И снова Virtumonde и PrivacyRemover )
День добрый
Как вижу, судя по названиям топиков проблема очень распространенная.
Симптомы такие же как и у всех: вместо обоев на рабочем столе табличка: Warning spyware detected on your computer. Соответственно, Вредоносные программы Win32/Adware Virtumonde и Win32/PrivacyRemover.M64.
Если не ошибаюсь, Virtumonde регулярно открывает кучу поп-ап окон с разной рекламой и т.д. Этот симптом также в наличии
Судя по логам, кроме этих двух паразитов есть еще проблемы, буду очень рад, если поможете
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Читайте правила
обработка заявок в порядке поступления.Пожалуйста, помните, что помощь Вам оказывается бесплатно, и на добровольной основе. Не требуйте помощи в категоричной форме.
Нарушения правил при сборе информации для раздела Помогите.
- Не выключено системное восстановление
Логи выполненные с нарушением правил рассматриваться не будут.
Повторите 3 лога в соответствии с правилами.
Спасибо за понимание.
понял, прошу извинить )
странно, точно помню, что выключал.
новые логи вложил
А базы АВЗ почему старые в повторных логах???
Работайте аккуратнее плиз - Ваше и наше время идет!!!
Базы АВЗ обновить прежде чем дальше лечиться будем.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); TerminateProcessByName('c:\windows\svchost.exe'); QuarantineFile('C:\WINDOWS\system32\colbaft.dll',''); QuarantineFile('C:\WINDOWS\System32\Drivers\Mmw46.sys',''); QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys',''); QuarantineFile('C:\WINDOWS\system32\Drivers\Mmw46.sys',''); QuarantineFile('C:\WINDOWS\system32\sysfldr.dll',''); QuarantineFile('c:\windows\svchost.exe',''); DeleteFile('c:\windows\svchost.exe'); DeleteFile('C:\WINDOWS\system32\sysfldr.dll'); DeleteFile('C:\WINDOWS\system32\Drivers\Mmw46.sys'); DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys'); DeleteFile('C:\WINDOWS\System32\Drivers\Mmw46.sys'); DeleteFile('C:\WINDOWS\system32\blphcrusj0ep4v.scr'); DeleteFile('C:\WINDOWS\system32\colbaft.dll'); DeleteFile('C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL'); BC_ImportAll; ExecuteSysClean; BC_DeleteSvc('Mmw46'); BC_DeleteSvc('PowerManager'); BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
про базы забыл, извините.
вроде все готово, карантин отправил, новые логи тут.
табличка с предупреждением так и осталась, но общий фон сменился с белого на синий.
+ 2 закладки в свойствах экрана так и остались заблокированными...
Последний раз редактировалось Амстердам; 22.08.2008 в 14:06.
Повторите выполнение скрипта из сообщения 4.
Потом сделайте новые логи.
С закладками разберемся после удаления зловредов.
готово.
сменил обои - при перезагрузке картинка не слетела, так и осталась висеть, табличка не вылезает
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите
- Выполните скриптКод:O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL (file missing) O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL (file missing) O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe O17 - HKLM\System\CCS\Services\Tcpip\..\{6A177C74-F263-4918-A454-7123D03D021F}: NameServer = 85.255.114.75,85.255.112.212 O17 - HKLM\System\CCS\Services\Tcpip\..\{B8745675-791D-4C65-B8A4-360234FE7566}: NameServer = 85.255.114.75 85.255.112.212 O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.117 85.255.112.203 O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.114.75 85.255.112.212 O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.114.75 85.255.112.212 O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.75 85.255.112.212 O20 - Winlogon Notify: sysfldr - sysfldr.dll (file missing)
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteService('PowerManager'); QuarantineFile('C:\Program Files\SimpleCenter\bin\win\sclauncher.dll',''); DelBHO('{4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C}'); DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}'); QuarantineFile('C:\WINDOWS\Temp\startdrv.exe',''); QuarantineFile('C:\WINDOWS\svchost.exe',''); DeleteFile('C:\WINDOWS\svchost.exe'); DeleteFile('C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL'); DeleteFile('C:\WINDOWS\Temp\startdrv.exe'); DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll'); BC_ImportAll; ExecuteSysClean; BC_DeleteSvc('PowerManager'); BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
пофиксил все, кроме:
O17 - HKLM\System\CCS\Services\Tcpip\..\{B8745675-791D-4C65-B8A4-360234FE7566}: NameServer = 85.255.114.75 85.255.112.212
такой строки в логе хайджека просто не было...
все остальное сделано )
- Выполните скрипт
После перезагрузки сделайте повторный лог по стандартному скрипту 2 правил.Код:begin RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System','kdimj.exe'); RebootWindows(true); end.
- Прикрепите лог к новому сообщению.
готово.
судя по логу, со зловредами покончено?
а как теперь разлочить закладки в свойствах экрана?
Запустите редактор реестра, пройдите к HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\, щелкните дважды по ключу System, удалите параметр kdimj.exe, закройте редактор реестра.
- Выполните скрипт
После перезагрузки сделайте лог по стандартному скрипту 2 и проинформируйте о состоянии ПК.Код:begin executerepair(5); executerepair(6); executerepair(8); executerepair(9); executerepair(11); executerepair(16); executerepair(17); RebootWindows(true); end.
все сделал, закладки появились, правда параметр kdimj.exe у ключа появился вновь после перезагрузки.
а так вроде все отлично )
спасибо вам огромное, без вас бы не осилил
Это не есть хорошо. Поищите файл kdimj.exe и пришлите по приложениям 2 и 3 правил.Сообщение от Амстердам
Выполните скрипт
После перезагрузки сделайте лог по стандартному скрипту 2.Код:begin executerepair(7); RebootWindows(true); end.
Последний раз редактировалось Rene-gad; 22.08.2008 в 17:42. Причина: Добавлено
в общем файл нигде не нашел,даже в скрытых и системных папках. Все остальное сделал, но после ребута почему-то пропал инет, огонек дсл на модеме погас. При попытке установить соединение пишет про какую-то службу. Поискал в локальных службах,вроде ничего не нашел. При этом подключение по локальной сети есть,т.е. сетевая карта и модем работают. Пишу с телефона. Лог тоже тоже умудрился вложить с телефона )
Процитируйте дословно.
Статистика проведенного лечения:
- Получено карантинов: 2
- Обработано файлов: 28
- В ходе лечения обнаружены вредоносные программы:
- c:\\program files\\connectionservices\\connectionservices.dll - Trojan.Win32.ConnectionServices.w (DrWEB: Trojan.BhoSpy.2)
- c:\\program files\\trend micro\\hijackthis\\backups\\backup-20080822-153622-711.dll - Trojan.Win32.ConnectionServices.w (DrWEB: Trojan.BhoSpy.2)
- c:\\windows\\svchost.exe - Virus.Win32.Hidrag.a (DrWEB: Win32.HLLP.Jeefo.36352)
- c:\\windows\\system32\\comaddi.dll - Rootkit.Win32.Podnuha.aln (DrWEB: Trojan.DownLoad.4182)
- c:\\windows\\temp\\data.exe - Trojan.Win32.Pakes.bmj (DrWEB: Trojan.Inject.464)
- c:\\windows\\temp\\loader.exe - Trojan.Win32.Pakes.sb (DrWEB: Trojan.MulDrop.9300)
- c:\\windows\\temp\\load.exe - Trojan.Win32.Pakes.aoe (DrWEB: BackDoor.Bulknet.84)
- c:\\windows\\temp\\startdrv.exe - Trojan-Downloader.Win32.Injecter.an (DrWEB: Trojan.MulDrop.9752)
Уважаемый(ая) Амстердам, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
