Показано с 1 по 16 из 16.

Winlock напал (заявка № 120662)

  1. #1
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32

    Winlock напал

    небольшое синее окно просит 1000 руб.
    параметр shell = explorer.exe
    а вот параметр userinit это что то:
    C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system 32\38583f7.exe,\\?\globalroot\systemroot\system32\ 1clYqL2.exe,C:\WINDOWS\system32\8e7a4db7.exe,C:\WI NDOWS\system32\ecb85544.exe,\\?\globalroot\systemr oot\system32\ERxtVYI.exe,\\?\globalroot\systemroot \system32\EetUj3D.exe,\\?\globalroot\systemroot\sy stem32\r5Tfn9a.exe,\\?\globalroot\systemroot\syste m32\N17Tqt5.exe,\\?\globalroot\systemroot\system32 \4pxo3mS.exe,\\?\globalroot\systemroot\system32\Fz O8AZB.exe,\\?\globalroot\systemroot\system32\5wGpa 5X.exe,\\?\globalroot\systemroot\system32\ptIbQI7. exe,\\?\globalroot\systemroot\system32\pNFn7mY.exe ,\\?\globalroot\systemroot\system32\ZCBFtVO.exe,\\ ?\globalroot\systemroot\system32\oK7xxpd.exe,\\?\g lobalroot\systemroot\system32\XVRYLmz.exe,\\?\glob alroot\systemroot\system32\j42T9Nw.exe,\\?\globalr oot\systemroot\system32\aTrqSu1.exe,\\?\globalroot \systemroot\system32\VD0GJXB.exe,\\?\globalroot\sy stemroot\system32\bP3WCVX.exe,\\?\globalroot\syste mroot\system32\qS2xxnm.exe,\\?\globalroo
    t\system
    root\system32\5mKqlDy.exe,\\?\globalroot\systemroo t\system32\hFXU46z.exe,\\?\globalroot\systemroot\s ystem32\D1ctdcO.exe,\\?\globalroot\systemroot\syst em32\nPMcEo0.exe,\\?\globalroot\systemroot\system3 2\QyCPXU8.exe,\\?\globalroot\systemroot\system32\R Hhjw6B.exe,\\?\globalroot\systemroot\system32\8P4W uYB.exe,\\?\globalroot\systemroot\system32\wYVtOwg .exe,\\?\globalroot\systemroot\system32\qd7vPTk.ex e,\\?\globalroot\systemroot\system32\Osaj9M2.exe,\ \?\globalroot\systemroot\system32\Ob9lll9.exe,\\?\ globalroot\systemroot\system32\xyQ8LRM.exe,\\?\glo balroot\systemroot\system32\Olucjyt.exe,\\?\global root\systemroot\system32\jWauYFm.exe,\\?\globalroo t\systemroot\system32\7dcMZ9u.exe,\\?\globalroot\s ystemroot\system32\y7cITCJ.exe,\\?\globalroot\syst emroot\system32\fjLyGZT.exe,\\?\globalroot\systemr oot\system32\g0l3Af2.exe,\\?\globalroot\systemroot \system32\6SmbzK5.exe,\\?\globalroot\systemroot\sy stem32\0DbZBCM.exe,\\?\globalroot\systemroot\syste m32\R8lkBDr.exe,\\?\globalroot\systemroo
    t\system
    32\TgQNMcP.exe,\\?\globalroot\systemroot\system32\ TpPF3g6.exe,\\?\globalroot\systemroot\system32\DBL kWsk.exe,\\?\globalroot\systemroot\system32\186M1K 2.exe,\\?\globalroot\systemroot\system32\mojfw61.e xe,\\?\globalroot\systemroot\system32\kthw00q.exe, \\?\globalroot\systemroot\system32\Hpao5eW.exe,\\? \globalroot\systemroot\system32\1nVJQer.exe,\\?\gl obalroot\systemroot\system32\ub1GjGP.exe,\\?\globa lroot\systemroot\system32\VMbi4Fb.exe,\\?\globalro ot\systemroot\system32\7nC8Tys.exe,\\?\globalroot\ systemroot\system32\aQHyRpF.exe,\\?\globalroot\sys temroot\system32\HVi3GMD.exe,\\?\globalroot\system root\system32\9glU18b.exe,\\?\globalroot\systemroo t\system32\Pjw1u7r.exe,\\?\globalroot\systemroot\s ystem32\SA72Vx6.exe,\\?\globalroot\systemroot\syst em32\dpSgnfM.exe,\\?\globalroot\systemroot\system3 2\9AW89nm.exe,\\?\globalroot\systemroot\system32\k we2Rzh.exe,\\?\globalroot\systemroot\system32\C0Ri uml.exe,\\?\globalroot\systemroot\system32\03z2JWt .exe,\\?\globalroot\systemroot\system32\
    3ZxfqFo.
    exe,\\?\globalroot\systemroot\system32\DCShupA.exe ,\\?\globalroot\systemroot\system32\UNxwXkI.exe,\\ ?\globalroot\systemroot\system32\0Io9vlG.exe,\\?\g lobalroot\systemroot\system32\NDVIByh.exe,\\?\glob alroot\systemroot\system32\Oym2Zyy.exe,\\?\globalr oot\systemroot\system32\6Rh8OzW.exe,\\?\globalroot \systemroot\system32\G2Pq0q5.exe,\\?\globalroot\sy stemroot\system32\71bubik.exe,\\?\globalroot\syste mroot\system32\0VNASE4.exe,\\?\globalroot\systemro ot\system32\QiKShxD.exe,\\?\globalroot\systemroot\ system32\TjZw5hT.exe,\\?\globalroot\systemroot\sys tem32\J9jUqPf.exe,\\?\globalroot\systemroot\system 32\2sPGacB.exe,\\?\globalroot\systemroot\system32\ k5Ax1sL.exe,\\?\globalroot\systemroot\system32\j16 brZp.exe,\\?\globalroot\systemroot\system32\Spcws0 M.exe,\\?\globalroot\systemroot\system32\ocuXkEL.e xe,\\?\globalroot\systemroot\system32\f7ZCd8L.exe, \\?\globalroot\systemroot\system32\gMOuCNF.exe,\\? \globalroot\systemroot\system32\egH6dol.exe,\\?\gl obalroot\systemroot\system32\uYrTMHc.exe
    ,\\?\glo
    balroot\systemroot\system32\86Z1BT8.exe,\\?\global root\systemroot\system32\RCR74lM.exe,\\?\globalroo t\systemroot\system32\FZ6WDP8.exe,\\?\globalroot\s ystemroot\system32\63gA47L.exe,\\?\globalroot\syst emroot\system32\52JtNTU.exe,\\?\globalroot\systemr oot\system32\ScgwuPK.exe,\\?\globalroot\systemroot \system32\6qBZSbj.exe,\\?\globalroot\systemroot\sy stem32\KP3Mpq7.exe,\\?\globalroot\systemroot\syste m32\uh50dAA.exe,


    ветки реестра прилагаю
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,266
    Вес репутации
    327
    Уважаемый(ая) dlenacsm, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    Мдя...

    Параметр userinit исправьте на такой:
    C:\WINDOWS\system32\userinit.exe,

    Эти ключи удалите:
    "S2118667"="C:\\Documents and Settings\\first\\ms.exe"
    "S13579175"="C:\\Documents and Settings\\first\\ms.exe"
    "S14711313"="C:\\Documents and Settings\\first\\ms.exe"
    "S1628167"="C:\\Documents and Settings\\first\\ms.exe"
    "S750127"="C:\\Documents and Settings\\first\\ms.exe"
    "S77359"="C:\\Documents and Settings\\first\\ms.exe"
    "S171584"="C:\\Documents and Settings\\first\\ms.exe"
    "S909332"="C:\\Documents and Settings\\first\\ms.exe"
    "S5817435"="C:\\Documents and Settings\\first\\ms.exe"
    "S160107140"="C:\\Documents and Settings\\first\\ms.exe"
    "S165131161"="C:\\Documents and Settings\\first\\ms.exe"

    Файл C:\Documents and Settings\first\ms.exe заархивируйте с паролем virus и загрузите по красной ссылке вверху темы "Прислать запрошенный карантин". Затем удалите этот файл.

    Попробуйте загрузиться. Если получилось, сделайте логи по правилам.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  5. #4
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32
    Дейстововал по инструкциям рассположенным здесь http://virusinfo.info/showthread.php...hlight=winlock. соответственно реестр смотрел в среде kaspersky rescue disk. там же поправил реестр по вашим рекомендациям. вопрос: как заархивировать файл находясь в среде kaspersky rescue disk? если нужно зайти в безопасном режиме напомните как это делать?

  6. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    В безопасном режиме (как загрузиться).

    После редактирований в реестре можете загрузиться в проблемной системе?
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  7. #6
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32
    нет после редактирования в обычном режиме опять окно. как и в безопасном впрочем тоже . после попытки загрузится в обычном в ветке HKEY_USERS\<Имя проблемной учетки>\Software\Microsoft\Windows\CurrentVersion\ Run появился ключ "S1976297"="C:\\Documents and Settings\\first\\ms.exe" я его удалил
    после попытки загрузки в безопасном режиме там же появился ключ "S3150126"="C:\\Documents and Settings\\first\\ms.exe" тоже удалил. остальное все что мы исправляли в норме.
    что делать дальше? файл выслать не могу (только если переслать на здоровую машину ,без архивирования через интернет почту - но что-то боязно). логи сделать тоже не могу.

  8. #7
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    Попробуйте загрузиться в безопасном режиме с поддержкой командной строки.
    В командной строке наберите explorer.exe и нажмите Enter.
    Если нормально, сделайте логи.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  9. #8
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32
    смог загрузить проводник из командной строки заархивировал и удалил ms.exe. загрузился в обычном режиме. ПОЛУЧИЛОСЬ! однако сглупил заархивировал в rar а у вас принимает только zip попробовал распаковать но rar написал, что ошибка в распаковываемом файле и отказался распаковывать. поэтому прислать вам "друга" не получится. делаю логи.

    - - - Updated - - -

    отправляю логи
    Вложения Вложения

  10. #9
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    Пофиксите в HijackThis (как пофиксить):
    Код:
    O1 - Hosts: 46.251.228.210 odnoklassniki.ru
    O1 - Hosts: 46.251.228.210 ru-ru.facebook.com
    O1 - Hosts: 46.251.228.210 www.vk.com
    O1 - Hosts: 46.251.228.210 www.vkontakte.ru
    O1 - Hosts: 46.251.228.210 vk.com
    O1 - Hosts: 46.251.228.210 www.facebook.com
    O1 - Hosts: 46.251.228.210 www.odnoklassniki.ru
    O1 - Hosts: 46.251.228.210 vkontakte.ru
    O1 - Hosts: 46.251.228.210 facebook.com
    O1 - Hosts: 46.251.228.210 facebook.com
    
    O4 - Startup: Adobe Updater.lnk = C:\WINDOWS\system32\cmd.exe
    Выполните скрипт в AVZ (как выполнить):
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\Documents and Settings\first\ms.exe','');
     QuarantineFile('C:\Documents and Settings\first\Application Data\lbisov.exe','');
     DeleteFile('C:\Documents and Settings\first\Application Data\lbisov.exe');
     DeleteFile('C:\Documents and Settings\first\ms.exe');
    ClearHostsFile;
    BC_ImportAll;
    ExecuteSysClean;
    ExecuteWizard('TSW',2,2,true);
    BackupRegKey('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes', 'routes');
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    После перезагрузки выполните скрипт в AVZ:
    Код:
     begin
     CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
     end.
    Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

    В папке АВЗ появится папка Backup, в ней папка с именем текущей даты, в ней файл routes_<цыферки>.reg
    Заархивируйте его и приложите здесь.

    Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела Диагностика правил) и приложите в теме.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  11. #10
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32
    готово
    Вложения Вложения

  12. #11
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    По логам больше подозрений нет.

    У вас много статических маршрутов (routes_20120528-214843.zip - просмотр заархивированного файла routes_20120528-214843.reg в блокноте).
    Это может блокировать доступ к некоторым сайтам.
    Среди них могут быть и легитимные. Ваш провайдер предусматривал какие-либо статические маршруты для подключения интернет или его других услуг?

    Еще загрузите virusinfo_cure.zip из папки AVZ\LOG по красной ссылке вверху темы "Прислать запрошенный карантин".
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  13. #12
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32
    Цитата Сообщение от Nikkollo Посмотреть сообщение
    Ваш провайдер предусматривал какие-либо статические маршруты для подключения интернет или его других услуг?
    мне сие неведомо. при подключении, как мне показалось никаких особых требований и настроек не было.

    требуемый файл загрузить не получается. Ответ системы: "Ошибка загрузки. Данный файл уже был загружен".

  14. #13
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    Тогда попробуем очистить.
    Выполните скрипт в AVZ (как выполнить):
    Код:
    begin
    RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes');
    RegKeyCreate('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes');
    end.
    Перезагрузите компьютер и проверьте интернет (и другие услуги провайдера, если пользуетесь).
    Если что-то нарушилось, дважды щелкните по вышеуказанному рег файлу routes_20120528-214843.reg и нажмите "Да" на запрос о внесении изменений в реестр.

    Попробуйте посмотреть файлы с бредовыми именами по списку в вашем первом сообщении, в папке C:\WINDOWS\system32\
    Если найдете что-нибудь, заархивируйте с паролем virus и загрузите по красной ссылке вверху.
    (понимаю, что их там много... хотя бы бегло посмотрите).
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  15. #14
    Junior Member Репутация
    Регистрация
    14.04.2008
    Сообщений
    65
    Вес репутации
    32
    код выполнил. все работает. файлов из реестра в system32 не нашел.

  16. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Nikkollo
    Регистрация
    13.03.2009
    Сообщений
    7,231
    Вес репутации
    426
    Тогда можно на этом закончить.
    Даже в самом пустом из самых пустых есть двойное дно © Пикник
    Вы можете отблагодарить нас так

  17. #16
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,562
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 4
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) dlenacsm, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. lockdir.exe v. 5.6.0.95 напал на базу 1С
      От Fumafuma01 в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 20.02.2012, 02:04
    2. Avast напал на AVZ v.4.37
      От 027 в разделе Антивирусы
      Ответов: 1
      Последнее сообщение: 10.11.2011, 15:54
    3. На меня напал вымогатель касперского
      От jop в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 22.07.2009, 23:47
    4. Напал z-connect
      От IlyaPro в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 02.06.2009, 20:40
    5. На меня напал z-connect
      От qwestrum в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 14.04.2009, 19:29

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00686 seconds with 22 queries