Win32/Adware.Virtumonde+Win32/PrivacyRemover.M64

[Rdk]

Win32/Adware.Virtumonde+Win32/PrivacyRemover.M64
Вот такая вот беда...Помогите пожалуйста.

[Kuzz]

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('C:\WINDOWS\system32\drivers\mrxdav.sys','');
 QuarantineFile('C:\Program Files\Nero\Nero 7\Nero Vision\VCDLib.dll','');
 QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
 DelBHO('{36DBC179-A19F-48F2-B16A-6A3E19B42A87}');
 QuarantineFile('C:\WINDOWS\system32\ipv6monl.dll','');
 QuarantineFile('C:\WINDOWS\system32\drivers\dmboot.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\DMusic.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\drmkaud.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\ati6dgxx.sys','');
 QuarantineFile('C:\WINDOWS\system32\jgrhihpd32.dll','');
 QuarantineFile('C:\WINDOWS\system32\jgrhihpd.dll','');
 QuarantineFile('c:\program files\windows media player\agent\wmplayer.exe','');
 QuarantineFile('c:\windows\system32\rs32net.exe','');
 DeleteFile('c:\windows\system32\lphc9cpj0ec89.exe');
 DeleteFile('c:\windows\system32\rs32net.exe');
 DeleteFile('C:\WINDOWS\system32\jgrhihpd.dll');
 DeleteFile('C:\WINDOWS\system32\jgrhihpd32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\ati6dgxx.sys');
 DeleteFile('C:\WINDOWS\system32\lphc9cpj0ec89.exe');
 DeleteFile('C:\WINDOWS\system32\blphc9cpj0ec89.scr');
 DeleteFile('C:\WINDOWS\System32\rs32net.exe');
 DeleteFile('C:\WINDOWS\system32\ipv6monl.dll');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
 BC_DeleteSvc('ati6dgxx');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=32338

2.Повторить логи.

[Rdk]

Не помогло вроде, по крайней мере картинка на раб. столе осталось прежней - Win32/Adware.Virtumonde+Win32/PrivacyRemover.M64

[Kuzz]

1. Скачайте IceSword: http://mail.ustc.edu.cn/~jfpan/downl...Sword122en.zip

2. Запустите, слева внизу нажмите File, затем найдите файл:
C:\WINDOWS\system32\Drivers\ati6dgxx.sys
и сделайте ему Force Delete.

3. Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
 QuarantineFile('jgrhihpd.dll','');
 QuarantineFile('C:\WINDOWS\system32\blphc9cpj0ec89.scr','');
 QuarantineFile('C:\WINDOWS\system32\lphc9cpj0ec89.exe','');
 QuarantineFile('C:\WINDOWS\system32\jgrhihpd.dll','');
 QuarantineFile('c:\windows\temp\mrm3.tmp','');
 DeleteFile('c:\windows\temp\mrm3.tmp');
 DeleteFile('C:\WINDOWS\system32\jgrhihpd.dll');
 DeleteFile('C:\WINDOWS\system32\blphc9cpj0ec89.scr');
 DeleteFile('C:\WINDOWS\system32\Drivers\ati6dgxx.sys');
 DeleteFile('C:\WINDOWS\system32\lphc9cpj0ec89.exe');
 DeleteFile('jgrhihpd.dll');
 DeleteFile('C:\WINDOWS\Temp\.tt6.tmp.vbs');
 DeleteFile('C:\Documents and Settings\ToPP\Local Settings\Temp\.tt5.tmp.vbs');
 DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
 DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe:$DATA');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пункты 2-3 выполнять подряд, без промежуточных перезагрузок, при отключенном интернете и антивирусе.
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=32338

4. Картинку попробуйте поменять на свою.

5. Ждем вердикта аналитиков по отосланным файлам.
________________

[Rdk]

сделал все как вы сказали, картинка поменялась и вроде бы исчезли левые файлы с автозагрузки, карантин отправил, но при включении и перезагрузке всеравно всплывает картинка про вирус

[Гриша]

Логи повторите...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 38
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\program files\\windows media player\\agent\\wmplayer.exe - Worm.Win32.AutoRun.dyg (DrWEB: Win32.HLLW.Autoruner.207
  2. c:\\windows\\system32\\drivers\\dmboot.sys - Virus.Win32.Zhaba.a
  3. c:\\windows\\system32\\jgrhihpd.dll - Backdoor.Win32.Hijack.ac (DrWEB: BackDoor.JackBot.1)
  4. c:\\windows\\system32\\jgrhihpd32.dll - Backdoor.Win32.Hijack.ac (DrWEB: BackDoor.JackBot.1)
  5. c:\\windows\\system32\\rs32net.exe - Trojan.Win32.Buzus.abrk (DrWEB: BackDoor.Bulknet.237)
  6. c:\\windows\\system32\\svchost.exe:ext.exe:$data - Trojan.Win32.Agent.agym (DrWEB: BackDoor.Bolg.2