Показано с 1 по 14 из 14.

Вирус-вымогатель (заявка № 108765)

  1. #1
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20

    Thumbs up Вирус-вымогатель

    Доброго времени суток!
    Наткнулась на заразу, аналогичную случаю в этой теме.

    Вирус выплывает на стадии приветствия системы, пробирается в безопасный режим и ничего с ним сделать нельзя.
    Пыталась использовать утилиту Касперского. Вирус всё еще жив, с той лишь разницей, что позволяет системе прогрузить рабочий стол после применения Касперского.
    Затем наткнулась на эту инструкцию, и теперь заружаюсь с предложенного там LiveCD.

    Userinit REG_SZ C:\WINDOWS\system32\userinit.exe
    Shell REG_SZ Explorer.exe

    Здесь всё чисто. Предложенных в вышеуказанной инструкции подозрительных файлов у меня не оказалось вовсе. Userinit, как предлагает автор, пока не меняла.

    Надеюсь на вашу помощь.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,267
    Вес репутации
    326
    Уважаемый(ая) Iriaslan, спасибо за обращение на наш форум!

    Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,504
    Вес репутации
    2915
    I этап (выполняется на чистой от вирусов машине)

    1. Скачайте на компьютере, с которого сейчас пишете, образ Kaspersky Registry Editor (около 120 Мбайт)
    2. Если на зараженной машине отсутствует CD/DVD привод, создайте из этого образа загрузочную флешку (как это сделать ищите самостоятельно в Интернете). В противном случае записываете образ на болванку, например, с помощью Nero на минимальной скорости

    II этап (выполняется на заблокированной машине)

    1. Зайти в BIOS и поставить в качестве первого устройства (First Boot Device или что-то подобное) загрузки CD-привод (если записывали на болванку) или USB-HDD (для загрузочной флешки)
    2. Вставляете диск в привод (или подключаете флешку) и загружаетесь:
    – когда пойдет отсчет времени для входа в меню (10 с), нажмите Enter
    – выберите необходимый язык из списка
    – выберите загрузку в графическом режиме, дождитесь окончания настройки и появления окна лицензионного соглашения
    – установите текстовый курсор в самую нижнюю строку и примите соглашение, нажав клавишу C, – появится некое подобие Рабочего стола с кнопкой Пуск
    – выберите Kaspersky Registry Editor
    3. Откроется редактор реестра
    – выберите нужную систему (та, которая заблокирована), если у Вас их несколько
    – посмотрите в реестре:
    ветки HKEY_LOCAL_MACHINE и HKEY_USERS проверьте на наличие неизвестных ключей запуска в папке Run
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  5. #4
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20
    Касперского комп признавать отказывается, пока я с ним не управилась, поглядела реестр через liveCD.
    Из непонятного мне нашла нечто, с абракадаброй в имени и присвоенным значением "C:\WINDOWS\temp\as.exe".


    И еще в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe
    нашла Debugger со значением "C:\WINDOWS\temp\as.exe"

    Еще оно упоминается в HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run

    Всё та же абракадабра с тем же присвоенным As.exe

    Убивать?
    Последний раз редактировалось Iriaslan; 14.09.2011 в 00:01.

  6. #5
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    04.04.2008
    Сообщений
    5,972
    Вес репутации
    397
    Из непонятного мне нашла нечто, с абракадаброй в имени и присвоенным значением "C:\WINDOWS\temp\as.exe".


    И еще в HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe
    нашла Debugger со значением "C:\WINDOWS\temp\as.exe"
    Убивайте

  7. #6
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20
    Убила.
    На первый раз комп загрузился в обычном режиме уже без вируса.
    Иду проверяться и делать логи.

  8. #7
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20
    Completed.
    Вложения Вложения

  9. #8
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,504
    Вес репутации
    2915
    Выполните скрипт в AVZ
    Код:
    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    TerminateProcessByName('c:\documents and settings\iriaslan\application data\netprotocol.exe');
     QuarantineFile('c:\documents and settings\iriaslan\application data\netprotocol.exe','');
     DeleteFile('c:\documents and settings\iriaslan\application data\netprotocol.exe');
     RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Netprotocol');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Сделайте новые логи

    Сделайте лог полного сканирования МВАМ
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  10. #9
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20
    Сделано.
    Вложения Вложения

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    04.04.2008
    Сообщений
    5,972
    Вес репутации
    397
    Удалите в МВАМ
    Код:
    Зараженные папки:
    c:\documents and settings\Iriaslan\application data\archsoft (Trojan.Agent) -> No action taken.
    Зараженные файлы:
    c:\documents and settings\Iriaslan\application data\codi.exe (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\winzipd.exe (Trojan.FakeSMS) -> No action taken.
    c:\documents and settings\Iriaslan\local settings\temporary internet files\Content.IE5\LMI9Y6Z3\codi[1].exe (Trojan.Agent) -> No action taken.
    c:\WINDOWS\Temp\qzdgm.exe (Trojan.Agent) -> No action taken.
    c:\WINDOWS\Temp\as.exe (Trojan.Agent) -> No action taken
    d:\documents and settings\Iriaslan\мои документы\downloads\dungeons.en.ru.repack\redistributables\DirectX\dsetup.dll (Malware.Packer.Gen) -> No action taken.
    c:\documents and settings\Admin\application data\avdrn.dat (Malware.Trace) -> No action taken.
    c:\documents and settings\Admin\application data\fieryads.dat (Adware.FieryAds) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\rubashka.css (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-scroll-slider.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\dir.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\dot.gif (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\foot.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\htmlayout.dll (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\logo.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\logo2.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\logo2m.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-h-scroll-next.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-h-scroll-prev.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-scroll-back.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-scroll-base.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-v-scroll-next.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\sb-v-scroll-prev.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\scroll.css (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\wfont.ttf (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\winzipninfo (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\xsendexe.tmp (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel2.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel3.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel4.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel5.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel6.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel7.png (Trojan.Agent) -> No action taken.
    c:\documents and settings\Iriaslan\application data\archsoft\_todel8.png (Trojan.Agent) -> No action taken.
    Сделайте новый лог МВАМ

  12. #11
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20
    Сделано.
    Вложения Вложения

  13. #12

  14. #13
    Junior Member Репутация
    Регистрация
    13.09.2011
    Сообщений
    9
    Вес репутации
    20
    Да. Баннер больше не появлялся.
    Если в последних логах нет ничего криминального - я спокойна.
    Спасибо вам большое)

  15. #14
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,524
    Вес репутации
    940

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 2
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) Iriaslan, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Вирус вымогатель
      От mimimimio в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 31.12.2011, 16:33
    2. Вирус вымогатель.
      От Ипташ в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 17.12.2011, 19:28
    3. Вирус СМС вымогатель
      От denis920 в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 18.03.2011, 17:39
    4. Вирус-вымогатель смс
      От Cherya в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 23.02.2010, 21:38
    5. Вирус-вымогатель
      От Zifkrid в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 16.12.2009, 15:11

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01008 seconds with 23 queries