Заблокирован Windows [Trojan-PSW.Win32.Tepfer.baav ]

[dunaev_sv]

Доброго времени суток. Помогите с проблемой, вылез баннер с телефоном и указанием отправить деньги. Винда полностью заблокирована в безопасном режиме не работает. Коды с телефонным номером не помогают. Через Kaspersky Registry Editor:параматр Shell REG_SZ Explorer.exe
параметр Userinit REG_SZ C:\Windows\sistem32\userinit.exe,

Архивы веток реестра прилагаю. Спасибо.

[Info_bot]

Уважаемый(ая) dunaev_sv, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Если окошко с блокером появляется после логотипа windows, то скажите об этом, если до логотипа, то выполните следующее:

На чистой машине

1. Скачайте образ Alkid Live CD, запишите образ на болванку
2. Скачайте TDSSkiller, и запишите на флешку

На проблемной машине

1. Включите в BIOS загрузку с CD
2. Подключите флешку
3. Загрузитесь с созданного диска
4. Запустите TDSSkiller таким образом буква флешки:\tdsskiller.exe -qpath буква флешки:\mbrlog -qmbr
5. Запакуйте папку mbrlog с паролем virus, выложите на обменник (например на http://rghost.ru/ ) и укажите ссылку на скачивание в своём сообщении.


Запакуйте папку mbrlog с паролем virus и прикрепите к своему сообщению.

[thyrex]

Нет в экспорте данных блокировщика. Но скорее всего экспорт второй ветки сделали неверно

Делали так http://www.youtube.com/watch?v=Y9qSrZnEoGg...eature=youtu.be ?

[dunaev_sv]

Простите за задержку был в командировке, вы правы вторую ветку сделал не правильно, посмотрите пожалуйста еще раз.

[миднайт]

1. файл c : \ \ d o c u m e n t s a n d s e t t i n g s \ \ a d m i n \ \ 0 . 7 1 5 2 9 1 0 1 3 9 2 1 5 6 2 8 . e x e нужно переместить в другое место (с помощью Диспетчера файлов), чтобы после снятия блокировки заархивировать его с паролем virus и прислать нам (как карантин загружать по красной ссылке вверху темы).

2. После этого с помощью Kaspersky Registry Editor удалите указанный ниже параметр в реестре

[HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run]
"c:\\documents and settings\\admin\\0.7152910139215628.exe"="c:\\documents and settings\\admin\\0.7152910139215628.exe"

Пробуйте стартовать в обычном режиме

[dunaev_sv]

Компьютер загрузился в обычном режиме, спасибо! Virus загрузил по ссылке

[thyrex]

Теперь выполните http://virusinfo.info/pravila.html

[dunaev_sv]

Снова Здравствуйте, в безопасном режиме компьютер не загружается-выдает голубой экран об аварийном прекращении работы системы из-за вируса(если я правильно перевел), проверял CureIT и своим NODом. Логи AVZ и HiJack прилагаю. AVZ что то заархивировала как вирус.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','c:\documents and set-tings\admin\0.7152910139215628.exe');
 DeleteFile('c:\documents and settings\admin\0.7152910139215628.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(10); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[dunaev_sv]

Здравствуйте. Скрипт выполнил, правда после перезагрузки, опять вышел голубой экран. При загрузке карантина так же вышла ошибка, что такой файл ужу загружен.

[Techno]

- Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search

O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)

- Сделайте лог полного сканирования MBAM.

[dunaev_sv]

Строки пофиксил, отчет MBAM приложил

[Techno]

Порядок, проблемы решены?

[dunaev_sv]

Спасибо большое!! Машина нормально работает во всех режимах

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\admin\\рабочий стол\\0.7152910139215628.exe - Trojan-PSW.Win32.Tepfer.baav ( DrWEB: Trojan.PWS.Ftpharv.26, BitDefender: Trojan.Generic.KDV.704067 )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !