Viruswebprotect2008

[Vladimir2008]

Sorry za translit - net russkih bukv na klaviature (ya za granizei).
Problema takaya zhe kak na http://virusinfo.info/showthread.php?t=23058
krome togo:
- nadpis 'VIRUS ALERT!' okolo chasov v tree
- zamena temy na rabochem stole na krasnyu kartinku
- blokiruet raboty v Internete

Proshu vashei pomoshi.
Spasibo!

[Гриша]

Отключите антивирус,восстановление системы и интернет!

Пофиксить

O2 - BHO: QXK Olive - {51DC7A06-2251-4795-A863-421782966EC9} - C:\WINDOWS\nfavxwdbvdf.dll
O2 - BHO: (no name) - {5AA2BA46-9913-4dc7-9620-69AB0FA17AE7} - (no file)
O4 - HKLM\..\Run: [6ca84b89] rundll32.exe "C:\WINDOWS\system32\vofwrhqk.dll",b
O4 - HKLM\..\Run: [lanmanwrk.exe clean] C:\WINDOWS\System32\lanmanwrk.exe clean
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winvb15.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winns40.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winjo16.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winhl04.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winfk04.sys','');
 QuarantineFile('C:\WINDOWS\System32\lanmandrv.sys','');
 QuarantineFile('C:\WINDOWS\System32\zfutmu.dll','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\vofwrhqk.dll','');
 QuarantineFile('C:\WINDOWS\system32\tzbjfj.dll','');
 QuarantineFile('C:\WINDOWS\nfavxwdbvdf.dll','');
 QuarantineFile('c:\windows\system32\lanmanwrk.exe','');
 TerminateProcessByName('c:\windows\system32\lanmanwrk.exe');
 SetServiceStart('lanmandrv', 4);     
 StopService('lanmandrv');
 DeleteService('Winvb15');
 DeleteService('Winns40');
 DeleteService('Winjo16');
 DeleteService('Winhl04');
 DeleteService('Winfk04');
 DeleteService('lanmandrv');     
 DeleteFile('c:\windows\system32\lanmanwrk.exe');
 DeleteFile('C:\WINDOWS\nfavxwdbvdf.dll');
 DeleteFile('C:\WINDOWS\system32\tzbjfj.dll');
 DeleteFile('C:\WINDOWS\system32\vofwrhqk.dll');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\zfutmu.dll');
 DeleteFile('C:\WINDOWS\System32\lanmandrv.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winfk04.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winhl04.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winjo16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winns40.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winvb15.sys');
 DeleteFile('C:\WINDOWS\system32\zfutmu.dll');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\eqvwamkl.dll');
 DelBHO('{d79ed4da-d9c2-49e5-ba8f-93951ec02a17}');
 DelBHO('{5AA2BA46-9913-4dc7-9620-69AB0FA17AE7}');
 DelBHO('{51DC7A06-2251-4795-A863-421782966EC9}');
 DelWinlogonNotifyByKeyName('WinCtrl32');     
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('lanmandrv');
BC_DeleteSvc('Winvb15');
BC_DeleteSvc('Winns40');
BC_DeleteSvc('Winjo16');
BC_DeleteSvc('Winhl04');
BC_DeleteSvc('Winfk04');    
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=27445

Повторите логи...

[Vladimir2008]

karantin vyslal

pozhalyista utochnite chto znachit {Povtorite logi...} - eto punkty 8-13 pravil ?

[V_Bond]

pozhalyista utochnite chto znachit {Povtorite logi...} - eto punkty 8-13 pravil ?

да , заново выполнить правила начиная с пункта 8 ...

[Vladimir2008]

novye logi

[Гриша]

Уже хорошо

Пофиксить

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('zfutmu.dll','');
 DeleteService('Winsw26');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winsw26.sys');
 DeleteFile('WinCtrl32.dll');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('Winsw26');    
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин...

[Vladimir2008]

karantin vyslal

[Гриша]

Попробуйте поискать этот файлик zfutmu.dll согласно приложению 2 правил...

[Vladimir2008]

vyslal karantin
080803_145957_virus_48960e3d3fc96.zip

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('zfutmu.dll');
 SysCleanAddFile('zfutmu.dll');     
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Повторите логи с п.10 правил...

[Vladimir2008]

logi po punktu 10

[Vladimir2008]

teper vse v poryadke krome sledyushego:
- nadpis 'VIRUS ALERT!' okolo chasov v tree
- zastavka na destope, kotoraya ne ubiraetsya (ee mozhno tolko sdvinyt' vpravo, no polosa vse ravno ostaetsya)

[kps]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('searchprotocolhost.exe','');
 QuarantineFile('%system32%\searchprotocolhost.exe','');
BC_ImportQuarantineList;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(5);
RegKeyStrParamWrite('HKCU','Control Panel\International','sTimeFormat','H:mm:ss'); 
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин.

[Vladimir2008]

nadpis 'VIRUS ALERT!' okolo chasov v tree ISCHEZLA !!!
zastavka na destope - TOZHE !!!

karantin vyslal
080803_154956_virus_489619f50009f.zip

Добавлено через 23 минуты

Posle perezagruzki vse OK!
Bolshoe vam spasibo!
Po vozvrashenii domoi v Rossiu "Obyazatalno sdelau Dobroe delo"
Udachi!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 42
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\eqvwamkl.dll - Trojan.Win32.Vapsup.jre (DrWEB: Trojan.Popuper.7324)
  2. c:\\windows\\nfavxwdbvdf.dll - Trojan.Win32.Vapsup.kkh (DrWEB: Trojan.Popuper.7329)
  3. c:\\windows\\system32\\tzbjfj.dll - not-a-virus:AdWare.Win32.SuperJuan.cca (DrWEB: Trojan.Virtumod.based.1
  4. c:\\windows\\system32\\vofwrhqk.dll - Trojan.Win32.Monder.cet (DrWEB: Trojan.Virtumod.45
  5. c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.atp (DrWEB: BackDoor.Bulknet.225)
  6. c:\\windows\\system32\\zfutmu.dll - not-a-virus:AdWare.Win32.SuperJuan.cas (DrWEB: Trojan.Virtumod.based.1