Центр обеспечения безопасности требует отправки СМС

**kupura** · 19.11.2009, 19:31

Появилась заставка центра обеспечения безопасности с сообщением об использовании нелицензионной копии Windows, которая блокирует рабочий стол с требованием отправить СМС для получения кода. В интернете на форумах нашел некий код, который ввел в поле этой заставки и она (о чудо!) разблокировалась. Прогнал антивирусными утилитами, они что-то понаходили, но такое впечатление, что не всё. Прошу помочь в окончательном и бесповоротном изгнании этой заразы.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 19.11.2009, 20:01

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\windows7addon.exe');
 QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe','');
 DeleteService('SwPrv');
 QuarantineFile('c:\windows\windows7addon.exe','');
 DeleteFile('c:\windows\windows7addon.exe');
 DeleteFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\2\svchost.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe');
 DeleteFile('C:\WINDOWS\system32\svshost.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','SysRun');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**Шапельский Александр** · 19.11.2009, 20:05

Закройте/выгрузите все программы кроме AVZ .
Отключите:
- ПК от интернета/локалки;
- антивирус и файрвол.;
- восстановление системы;
- выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\2\svchost.exe','');
 DeleteService('SwPrv');
 QuarantineFile('is-1SPKRdrv.sys','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe,explorer.exe','');
 QuarantineFile('c:\windows\windows7addon.exe','');
 TerminateProcessByName('c:\windows\windows7addon.exe');
 DeleteFile('c:\windows\windows7addon.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe,explorer.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe');
 DeleteFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\2\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится
Выполнить следующий скрипт

Код:

var j:integer; NumStr:string;
begin
for j:=0 to 999 do
 begin
    if j=0 then
        NumStr:='CurrentControlSet' else 
        if j<10 then
            NumStr:='ControlSet00'+IntToStr(j) else
            if j<100 then
                NumStr:='ControlSet0'+IntToStr(j) else
                NumStr:='ControlSet'+IntToStr(j);
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
  begin
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
  end;
 if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
  begin 
  RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
  RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
  AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
  end;
 end;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.

После выполнить:
- включите антивирус и файрволл
- подключите ПК к интернету/локалке
- закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению

**kupura** · 20.11.2009, 19:35

Карантин закачал, логи прикладываю.

**thyrex** · 20.11.2009, 19:59

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
 DeleteService('protect');
 DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

**kupura** · 20.11.2009, 20:30

Новые логи

**thyrex** · 20.11.2009, 21:30

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0280411055-0785049772-324856181-5370\mwau.exe','');
 DeleteFile('C:\WINDOWS\system32\svshost.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','SysRun');
 DeleteFile('C:\RECYCLER\S-1-5-21-0280411055-0785049772-324856181-5370\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи + лог МВАМ

**kupura** · 21.11.2009, 09:31

Новые логи

**thyrex** · 21.11.2009, 11:43

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Удалите в МВАМ все, кроме

Код:

Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

**kupura** · 21.11.2009, 12:32

Новый лог

**snifer67** · 21.11.2009, 12:34

Сделайте лог virusinfo_syscheck

**kupura** · 21.11.2009, 13:01

Сделал

**thyrex** · 21.11.2009, 13:08

Обновления после SP3 все установлены?

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-6811373323-9552663254-080725990-5191\mwau.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-6811373323-9552663254-080725990-5191\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новый лог

**kupura** · 21.11.2009, 13:19

Обновления не установлены, только SP3

**thyrex** · 21.11.2009, 13:31

Сообщение от kupura

Обновления не установлены, только SP3

Срочно устанавливаем

**kupura** · 21.11.2009, 15:13

Не могу не запускается служба автоматического обновления, говорит не найден файл. Что делать?

Добавлено через 19 минут

Ну вот снова при подключении к инету вылезло пресловутое окно!?

Добавлено через 3 минуты

Ну вот снова при подключении к инету вылезло пресловутое окно!?

**snifer67** · 21.11.2009, 15:21

Делайте новые логи.

**AndreyKa** · 21.11.2009, 15:57

Сообщение от kupura

не запускается служба автоматического обновления, говорит не найден файл.

И сейчас так говорит?
Кстати, патчи можно скачать и установить вручную.

**kupura** · 21.11.2009, 16:08

Какие патчи и где взять их перечень?

**AndreyKa** · 21.11.2009, 16:36

http://forum.oszone.net/thread-70124.html

Центр обеспечения безопасности требует отправки СМС (заявка № 60695)

Опции темы

Центр обеспечения безопасности требует отправки СМС

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Похожие темы

Не запускается Центр обеспечения безопасности

Центр обеспечения безопасности по английски

Центр обеспечения безопасности просит SMS

Центр обеспечения безопасности не работает

Центр обеспечения безопасности

Ваши права в разделе