Какой то другой софтовый баннер-вымогатель по SMS

[An-irk]

Вылез баннер, что вы купили программу и срок действия заканчивается отправьте SMS и т.д. и т.п. Даже забыл запомнить название баннера. Перешел в защищённый режим, почистил Temporary Internet Files и папки Temp, проверил утилитами, был найден вирус и зачищен. После перезагрузки ругается, что не может найти файл из папки Temp и на рабочем столе явные остатки баннера в виде непонятного значка.

[Bratez]

Внимание: все действия выполняйте с правами администратора!

Отключите восстановление системы!
Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) - {83821C2B-32A8-4DD7-B6D4-44309A78E668} - (no file)
F3 - REG:win.ini: load=C:\DOCUME~1\arhipkin\LOCALS~1\Temp\tdh.bat
O4 - HKCU\..\Run: [userinit] C:\Documents and Settings\arhipkin\Application Data\sdra64.exe
O9 - Extra button: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Documents and Settings\arhipkin.HOLDING\Application Data\Mail.Ru\Agent\magent.exe (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: Mail.Ru Агент - {7558B7E5-7B26-4201-BEDB-00D5FF534523} - C:\Documents and Settings\arhipkin.HOLDING\Application Data\Mail.Ru\Agent\magent.exe (file missing) (HKCU)

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\arhipkin\Application Data\sdra64.exe','');
 QuarantineFile('C:\DOCUME~1\arhipkin\LOCALS~1\Temp\tdh.bat','');
 DeleteFile('C:\DOCUME~1\arhipkin\LOCALS~1\Temp\tdh.bat');
 DeleteFile('C:\Documents and Settings\arhipkin\Application Data\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('aawservice');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: http://virusinfo.info/upload_virus.php?tid=62847).
Сделайте новые логи.

[An-irk]

Сделано

[Rene-gad]

-Пофиксите:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,

-Выполните скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.

Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.

После перезагрузки:

- Закачайте файл ..\avz\quarantine.zip для анализа.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

[An-irk]

Сделано. Неизвестное устройство оказалось пустой рамкой, судя по всему от баннера. Закрыл как окошко. после всех выполненных действий не появлялось.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\arhipkin\Application Data\sdra64.exe');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userinit');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[An-irk]

Спасибо за работу, вопрос снимается, оставленный без присмотра комп опять подцепил ту же самую фигню: СМС баннер, только по программе iMax Download Manager. "Эта песня хороша, начинай сначала." Проще всё переустановить.

[Bratez]

Проще всё переустановить.

Это не защитит вас от повторных заражений, особенно если не исправите это:

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Обязательно должен быть SP3 + последующие обновления.

[An-irk]

об этом я в курсе. спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\arhipkin\application data\sdra64.exe - Trojan-Banker.Win32.Bancos.jsg ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.2843426 )
  2. c:\windows\system32\sdra64.exe - Trojan-Banker.Win32.Bancos.jsg ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.2843426 )