Win32/Adware.Virtumonde и Win32/PrivacyRemover.M64

[nivalland]

Здравствуйте.

Заметил, что на форуме уже есть сообщения о вирусе этого типа, но т.к. в правилах указано, что скрипты уникальны для каждого случая и, возможно, не подойдут, описываю мою ситуацию.

На экране сообщение о наличии этого вируса (Win32/Adware.Virtumonde) вместо "обоев".
Проверял : CureIt (новый, только скачал), Antivir(новый, только скачал), AVZ (после обновления баз). На экране все тоже сообщение о вирусе.
Что делать?

Заранее спасибо.

[Rene-gad]

Заметил, что на форуме уже есть сообщения о вирусе этого типа, но т.к. в правилах указано, что скрипты уникальны для каждого случая и, возможно, не подойдут, описываю мою ситуацию.

Спасибо, что Вы читаете правила - это тоже уникальный случай

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winwd62.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr16.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlr16.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winwd62.sys');
 DeleteFile('C:\WINDOWS\system32\blphcla0j0e503.scr');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winwd62');
 BC_DeleteSvc('Winlr16');
 BC_DeleteSvc('WZCSVCaspimgr');
 BC_DeleteSvc('WmdmPmSNRemoteRegistry');
 BC_DeleteSvc('WebClientImapiService');
 BC_DeleteSvc('W32TimeTrkWkshelpsvcRpcLocatordmserver');
 BC_DeleteSvc('W32TimeTrkWkshelpsvcRpcLocator');
 BC_DeleteSvc('UPSRemoteAccess');
 BC_DeleteSvc('UPSBITSlanmanworkstationDhcpMSDTC');
 BC_DeleteSvc('UPSBITSlanmanworkstationDhcp');
 BC_DeleteSvc('UPSBITS');
 BC_DeleteSvc('TrkWkshelpsvcRpcLocator');
 BC_DeleteSvc('TrkWkshelpsvc');
 BC_DeleteSvc('TlntSvrVSS');
 BC_DeleteSvc('TlntSvrseclogonWZCSVC');
 BC_DeleteSvc('SysmonLogNetlogon');
 BC_DeleteSvc('SwPrvTapiSrv');
 BC_DeleteSvc('SSDPSRVPlugPlay');
 BC_DeleteSvc('srserviceClipSrv');
 BC_DeleteSvc('SpoolerAlerter');
 BC_DeleteSvc('spiderntWmdmPmSN');
 BC_DeleteSvc('SENSSENS');
 BC_DeleteSvc('seclogonWZCSVC');
 BC_DeleteSvc('seclogonImapiService');
 BC_DeleteSvc('NtLmSspwuauserv');
 BC_DeleteSvc('Netlogonhelpsvc');
 BC_DeleteSvc('NetDDEWZCSVC');
 BC_DeleteSvc('NetDDEWmiApSrv');
 BC_DeleteSvc('NetDDENetlogon');
 BC_DeleteSvc('NetDDEdsdmEventlog');
 BC_DeleteSvc('MSIServerMSDTCDnscache');
 BC_DeleteSvc('MSDTCDnscache');
 BC_DeleteSvc('MessengerTrkWkshelpsvcRpcLocator');
 BC_DeleteSvc('lanmanworkstationDhcp');
 BC_DeleteSvc('lanmanserverSchedule');
 BC_DeleteSvc('Eventlogmsscenter');
 BC_DeleteSvc('Dnscachemsscenter');
 BC_DeleteSvc('COMSysAppDhcpBITS');
 BC_DeleteSvc('COMSysAppDhcp');
 BC_DeleteSvc('AudioSrvTapiSrv');
 BC_DeleteSvc('ALGstisvc');
 BC_DeleteSvc('AlerterCiSvc');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Выполните скрипт 2

begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[nivalland]

Сообщение о вирусе на экране пропало. Похоже, вирус убит.

Спасибо.

Нет. Не убит. При загрузке появляется тоже сообщение о вирусе, а потом пропадает.

Где-то он по-прежнему сидит.

[Rene-gad]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт 1

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('W32TimeTrkWkshelpsvcRpcLocatordmserverTermService');
 DeleteService('RDSessMgrRpcLocator');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('W32TimeTrkWkshelpsvcRpcLocatordmserverTermService');
BC_DeleteSvc('RDSessMgrRpcLocator');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:

- Выполните скрипт 2

begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[nivalland]

Вроде, окно с сообщением о вирусе пропало. Про сам вирус уже не знаю, что думать - больно уж хитер оказался.

[Rene-gad]

Ничего плохого не видно.
Сервис Пак 3 нужно поставить, возможно потребуется активация системы.
Джаву обновите.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены