Заражён Worm.Win32.NetBooster

[SergiySW]

Часто открываются окно Spyware alert: Security Warning! Worm.Win32.NetBooster detected... Самоустановились программы: Error Cleaner, Privacy Protector, Spyware&Malware Protection. Часто предлагается установить Antivirus 2009 или 2008 PRO. В IE иногда появляется Insecure Internet activity. Threat of virus attack...С рабочего стола удалились многие ярлыки, а в Моём компьютере не отображается диск C. Появилась надпись VIRUS ALERT! в трее рядом с часами. Захвачены права администратора: не запускается диспетчер задач и параметры экрана. В Пуске нет большей части подменю.Как удалить этого червя?

[Rene-gad]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-Пофиксите

R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - (no file)
O3 - Toolbar: fdkowvbp - {54EF0797-AF80-4CF5-AB0C-7E87CCEC3E0B} - C:\WINDOWS\fdkowvbp.dll
O4 - HKLM\..\Run: [8c8ac480] rundll32.exe "C:\WINDOWS\system32\jpwigtop.dll",b
O4 - HKLM\..\Run: [BM8fb9f71c] Rundll32.exe "C:\WINDOWS\system32\vkkiwyty.dll",s
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKCU\..\Run: [antispy] C:\Program Files\IEAntiVirus\ANTIVIR.exe
O4 - HKCU\..\Run: [49399012927254594350628087823135] C:\Program Files\AV9\av2009.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (CDownloadCtrl Object) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.3.6.108.cab
O21 - SSODL: eqvwamkl - {7ACCF0AA-2125-4F7B-AD28-C2E2F0CCEB59} - C:\WINDOWS\eqvwamkl.dll
O21 - SSODL: wnslvxtf - {5EBFDC2A-00D7-448D-A9EB-61AC9909844E} - C:\WINDOWS\wnslvxtf.dll

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('jgameenp');
 DelBHO('{54EF0797-AF80-4CF5-AB0C-7E87CCEC3E0B}');
 DelBHO('{F8241C5B-2E8C-41D9-8E88-F97EF505CB79}');
 DelBHO('{7EC6F14A-C191-4164-A754-EF5EDAC41951}');
 DelBHO('{51DC7A06-2251-4795-A863-421782966EC9}');
 DelBHO('{099AC52C-1CD4-434C-9CC6-FF56DABB5010}');
 QuarantineFile('C:\WINDOWS\fdkowvbp.dll','');
 QuarantineFile('C:\WINDOWS\nfavxwdbvdf.dll','');
 QuarantineFile('C:\WINDOWS\system32\iifgGYqN.dll','');
 QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
 QuarantineFile('C:\Program Files\AV9\av2009.exe','');
 QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\jgameenp.sys','');
 QuarantineFile('C:\WINDOWS\eqvwamkl.dll','');
 QuarantineFile('C:\WINDOWS\system32\jpwigtop.dll','');
 QuarantineFile('C:\WINDOWS\system32\ljJYqQGw.dll','');
 QuarantineFile('C:\WINDOWS\system32\uhyvospk.dll','');
 QuarantineFile('C:\WINDOWS\system32\vkkiwyty.dll','');
 QuarantineFile('C:\WINDOWS\wnslvxtf.dll','');
 DeleteFile('C:\WINDOWS\wnslvxtf.dll');
 DeleteFile('C:\WINDOWS\system32\vkkiwyty.dll');
 DeleteFile('C:\WINDOWS\system32\uhyvospk.dll');
 DeleteFile('C:\WINDOWS\system32\ljJYqQGw.dll');
 DeleteFile('C:\WINDOWS\system32\jpwigtop.dll');
 DeleteFile('C:\WINDOWS\eqvwamkl.dll');
 DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\jgameenp.sys');
 DeleteFile('C:\Program Files\AV9\av2009.exe');
 DeleteFile('C:\WINDOWS\system32\amvo.exe');
 DeleteFile('C:\WINDOWS\system32\iifgGYqN.dll');
 DeleteFile('C:\WINDOWS\nfavxwdbvdf.dll');
 DeleteFile('C:\WINDOWS\fdkowvbp.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('jgameenp');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по красной ссылке вверху темы.
- Прикрепите логи к новому сообщению.

[SergiySW]

Надеюсь, всё сделано правильно...
Новые логи:

[Гриша]

Пофиксить

O2 - BHO: (no name) - {294C92E6-0B64-4CC3-8E21-53E3764C5459} - C:\WINDOWS\system32\ljJYqQGw.dll (file missing)
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - 
O20 - Winlogon Notify: iifgGYqN - iifgGYqN.dll (file missing)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\clbdriver.sys','');
 QuarantineFile('C:\WINDOWS\system32\clbdll.dll','');
 DeleteFile('C:\WINDOWS\system32\Drivers\clbdriver.sys');
 DeleteFile('C:\WINDOWS\system32\clbdll.dll');
 DelBHO('{294C92E6-0B64-4CC3-8E21-53E3764C5459}');
 DeleteFile('\??\globalroot\systemroot\system32\drivers\clbdriver.sys');
 DeleteFile('iifgGYqN.dll');
 DeleteFile('C:\WINDOWS\system32\ljJYqQGw.dll');     
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5 );
ExecuteRepair(6 );
ExecuteRepair(8 );
ExecuteRepair(11 );    
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[SergiySW]

Выполнил коды. Логи:

[Rene-gad]

Можете нас насчет этого файлика просветить?

C:\Documents and Settings\User\Мои документы\Test_D3D10.exe

Спасибо.

[SergiySW]

Test_D3D10.exe - программа, проверяющая совместимость оборудования с DirectX10 for WinXP (что-то в этом роде). У меня этот Директ не пойдёт точно, поэтому только что удалил.

[Rene-gad]

Больше ничего подозрительного. Сервис Пак 3 нужно поставить. Как работает система?

[SergiySW]

Система работает нормально: не тормозит и не виснет, диски отображаются... Единственное, как убрать надпись VIRUS ALERT! из трея? SP3 поищу.
Спасибо за помощь!

[Rene-gad]

Единственное, как убрать надпись VIRUS ALERT! из трея?

Как убрать надпись VIRUS ALERT! :
Панель управления - Язык и региональные стандарты - кнопка Настройка - вкладка Время, залезть курсором в графу "Формат времени" и убрать.

SP3 поищу.

Ссылку в моей подписи видели?

[SergiySW]

Надпись удалил. Ссылку видел и раньше, но только сейчас посмотрел, куда она ведёт... Буду устанавливать SP3. Надеюсь, там защита ещё лучше.
Ещё раз спасибо!

[Rene-gad]

Ссылку видел и раньше, но только сейчас посмотрел, куда она ведёт...

У нас все ссылки ведут куда надо : фирма веников не вяжет

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 24
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\eqvwamkl.dll - Trojan.Win32.Vapsup.jsn (DrWEB: Trojan.Popuper.7323)
  2. c:\\windows\\fdkowvbp.dll - Trojan.Win32.Vapsup.jso (DrWEB: Trojan.Popuper.7321)
  3. c:\\windows\\nfavxwdbvdf.dll - Trojan.Win32.Vapsup.jsp (DrWEB: Trojan.Fakealert.1180)
  4. c:\\windows\\system32\\drivers\\clbdriver.sys - Rootkit.Win32.Agent.bxq (DrWEB: Trojan.Clb.14)
  5. c:\\windows\\system32\\jpwigtop.dll - Trojan.Win32.Monder.cep (DrWEB: Trojan.Virtumod.based.23)
  6. c:\\windows\\system32\\uhyvospk.dll - not-a-virus:AdWare.Win32.BHO.cgs (DrWEB: Trojan.Virtumod.45
  7. c:\\windows\\system32\\vkkiwyty.dll - Trojan.Win32.Monder.cmm (DrWEB: Trojan.Virtumod.based.23)
  8. c:\\windows\\wnslvxtf.dll - Trojan.Win32.Vapsup.jsq (DrWEB: Trojan.Popuper.7322)