Помогите избавиться от "Trojan.win32.Ddox.ci" - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - Помогите избавиться от "Trojan.win32.Ddox.ci" (http://forum.oszone.net/showthread.php?t=212214)

Помогите избавиться от "Trojan.win32.Ddox.ci"

Выскакивает баннер в опере :"В системе обнаружен вирус. Использование интернета нежелательно.
Браузер зафиксировал попытки внесения изменений в его работу.
Во избежание кражи конфиденциальной информации, паролей и финансов в электронных системах
рекомендуем немедленно установить последнее обновление безопасности браузера.
Trojan.Win32.Ddox.ci
– Предназначен для кражи паролей (в том числе ВКонтакте, Одноклассники.ру) и загрузки на зараженный ПК новых вредоносных программ
Для безопасного продолжения работы необходимо обновить браузер
KB2735122 – Обновление безопасности (08.11.2010) (*Критическое обновление)
KB1971384 – Обновление баз фишинговых сайтов (12.11.2010)"

Также после попытки загрузить какую либо страницу, начинает грузится сайт rostelecom.ru. Пишут, мол интеренет канал сейчас перегружен, и если вам очень нужен интернет отправьте смс. И сразу напишу что мой провайдер не рос телеком, а satnet.

Сейчас погляжу Ваши логи

Смотрю логи, скоро отвечу

Скачайте RKill by Grinler на рабочий стол по одной из этих ссылок:

Отключите антивирусное ПО и запустите программу.
Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Дождитесь окончания работы программы и формирования лога который будет находиться по адресу C:\rkill.log. Прикрепите его к своему сообщению.

Не перезагружая компьютер, выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 TerminateProcessByName('c:\documents and settings\admin\application data\lsass.exe');

 QuarantineFile('C:\Documents and Settings\Admin\Application Data\Help Center\WinHelp Center.exe','');

 QuarantineFile('C:\WINDOWS\system32\jaugaxf.dll','');

 QuarantineFile('c:\documents and settings\admin\application data\lsass.exe','');

 QuarantineFile('C:\WINDOWS\system32\457.tmp','');

 QuarantineFile('C:\Documents and Settings\Admin\Application Data\timing.txt','');

 DeleteFile('C:\WINDOWS\system32\jaugaxf.dll');

 DeleteFile('C:\Documents and Settings\Admin\Application Data\Help Center\WinHelp Center.exe');

 DeleteFile('C:\Documents and Settings\Admin\Application Data\lsass.exe');

 DeleteFile('C:\WINDOWS\system32\457.tmp');

 DeleteFile('C:\Documents and Settings\Admin\Application Data\timing.txt');

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

 ExecuteRepair(13);

 ExecuteWizard('SCU', 2, 3, true);

RebootWindows(true);

end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

Код:

begin

CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

end.

Полученный архив отправьте с помощью этой формы с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Пофиксите в HJT:

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Admin\Application Data\lsass.exe

O1 - Hosts: 31.214.145.147 www.vkontakte.ru

O1 - Hosts: 31.214.145.147 www.vk.com

O1 - Hosts: 31.214.145.147 vkontakte.ru

O1 - Hosts: 31.214.145.147 vk.com

O1 - Hosts: 31.214.145.147 www.odnoklassniki.ru

O1 - Hosts: 31.214.145.147 odnoklassniki.ru

O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)

O4 - HKLM\..\Run: [WinHelp Center] "C:\Documents and Settings\Admin\Application Data\Help Center\WinHelp Center.exe" start

O20 - AppInit_DLLs: C:\WINDOWS\system32\jaugaxf.dll

Повторите логи AVZ и RSIT

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

Пришлось изменить формат файла rkill.log на текстовый, так как лог файл нельзя было прикрепить. Также не смог пофиксить все строки в HJT, в программе была только 1 строка из нужных : O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file) , остальных небыло. Malwarebytes все еще сканирует, как закончит выложу лог.

Надеюсь я не ошибся, когда решил удалить найденные зараженные файлы...

Ну, практически не ошиблись, как самочувствие системы?

Да вроде все исправно работает, спасибо за помощь.

Внимание! Смените все пароли ICQ, Контакт, Почта итд

Необходимо очистить ранее созданную точку восстановления и создать новую:
1. Нажмите Пуск- Программы – Стандартные – Служебные – Восстановление системы, выберите Создать точку восстановления, нажмите Далее, введите имя точки восстановления и нажмите Создать.
2. Нажмите Пуск - Программы – Стандартные – Служебные – Очистка диска, выберите системный диск, на вкладке Дополнительно-Восстановление системы нажмите Очистить

Для предотвращения заражения рекомендуется:
- не работать за компьютером с правами администратора
- не использовать Internet Explorer или отключить в нем ActiveX и настроить безопасность (рекомендуется использовать Firefox c плагином NoScript)
- регулярно устанавливать обновления windows и антивирусного продукта (обновлять антивирусные базы и модули)

Обновите до последних версий: