Trojan.winlock.302

[howsteve]

Здравствуйте. Подхватил троян с просьбой послать смс за лицензионный ключ Windows, при запуске Windows запускается и не дает ничего сделать. Запускался в безопасном режиме и проверял систему Кьюритом, трояны он находил и успешно удалял, но это, к сожалению, не помогло. Прошу помочь.

[Никита Соловьев]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Program Files\Winupdate\update.exe','');
 DeleteFile('C:\Program Files\Winupdate\update.exe');
 DeleteFileMask('C:\Program Files\Winupdate','*.*',true);
 DeleteDirectory('C:\Program Files\Winupdate');
 DelCLSID('{CDA489F2-BB1B-37D8-4F3D-3BDCB7DE0B2B}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','NTFS_ext_drv');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 BC_ImportALL;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)

Сделайте новые логи + лог GMER

[howsteve]

Выполнил

[Никита Соловьев]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 1jl14p8r.exe (gmer)

1jl14p8r.exe -del service xfkfyzi
1jl14p8r.exe -del service yldsz
1jl14p8r.exe -del file "C:\WINDOWS\system32\yysaxb.dll"
1jl14p8r.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\xfkfyzi"
1jl14p8r.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\yldsz"
1jl14p8r.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\xfkfyzi"
1jl14p8r.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\yldsz"
1jl14p8r.exe -reboot

И запустите cleanup.bat.

Компьютер перезагрузится

Сделайте новый лог gmer

[howsteve]

Сделано. После запуска cleanup.bat выскачило несколько ошибок (вроде "не удается найти указанный модуль"), но какие-то процессы шли и компьютер перезагрузился

[Никита Соловьев]

После запуска cleanup.bat выскачило несколько ошибок

Это нормально

В логе чисто. Проблема решена?

[howsteve]

К сожалению,нет.

[Никита Соловьев]

Какие проблемы наблюдаются?

[howsteve]

Всё так же при запуске выскакивает оено с просьбой выслать смс. "1.у меня это гребаное окошко открывалось буквально через 5 секунд после загрузки винды - т.е. нужно очень быстро нажать ctrl-alt-del и отключить из процессов explorer.exe - все вирусня не подгружается и можно спокойно танцевать с бубном." (С) затем снова запускал процесс explorer, загружается рабочий стол и можно дальше продолжать работать, причем всё работает без тормозов. Так и выполнял все действия.

[Никита Соловьев]

Я вот этого не заметил сразу:

Система загружена в режиме защиты от сбоев (SafeMode)

Сделайте логи в нормальном режиме

[howsteve]

Нужно ли при проверке отключать интернет?

[Никита Соловьев]

Если есть возможность - лучше отключить + выгрузите/закройте все программы кроме IE

[howsteve]

Вот новые логи.

[Никита Соловьев]

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. Подробнее...):

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\mfo.exe','');
 DeleteFile('C:\WINDOWS\mfo.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mfo.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Файл quarantine.zip закачайте по ссылке прислать запрошенный карантин

Сделайте новые логи

[howsteve]

Проблема решена, компьютер загружается нормально и больше деньги не вымогает Venus Doom, ОГРОМНОЕ Вам спасибо за потраченое на решение моей проблемы время!
дальше присылать логи, я думаю, не нужно?

[Никита Соловьев]

Нужно, нужно проверить, все ли удалилось

[howsteve]

Вот

[Никита Соловьев]

Чисто

[howsteve]

Еще раз спасибо!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 8
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\mfo.exe - Trojan-Ransom.Win32.SMSer.rw