Проблема с удалением braviax

[sautek]

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:03:35, on 22.09.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesAnalog DevicesSoundMAXSMAgent.exe
C:WINDOWSExplorer.EXE
C:WINDOWShtpatch.exe
C:Program FilesAnalog DevicesSoundMAXSMTray.exe
C:Program FilesQuickTimeqttask.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesMessengermsmsgs.exe
C:Program FilesPRMT6PRMTEDEDLauncher.exe
C:PROGRA~1PRMT6PRMTEDprmedsvr.exe
C:Program FilesInternet Exploreriexplore.exe
C:WINDOWSsystem32wuauclt.exe
C:Anti SpywareHijac.exe

R1 — HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 — HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyServer = 192.168.2.254:3128
R0 — HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Ссылки
O3 — Toolbar: PROMT — {FF284F5C-7CF9-4682-8701-D467C1DBB99F} — C:Program FilesPRMT6PRMTIEprmtie.dll
O4 — HKLM..Run: [HTpatch] C:WINDOWShtpatch.exe
O4 — HKLM..Run: [Smapp] C:Program FilesAnalog DevicesSoundMAXSMTray.exe
O4 — HKLM..Run: [AVPCC] «C:Program FilesKaspersky LabKaspersky Anti-Virus for Workstationavpcc.exe» /wait
O4 — HKLM..Run: [QuickTime Task] «C:Program FilesQuickTimeqttask.exe» -atboottime
O4 — HKCU..Run: [ctfmon.exe] C:WINDOWSsystem32ctfmon.exe
O4 — HKCU..Run: [MSMSGS] «C:Program FilesMessengermsmsgs.exe» /background
O4 — HKCU..Run: [EDLauncher] C:Program FilesPRMT6PRMTEDEDLauncher.exe
O4 — Global Startup: Adobe Gamma Loader.lnk = C:Program FilesCommon FilesAdobeCalibrationAdobe Gamma Loader.exe
O4 — Global Startup: Microsoft Office.lnk = C:Program FilesMicrosoft OfficeOfficeOSA9.EXE
O4 — Global Startup: qrhl.exe
O9 — Extra button: (no name) — {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} — C:Program FilesPRMT6PRMTIEprmtie5.htm
O9 — Extra ‘Tools’ menuitem: Перевести — {7A2EFD41-E6B3-11D2-89E3-00E0292EE574} — C:Program FilesPRMT6PRMTIEprmtie5.htm
O9 — Extra button: (no name) — {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} — C:Program FilesPRMT6PRMTIEoptions.htm
O9 — Extra ‘Tools’ menuitem: Настройка параметров перевода — {7A2EFD41-E6B3-11D2-89E3-00E0292EE575} — C:Program FilesPRMT6PRMTIEoptions.htm
O9 — Extra button: Messenger — {FB5F1910-F110-11d2-BB9E-00C04F795683} — C:Program FilesMessengermsmsgs.exe
O9 — Extra ‘Tools’ menuitem: Windows Messenger — {FB5F1910-F110-11d2-BB9E-00C04F795683} — C:Program FilesMessengermsmsgs.exe
O12 — Plugin for .spop: C:Program FilesInternet ExplorerPluginsNPDocBox.dll
O16 — DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) — http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1156415967881
O17 — HKLMSystemCCSServicesTcpipParameters: Domain = sautek.com
O17 — HKLMSoftware..Telephony: DomainName = sautek.com
O17 — HKLMSystemCCSServicesTcpip..{00F64126-84E0-4773-90F1-A577F0D403F6}: NameServer = 192.168.2.200
O17 — HKLMSystemCS1ServicesTcpipParameters: Domain = sautek.com
O17 — HKLMSystemCS1ServicesTcpip..{00F64126-84E0-4773-90F1-A577F0D403F6}: NameServer = 192.168.2.200
O20 — AppInit_DLLs: karina.dat
O23 — Service: AVP Control Centre Service (AVPCC) — Kaspersky Labs. — C:Program FilesKaspersky LabKaspersky Anti-Virus for Workstationavpcc.exe
O23 — Service: Журнал событий (Eventlog) — Корпорация Майкрософт — C:WINDOWSsystem32services.exe
O23 — Service: Служба COM записи компакт-дисков IMAPI (ImapiService) — Корпорация Майкрософт — C:WINDOWSSystem32imapi.exe
O23 — Service: KAV Monitor Service (KAVMonitorService) — Kaspersky Labs. — C:Program FilesKaspersky LabKaspersky Anti-Virus for Workstationavpm.exe
O23 — Service: NetMeeting Remote Desktop Sharing (mnmsrvc) — Корпорация Майкрософт — C:WINDOWSSystem32mnmsrvc.exe
O23 — Service: Plug and Play (PlugPlay) — Корпорация Майкрософт — C:WINDOWSsystem32services.exe
O23 — Service: Диспетчер сеанса справки для удаленного рабочего стола (RDSessMgr) — Корпорация Майкрософт — C:WINDOWSsystem32sessmgr.exe
O23 — Service: Смарт-карты (SCardSvr) — Корпорация Майкрософт — C:WINDOWSSystem32SCardSvr.exe
O23 — Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) — Analog Devices, Inc. — C:Program FilesAnalog DevicesSoundMAXSMAgent.exe
O23 — Service: Журналы и оповещения производительности (SysmonLog) — Корпорация Майкрософт — C:WINDOWSsystem32smlogsvc.exe
O23 — Service: Теневое копирование тома (VSS) — Корпорация Майкрософт — C:WINDOWSSystem32vssvc.exe
O23 — Service: Адаптер производительности WMI (WmiApSrv) — Корпорация Майкрософт — C:WINDOWSSystem32wbemwmiapsrv.exe

—
End of file — 5073 bytes

После штатной процедуры удаления braviax по прежнему остается красный крест в трее, причем и SDF и combofix удаляют его, но при перезагрузке он снова появляется. Неоднократно повторял и вместе и порознь, но результат тот же.
Листинг сканера приложен выше.

Очень прошу помочь.

С уважением,

Сергей.

[Admin]

Здравствуйте Сергей, добро пожаловать на Spyware-ru форум.

У вас немного изменённая версия braviax заражения.

Запустите HijackThis, кликните по кнопке Do a system scan only.
Далее отметьте галочками (слева) следующие строки:

O4 - Global Startup: qrhl.exe

O20 - AppInit_DLLs: karina.dat

Кликните по кнопке Fix checked и подтвердите свои действия выбрав YES.

Перезагрузите компьютер.
Скачайте программу Combofix. Закройте все открытые окна и запустите эту программу.
После выполнения будет создан лог файл, пожалуйста вставьте его в ваш ответ.

[sautek]

Спасибо. Помогло.
Поставил галки напротив этих двух строк и как я понял — удалил их.
Запустил combofix, он тоже кое-что удалил, в конце выплыло сообщение Системы защиты Windows с информацией об изменении некоторых системных файлов их неизвестными копиями с предложением вставить CD с виндой и восстановить их. Я не ответил ни да ни нет и combofix перегрузил комп сам. После перезагрузки я нормально вошел в винду, запустился combofix и подвесил комп. Он не отвечал минут 20 и явно ничего не делал, клавиатура никак не реагировала и я его перезагрузил Reset. Надо отметить что KAV грузится автоматом, мб они конфликтнули? Но закончилось все хорошо — комп нормально перезагрузился и braviax из трея исчез, правда log не создался, поэтому приложить нечего. Но, надеюсь, что это все.
Еще раз спасибо.

С уважением, Сергей.

[Admin]

Желательно отключать антивирус, так как именно KAV, DrWeb и некоторые версии AVG конфликтуют с Combofix.

Надо отметить что KAV грузится автоматом

Хорошо бы всё же взглянуть на Combofix лог, так есть вероятность того, что некоторые компоненты трояна остались. Перед этим отключите в настройках антивируса мониторинг компьютера (атозащиту). Затем удалите старый файл Combofix и скачайте свежую версию.

[Автор]

Сообщения