Помогите с вирусом

**Ilgr** · 01.05.2011, 19:02

Словил вирус. Просят 400 р на номер 8-911-027-07-92. Комп Нетбук. Windows 7 Максимальная.
На зараженной системе загрузиться нельзя.
AVZ запускал c LiveCD с флешки.
Логи привожу.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Acidorum** · 01.05.2011, 20:19

Здравствуйте.
Логи с LiveCD вряд ли помогут.
Давайте попробуем так:
1. Загрузитесь в безопасном режиме с поддержкой командной строки, введите explorer.exe
Должен появиться проводник.
2. Если предидущий способ не работает, загрузитесь с LiveCD с поддержкой правки реестра. Подгрузите куст SOFTWARE из папки

Код:

<диск с заблокированой ОС>:\WINDOWS\System32\config

Затем сообщите :
В ключе

Код:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

значение параметра

Код:

Userinit

и значение параметра

Код:

Shell

**Ilgr** · 01.05.2011, 21:56

значение параметра
Код:Userinit=C:\ProgramData\22CC6C32.exe,C:\Window s\apppatch\agenucw.dat,
Shell=C:\ProgramData\22CC6C32.exe

**Acidorum** · 01.05.2011, 23:34

Спасибо pump и PavelA.
Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Windows\apppatch\agenucw.dat','');
QuarantineFile('C:\ProgramData\22CC6C32.exe','');
DeleteFile('C:\ProgramData\22CC6C32.exe');
DeleteFile('C:\Windows\apppatch\agenucw.dat');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Попробуйте загрузиться на зараженной системе.
Затем выполните ещё один скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Сделайте повторные логи.

**Ilgr** · 01.05.2011, 23:43

В папке appPatch есть файл ltjsglq.dat. Время изменения совпадает со временем заражения.

**Acidorum** · 01.05.2011, 23:45

Сообщение от Ilgr

ltjsglq.dat

Запакуйте его в архив с паролем virus и пришлите архив через красную ссылку "Прислать запрошенный карантин" наверху темы.

**Ilgr** · 02.05.2011, 00:30

Хм. Скрипт выполнил.
Пытаюсь загрузиться. Вот уже 15 минут грузится после захода в учетку.

**Ilgr** · 02.05.2011, 12:40

Систему я похоже убил восстановлением.
Карантин высылаю.
А странного файла уже нет.

При загрузке карантина выдает ошибку: Уже такой файл есть

**PavelA** · 02.05.2011, 19:30

Через LiveCD
В ключе

Код:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

Попробуйте восстановить значение этого параметра

Код:

Shell

на explorer.exe

**Ilgr** · 02.05.2011, 23:24

Систему восстановил. Откатом на месяц.
Сделал логи. Гляньте пожалуйста.
Карантин тоже выслал.

**Ilgr** · 04.05.2011, 17:52

Я так о себе напомнить.
Все чисто?

**Bratez** · 05.05.2011, 03:01

Да, все нормально.

**CyberHelper** · 06.05.2011, 03:01

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 6
В ходе лечения вредоносные программы в карантинах не обнаружены

Помогите с вирусом (заявка № 101615)

Опции темы