Spyware & рассадник(Malware,TroJan,Agent-VGN ит.п. и.т.д.)

[Spartanez]

Доброго времени суток! Уважаемые специалисты, суть вопроса:
- после включения компьютера на белом или синем (изменившемся) фоне по центру экрана стала появляться надпись: Spyware detected on youre computer! и.т.д.
- AVAST выдает обнаружен вирус: VBS: Malware-gen, win32:TroJan-gen {other}, win32:Agent-VGN [VRM], win32: PureMorph [CRYP], win32:Krotten-C [TrJ], win32:Rottkit-gen [RTK].
- компьютер плохо слушается команд, "тормозит", а иногда и вовсе "виснет".
Если при таких "симптомах" еще можно что-то сделать помогите пожалуйста!

[Bratez]

На время выполнения скрипта отключитесь от интернета и остановите антивирус.

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\lphc9oqj0en7n.exe','');
 DeleteFile('C:\WINDOWS\system32\lphc9oqj0en7n.exe');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\blphc9oqj0en7n.scr');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('Winxf52');
 BC_DeleteSvc('Winuc30');
 BC_DeleteSvc('Winsa41');
 BC_DeleteSvc('Winqx62');
 BC_DeleteSvc('Winkr41');
 BC_DeleteSvc('Winip52');
 BC_DeleteSvc('Winho52');
 BC_DeleteSvc('Winbi30');
 BC_DeleteSvc('Winag27');
 BC_DeleteSvc('WZCSVCdmserver');
 BC_DeleteSvc('wuauservSCardSvr');
 BC_DeleteSvc('UPS HotKey Poller');
 BC_DeleteSvc('TapiSrvaspnet_state');
 BC_DeleteSvc('SysmonLogNetDDEdsdmTapiSrvaspnet_state');
 BC_DeleteSvc('SysmonLogNetDDEdsdm');
 BC_DeleteSvc('stisvclanmanserver');
 BC_DeleteSvc('SCardSvrNetlogon');
 BC_DeleteSvc('RSVPBrowser');
 BC_DeleteSvc('RemoteRegistryseclogon');
 BC_DeleteSvc('NlaDcomLaunch');
 BC_DeleteSvc('Netmandmserver');
 BC_DeleteSvc('lanmanworkstationAudioSrv');
 BC_DeleteSvc('lanmanserverSwPrv');
 BC_DeleteSvc('EventlogWmi');
 BC_DeleteSvc('CiSvcMSIServer');
 BC_DeleteSvc('AtiUPS');
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно приложению 2 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=31345).

Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[Spartanez]

Спасибо за ответ, Братец, после загрузки скрипта зловещий текст по центру компа исчез, Аваст тоже что-то замолчал, остался только ядовито-синий фон.

Вот я "чайник" невнимательно прочитал, скрипт выполнил без отключки от инета, щас сделаю все заново, не знаю как на что влияет, но все же.

[Rene-gad]

Сделайте все логи, которые просил Bratez.

[Spartanez]

По правилам приложения 2 файлы добавлены, однако отправить карантин по правилам приложения 3, не получается в связи с отсутствием запрошеных файлов в окне, при этом протокол выдает какую-то ошибку (см. avz.log)
Ошибка карантина файла, попытка прямого чтения (AVZ - virusinfo_syscheck.zip)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\AVZ - virusinfo_syscheck.zip)
Карантин с использованием прямого чтения - ошибка
Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\AVZ - virusinfo_syscheck.zip)
Карантин с использованием прямого чтения - ошибка[/SIZE]

). Хелп!

[Rene-gad]

Зачем Вы пытаетесь запихать логи в карантин??? В них точно нет вирусов.


Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('Winyf30');
 StopService('Windk85');
 StopService('AtiAti');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winyf30.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Windk85.sys',''); 
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winyf30.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Windk85.sys');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winyf30');
 BC_DeleteSvc('Windk85');
 BC_DeleteSvc('AtiAti');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

[Spartanez]

Сам не знаю зачем?!
Карантин выслал.
Новые логи:

[Rene-gad]

-Пофиксите

O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\

Жалобы есть?

[Spartanez]

Вроде бы все в норму пришло!
Спасибо огромное!!!

[Rene-gad]

Установите Сервис Пак 3, возможно активация системы потребуется.

[Spartanez]

"Установите Сервис Пак 3, возможно активация системы потребуется."

...Звучит красиво... а что это ?

[Гриша]

Это повторно ввести код активации винды

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены