Вирус hjhmg.dll

[Irbis73]

Добрый день!

 

Проверка AVZ сообщила следующие.

 

Прямое чтение C:\Documents and Settings\n.kuchareva\Local Settings\Temp\~DF8CE8.tmp

Прямое чтение C:\Documents and Settings\n.kuchareva\Local Settings\Temp\~DF992F.tmp

Прямое чтение C:\Documents and Settings\n.kuchareva\Local Settings\Temp\~DFDF1F.tmp

Прямое чтение C:\Documents and Settings\n.kuchareva\Local Settings\Temp\~DFDF7A.tmp

Прямое чтение C:\Documents and Settings\n.kuchareva\Local Settings\Temp\~DFDFBB.tmp

Прямое чтение C:\WINDOWS\system32\hjhmg.dll

....

Файл успешно помещен в карантин (C:\WINDOWS\system32\hjhmg.dll)

>>>Для удаления файла C:\WINDOWS\system32\hjhmg.dll необходима перезагрузка

C:\WINDOWS\system32\hjhmg.dll >>>>> Net-Worm.Win32.Kido.ih ошибка удаления

 

Логи приложены ниже.

Нужно что-нибудь ещё делать для лечения?

Спасибо!

virusinfo_syscure.zip

virusinfo_syscheck.zip

hijackthis.log

[lifestory]

Скачайте GMER по одной из указанных ссылок:

Скачать Gmer

Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

- Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).

Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.

После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

 

* Sections

* IAT/EAT

* Show all

 

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)

- Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.

После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

[Irbis73]

Запускал утилиту kidokiller, что предлагалась в удаленном посте. Результат по нулям, т.е. ничего не нашел.

Запустил GMER.

Зависает при проверке папки document and setting.

Логи приложены.

1 - лог начальной проверки.

2 - лог проврки до зависания.

 

Обращает на себя внимание

Service C:\WINDOWS\system32\svchost.exe (*** hidden *** ) [AUTO] cghbxbi

а также

Reg HKLM\SYSTEM\ControlSet003\Services\cghbxbi\Parameters@ServiceDll C:\WINDOWS\system32\hjhmg.dll - именно этот файл был удален AVZ

1.log

2.log

[snifer67]

Запустите Gmer. Нажмите на кнопку «>>>» для отображения дополнительных функций программы. Выбрать вкладку CMD. В верхнее окно скопируйте текст ниже и запустите (Run)

uufj7s9v.exe -del service cghbxbi 
uufj7s9v.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\cghbxbi "
uufj7s9v.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\cghbxbi"
uufj7s9v.exe -reboot

Сделайте новый лог gmer.

[Irbis73]

Выполнил скрипт.

Во время выполнения скрипта выскочила ошибка (невозможно было увидеть какая) и сразу перезагрузился компьютер.

 

Результаты повторного сканирования приложены. Похоже все чисто.

Одно только настораживает. Не могу в настройках вида папки включить отоброжение скрытых папок и файлов. Ставлю галочку, ОК (или принять), скрытые папки не отображаються. Захожу вновь в настройки - галки нет.

 

Спасибо!

3.log

[thyrex]

Лог в порядке

[Irbis73]

Проблема отображения скрытых файлов решается утилитой kidokiller с параметром -x