Баннер при загрузке Win XP

[Peretc]

При загрузке рабочего стола (в любом режиме (безопасный, с поддержкой командной строки....)) появляется баннер "перечислите 400 рублей на счёт телефона 9817539670 и т. д....". При проведении диагностики AVZ начинает поиск, появляется папка LOG (пустая!), но окна AVZ тут же пропадают. При повторении загрузки AVZ - тоже самое. HijackThis не запускается (из папки 1.zip - тоже), говорит якобы отсутствует файл MSVBVM60.DLL. Пробовал утилитой uvs - нашёл несколько файлов, в том числе 22cc6c32.exe. Файл удаляется, пишется в лог, но при перезагрузке появляется вновь. Сейчас работаю с рабочего компа, безуспешно (нет прав доступа к форматированию носителя) пробовал создать LiveCD на домашней флэшке - MS Forefront Protection 2010 увидел 2 трояна - Ransom df и Vundo. Помогите, пожалуйста, избавиться от этой заразы

[Info_bot]

Уважаемый(ая) Peretc, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

1. Скопировать на флешку файлы userinit.exe и taskmgr.exe (чистые с дистрибутива или скопировать с системы, аналогичной заблокированной)
2. Загрузиться с Live CD
3. Удалить файлы: C:\documents and settings\all users\application data\22cc6c32.exe, userinit.exe и taskmgr.exe (в папках system32 и system32\dllcache)
4. Скопировать c флешки файлы userinit.exe и taskmgr.exe в C:\WINDOWS\system32
5. Исправляете параметры: shell, где должно быть указано explorer.exe и userinit, где должно быть указано C:\WINDOWS\system32\userinit.exe, (включая запятую)

Пробуете стартовать в проблемной системе

Если загрузка пройдет успешно, не торопитесь уходить. Вполне возможно, что будут остатки, которые нужно будет добивать

[Peretc]

1. Скопировать на флешку файлы userinit.exe и taskmgr.exe (чистые с дистрибутива или скопировать с системы, аналогичной заблокированной)
2. Загрузиться с Live CD
3. Удалить файлы: C:\documents and settings\all users\application data\22cc6c32.exe, userinit.exe и taskmgr.exe (в папках system32 и system32\dllcache)
4. Скопировать c флешки файлы userinit.exe и taskmgr.exe в C:\WINDOWS\system32
5. Исправляете параметры: shell, где должно быть указано explorer.exe и userinit, где должно быть указано C:\WINDOWS\system32\userinit.exe, (включая запятую)

Пробуете стартовать в проблемной системе

Если загрузка пройдет успешно, не торопитесь уходить. Вполне возможно, что будут остатки, которые нужно будет добивать

Выполнил все указания, перезагрузился - нет эффекта. 22cc6c32 появился опять. Вручную убрал файл NETPROTOCOL.EXE (на него ругался MS Forefront Protection 2010) и 22cc6c32, поправил реестр, перезагрузился, баннер пропал, винда загрузилась до выбора пользователя (но логин только мой, "Администратора" нет) и дальше никак - при выборе пользователя сообщение "загрузка личных параметров" и сразу же через секунду "завершение сеанса" и опять выбор пользователя с одной кнопкой. userinit и taskmgr опять повреждены (даже на флэшке, на радостях не подстраховался и забыл её вытащить). Сейчас заново скопировал userinit и taskmgr, но заняться процессом смогу только 23 июня.

[Peretc]

Здравствуйте!
Поменял userinit и taskmgr, поменял параметры, вошёл в систему нормально. Mozilla не грузится, говорит, что процесс уже загружен, для повторения необходима перезагрузка. IE работает, с него и пишу. AVZ запускал, но лога irusinfo_syscheck.zip там нет, только virusinfo_cure.zip и virusinfo_syscure.zip. Отправляю оба и hijackthis.log. Посмотрите, пожалуйста.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
 SetServiceStart('Network Adapter Events', 4);
 DeleteService('Network Adapter Events');
 TerminateProcessByName('c:\windows\system32\mswpjlbr.exe');
 QuarantineFile('c:\windows\system32\mswpjlbr.exe','');
 DeleteFile('c:\windows\system32\mswpjlbr.exe');
 DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_Activate;
ExecuteREpair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Peretc]

MBAM скачать не получается - почему-то страница недоступна... Карантин выслал.

[thyrex]

MBAM скачать не получается

Попробуйте Malwarebytes' Anti-Malware или с зеркала

[Peretc]

Высылаю новые логи.

Добавлено через 2 минуты

Никак, обе страницы недоступны..... :-(((((((((

Добавлено через 3 минуты

Логи почему-то не прицепились...

[thyrex]

c:\WINDOWS\system32\sfcfiles.dll запакуйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

[Peretc]

Закачал.

[Peretc]

Сегодня на работе скачал МВАМ, 29-го буду пробовать.

[thyrex]

c:\WINDOWS\system32\sfcfiles.dll замените чистым с дистрибутива http://virusinfo.info/showthread.php?t=51654 или скопируйте с аналогичной системы

Постарайтесь сделать лог МВАМ

[Peretc]

Наконец-то появилась возможность продолжить лечение. Высылаю лог.

[crush13]

Peretc, здравствуйте,
1. Обязательно!!! Отключить системное восстановление!!! как - посмотреть можно здесь (по окончанию лечения включите);
- Выгрузите антивирус и/или Файрвол;
- Выполните скрипт в AVZ ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP299\A0343870.exe','');
 QuarantineFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0402920.exe','');
 QuarantineFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0450870.exe','');
 QuarantineFile('d:\Logs\userinit.exe','');
 QuarantineFile('f:\WINDOWS\system32\dllcache\iissync.exe','');
 DeleteFile('d:\Logs\userinit.exe');
 DeleteFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0450870.exe');
 DeleteFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0402920.exe');
 DeleteFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP299\A0343870.exe');
BC_ImportAll;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine1.zip'); 
end.

3. Файл quarantine1.zip из корня папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы;

[Peretc]

Карантин загрузил.

[Peretc]

По-моему про меня забыли...

[Bratez]

Много воды утекло с тех пор...
Пора сделать новые логи.

[Peretc]

Много воды утекло с тех пор...
Пора сделать новые логи.

В силу обстоятельств не могу часто бывать на сайте, поэтому все рекомендации делаю с опозданием...
Высылаю новые логи - посмотрите, пожалуйста.

[Bratez]

Настройка прокси соответствует действительности? -

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.20.0.1:1

Если нет - пофиксите это в HijackThis.
Более ничего подозрительного не нахожу.
Какие проблемы остались?