Win32/Adware.Virtumonde, PrivacyRemover.M64, синий экран и перехват .exe

[schegloff]

Win32/Adware.Virtumonde и PrivacyRemover.M64 заменили десктоп и устроили синий экран вместо заставки

кроме того, перехватываются файлы:
1) при скачивании zip-архивов браузером и обновлений для nod загрузка обрывается на 99-100%
2) при попытке скопировать exe-файл из архива, файл сразу удаляется

все нужные файлы - прикрепляю

[V_Bond]

выполните скрипт ....

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\secpol.exe','');
 QuarantineFile('C:\WINDOWS\system32\hfdf0530.exe','');
 QuarantineFile('C:\WINDOWS\system32\fsmgmt.dll','');
 QuarantineFile('C:\WINDOWS\system32\lphc7blj0erer.exe','');
 QuarantineFile('C:\DOCUME~1\Roman\LOCALS~1\Temp\dat8.tmp','');
 QuarantineFile('C:\DOCUME~1\Roman\LOCALS~1\Temp\dat7.tmp','');
 QuarantineFile('c:\windows\system32\lphc7blj0erer.exe','');
 DeleteFile('c:\windows\system32\lphc7blj0erer.exe');
 DeleteFile('C:\DOCUME~1\Roman\LOCALS~1\Temp\dat7.tmp');
 DeleteFile('C:\DOCUME~1\Roman\LOCALS~1\Temp\dat8.tmp');
 DeleteFile('C:\WINDOWS\system32\lphc7blj0erer.exe');
 DeleteFile('C:\WINDOWS\system32\fsmgmt.dll');
 DeleteFile('C:\WINDOWS\system32\blphc7blj0erer.scr');
 DeleteFile('C:\WINDOWS\system32\hfdf0530.exe');
 DeleteFile('C:\WINDOWS\system32\secpol.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

[schegloff]

Спасибо за помощь!

Файл сохранён как 080819_145819_virus_48ab25db344d6.zip
Размер файла 394612
MD5 1626973d780107253e46a93525c70b58

[V_Bond]

пофиксите ...

O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\system32\Rundll32.exe" "C:\WINDOWS\system32\shell32.dll",Control_RunDLL "C:\DOCUME~1\Roman\LOCALS~1\Temp\dat7.tmp"
O20 - Winlogon Notify: fsmgmt - C:\WINDOWS\

F:\Ureg\Pentax_Win_GM_10042005.exe это ваше ?

[schegloff]

пофиксите ...

O4 - HKCU\..\Run: [Shell] "C:\WINDOWS\system32\Rundll32.exe" "C:\WINDOWS\system32\shell32.dll",Control_RunDLL "C:\DOCUME~1\Roman\LOCALS~1\Temp\dat7.tmp"
O20 - Winlogon Notify: fsmgmt - C:\WINDOWS\

F:\Ureg\Pentax_Win_GM_10042005.exe это ваше ?

1. а как пофиксить?
2. у меня диск F - dvd-rom, в который сейчас вставлен dvd с фильмами. такого адреса там нет. а дрова для Пентакса на компьютере присутствуют

[V_Bond]

http://virusinfo.info/showthread.php?t=4491

[schegloff]

Пофиксил. Спасибо еще раз!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\docume~1\\roman\\locals~1\\temp\\dat7.tmp - Trojan-PSW.Win32.OnLineGames.agib (DrWEB: Trojan.Inject.3412)
  2. c:\\docume~1\\roman\\locals~1\\temp\\dat8.tmp - Trojan-PSW.Win32.OnLineGames.ahaj (DrWEB: Trojan.Inject.343
  3. c:\\windows\\system32\\lphc7blj0erer.exe - Trojan-Downloader.Win32.Small.ably (DrWEB: Trojan.Packed.600)