Блокировка социальных сетей [Trojan.VBS.Miner.k, not-a-virus:RiskTool.Win32.BitCoinMiner.lkl ]

**Shtimo** · 18.02.2014, 12:32

При попытке зайти во Вконтакте появляется сообщение: вы пытаетесь зайти под именем... из необычного места.

Чтобы подтвердить, что Вы действительно являетесь владельцем страницы, пожалуйста, укажите все недостающие цифры номера телефона, к которому привязана страница. +7 42
Подтвердить
Выйти

В случае, если Вы по какой-либо причине не можете вспомнить номер, к которому привязана Ваша страница, Вы можете ввести номер с которого сможете подтвердить авторизацию.

Ввожу номер, пишет что операция не поддерживается оператором,жму регистрация вообще ни чего не происходит,с другого компьютера зайти могу.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 18.02.2014, 12:34

Уважаемый(ая) Shtimo, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 18.02.2014, 21:56

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Updater Startup Utility.url','');
 QuarantineFile('C:\Users\Илья\AppData\Roaming\Doc\update.vbs','');
 QuarantineFile('C:\Users\Илья\AppData\Roaming\Doc\zlib1.dll','');
 QuarantineFile('C:\Users\Илья\AppData\Roaming\Doc\SSLEAY32.dll','');
 QuarantineFile('C:\Users\Илья\AppData\Roaming\Doc\LIBEAY32.dll','');
 QuarantineFile('C:\Users\Илья\AppData\Roaming\Doc\libcurl-4.dll','');
 TerminateProcessByName('c:\users\Илья\appdata\roaming\doc\cgminer.exe');
 QuarantineFile('c:\users\Илья\appdata\roaming\doc\cgminer.exe','');
 DeleteFile('c:\users\Илья\appdata\roaming\doc\cgminer.exe','32');
 DeleteFile('C:\Users\Илья\AppData\Roaming\Doc\libcurl-4.dll','32');
 DeleteFile('C:\Users\Илья\AppData\Roaming\Doc\LIBEAY32.dll','32');
 DeleteFile('C:\Users\Илья\AppData\Roaming\Doc\SSLEAY32.dll','32');
 DeleteFile('C:\Users\Илья\AppData\Roaming\Doc\zlib1.dll','32');
 DeleteFile('C:\Users\Илья\AppData\Roaming\Doc\update.vbs','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

**Shtimo** · 19.02.2014, 18:12

Карантин прислал,новые логи сделал.

**thyrex** · 19.02.2014, 21:50

Удалите в МВАМ все найденное

**Shtimo** · 20.02.2014, 00:21

удалил,в контакт по прежнему не заходит.

**thyrex** · 20.02.2014, 01:00

Пофиксите в HiJack

Код:

O17 - HKLM\System\CCS\Services\Tcpip\..\{EF5AECC0-2FAF-43FB-83FC-77977AB9571A}: NameServer = 37.10.116.204,8.8.8.8

Сделайте логи RSIT

**Shtimo** · 20.02.2014, 10:04

Всё заработало большое вам спасибо!

**regist** · 20.02.2014, 14:10

Сообщение от Shtimo

Всё заработало большое вам спасибо!

не смотря на это выполните 2-й стандартный скрипт такой версией AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip. А то с большой вероятностью завтра проблема вернётся назад.

и смените все пароли.

**Shtimo** · 20.02.2014, 18:53

блин опять то же самое...вот скрипт...

**regist** · 20.02.2014, 20:19

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Updater Startup Utility.url','');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Adobe Updater Startup Utility.url','32');
 DeleteFile('C:\Windows\Tasks\At1.job','32');
 DeleteFile('C:\Windows\Tasks\At2.job','32');
 DeleteFile('C:\Windows\system32\Tasks\At1','32');
 DeleteFile('C:\Windows\system32\Tasks\At2','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

VKSaver - деинсталируйте.

Профиксите в HijackThis

Код:

O15 - Trusted IP range: http://127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{EF5AECC0-2FAF-43FB-83FC-77977AB9571A}: NameServer = 37.10.116.204,8.8.8.8

http://127.0.0.1 - если сами этот адрес в доверенные добавили, то эту строчку фиксить не надо.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

смените все пароли.

**Shtimo** · 20.02.2014, 22:12

повторные логи

**regist** · 20.02.2014, 22:18

1) - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

2) Профиксите в HijackThis

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://yambler.net/?im
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://yambler.net/?im

babyuser.ru/ - сами стартовой прописали? Если нет, то также пофиксить

Код:

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://babyuser.ru/

3) vksaver - рекомендую всё-таки деинсталировать. От него у вас могут быть проблемы.

4) Не ответили по поводу

Код:

O15 - Trusted IP range: http://127.0.0.1

сами прописывали?

5) что с проблемой?

**Shtimo** · 21.02.2014, 10:14

Всем спасибо.Проблема решена.

**regist** · 21.02.2014, 12:43

Сообщение от regist

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

так и не сделали

-----------------
Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

**CyberHelper** · 21.02.2014, 12:53

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 21
В ходе лечения обнаружены вредоносные программы:
1. c:\users\илья\appdata\roaming\doc\cgminer.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.lkl ( DrWEB: Tool.BtcMine.150 )
2. c:\users\илья\appdata\roaming\doc\update.vbs - Trojan.VBS.Miner.k