)

Скачайте Universal Virus Sniffer (UVS) (http://dsrt.dyndns.org/files/uvs_v364.zip)

Как подготовить лог UVS (http://safezone.cc/forum/showthread.php?t=14508)

Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".

Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
___________________
!!!Внимание. Если у вас установлены архиваторы WinRAR или 7Zip, то UVS в автоматическом режиме упакует лог в архив иначе это будет необходимо сделать вам вручную.

Дождитесь окончания работы программы и прикрепите лог к посту в теме.


___________________
!!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

[cir1us]

http://exfile.ru/191989 лог TDSSKiller
http://exfile.ru/191999 лог Universal Virus Sniffer (UVS)

После проверки TDSSKiller сбросилась лицензия на винду и табличка больше не появляется в браузерах.

[iskander-k]

После проверки TDSSKiller сбросилась лицензия на винду и табличка больше не появляется в браузерах. »


утилита исправила\удалила два объекта. Rootkit.Boot.Cidox.a

Проблема решена ?

[cir1us]

Да проблема решилась.Какие дальнейшие действия?Проделать пункты по посту #6 zirreX ?

[SolarSpark]

cir1us, верно, следуйте рекомендациям из 6 поста
предварительно скачайте OTCleanIt (http://oldtimer.geekstogo.com/OTC.exe) или с зеркала (http://safezone.cc/forum/downloads.php?do=file&id=19&act=down), запустите, нажмите Clean up

[cir1us]

Всем большое спасибо за помощь