Снова просят отослать sms

[Stempy]

Подцепил какую-то заразу (скорее всего в интернете). На синем фоне (как при приветствии Windows) появилось сообщение о том, что система заблокирована, просьба отправить sms “41112665013” на номер “3649”. А так же предупреждение о том что, мол, не пытайтесь переустановить систему – это может привести к потере данных. Окно нельзя не свернуть, не закрыть (не мышкой, не горячими клавишами). До рабочего стола и приложений добраться нельзя. В защищенном режиме тоже самое. Пытался откатить систему – опять тоже самое сообщение. Методом тыка выяснил, что попасть в систему можно нажав на reset в определенный момент при загрузке системы. Windows выкидывает сообщение о том что не может завершить какой-то там процесс - после чего можно работать. Отключил восстановление системы и попытался лечить – AVP, AVZ и CureIt (все с последними обновлениями). AVP нашел: Backdoor.Win32.KeyStart.bz, Trojan-Downloader.Win32.Agent.bqpi и Trojan.Win32.Inject.rpw.
Не помогло. Заметил что из C:\Documents and Settings\All Users\Application Data запускается
Blocker.exe и там же лежит blocker.bin – оба заархивировал и перенес в другое место – сообщение при загрузке перестало появляться.
Вопрос: Как теперь почистить все что успел изменить вирус? Как предотвратить повторное заражение? Ведь вирус мог уже и на флэшку попасть, а AVP на blocker.exe не ругается.
Помогите пожалуйста.
p.s.: В интернете почитал о похожем вирусе, но судя по описанию у меня какая-то модификация.

[light59]

"Пофиксите" в HijackThis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\ALLUSE~1\APPLIC~1\blocker.exe

В AVZ -> файл-> Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
 QuarantineFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\blocker.exe','');
 DeleteService('wwsdjglejvgt');
 QuarantineFile('C:\WINDOWS\system32\drivers\znidh.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\znidh.sys');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\APPLIC~1\blocker.exe');
 DeleteFile('C:\WINDOWS\system32\digiwet.dll');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке http://virusinfo.info/upload_virus.php?tid=43473
Повторите логи.

Blocker.exe и там же лежит blocker.bin

Если эти файлы не пападут в карантин, то заархивируйте их с паролем virus и пришлите по той же ссылке. Вы же их только переместили?

[Stempy]

Пофиксил.
Скрипт выполнил.
Выслал файлы попавшие в карантин + архив с blocker.exe и blocker.bin.
(Извините, первый раз выслал архивы без паролей)
Новые логи прилагаются.

Спасибо за оперативный ответ.

[light59]

в AVZ

begin
 DeleteFile('digiwet.dll');
ExecuteSysClean;
RebootWindows(true);
end.

В логах больше ничего плохого.

Ваш антивирус не обеспечивает должного уровня защиты. Если есть возможность, используйте один из рекомендованных нами продуктов.

[Stempy]

Спасибо!

[light59]

blocker.exe_ - Trojan-Ransom.Win32.Agent.c

Детектирование файла будет добавлено в следующее обновление.

Ведь вирус мог уже и на флэшку попасть, а AVP на blocker.exe не ругается.

Теперь заругается

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 18
• В ходе лечения обнаружены вредоносные программы:
  
  1. \blocker.exe - Trojan-Ransom.Win32.Agent.c ( DrWEB: Trojan.Winlock.19 )
  2. c:\windows\system32\digiwet.dll - Trojan.Win32.Inject.scp ( DrWEB: Trojan.Botnetlog.3 )