Надоедливый порно-баннер с требованием отослать смс....

[Western]

Добрый день.
Заразился ПК. источник заражения - неизвестен.
после загрузки ОС, с интервалом в 3-5 мин. выскакивает баннер.

для отключения рекламы Вам необходимо указать код разблокировки m20920007

Ни диспетчер задач, ни реестр системы загрузить не удается...
При попытке запустить какое то приложение - сражу же вылазить этот баннер. По этой причине запустить AVZ - не получается. Получилось только: hijackthis (лог прикрепляю)
Подключал HDD к другому ПК. про-сканировал и по удалял все возможные вируса (около 30 шт.) Также прикрепляю логи virusinfo_syscure.zip, virusinfo_syscheck.zip которые сделаны на другой машине с подключенным "больным" HDD.

Каким способом можно запустить AVZ на зараженной системе?
из доступных инструментов, покамись нашел msconfig, gpedit.msc

Заранее Благодарен.!!

[Шапельский Александр]

Пофиксить в Hijack следующие строки:

O20 - AppInit_DLLs: C:\WINDOWS\system32\bcnJS.dll

Выполнить скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\bcnJS.dll','');
 QuarantineFile('C:\WINDOWS\system32\MGE\BIL.EXE','');
 QuarantineFile('C:\WINDOWS\system32\MGE\CILRS232.EXE','');
 QuarantineFile('C:\WINDOWS\system32\MGE\CILUSB.EXE','');
 QuarantineFile('C:\WINDOWS\system32\MGE\PCtl.exe','');
 QuarantineFile('C:\WINDOWS\system32\MGE\RunSC.exe','');
 DeleteService('MGE Service module');
 QuarantineFile('C:\WINDOWS\Pointdev\IACmdSRV.exe','');
 DeleteService('IACmdSRV');
 QuarantineFile('C:\WINDOWS\system32\Drivers\FBIKB_NT.Sys','');
 DeleteService('FBIKB_NT');
 QuarantineFile('G:\autorun.inf','');
 TerminateProcessByName('c:\windows\system32\mge\runsc.exe');
 QuarantineFile('c:\windows\system32\mge\runsc.exe','');
 TerminateProcessByName('c:\windows\system32\mge\pctl.exe');
 QuarantineFile('c:\windows\system32\mge\pctl.exe','');
 TerminateProcessByName('c:\windows\system32\mge\cilusb.exe');
 QuarantineFile('c:\windows\system32\mge\cilusb.exe','');
 TerminateProcessByName('c:\windows\system32\mge\cilrs232.exe');
 QuarantineFile('c:\windows\system32\mge\cilrs232.exe','');
 QuarantineFile('c:\windows\system32\mge\bil.exe','');
 TerminateProcessByName('c:\windows\system32\mge\bil.exe');
 DeleteFile('c:\windows\system32\mge\bil.exe');
 DeleteFile('c:\windows\system32\mge\cilrs232.exe');
 DeleteFile('c:\windows\system32\mge\cilusb.exe');
 DeleteFile('c:\windows\system32\mge\pctl.exe');
 DeleteFile('c:\windows\system32\mge\runsc.exe');
 DeleteFile('G:\autorun.inf');
 DeleteFile('C:\WINDOWS\system32\Drivers\FBIKB_NT.Sys');
 DeleteFile('C:\WINDOWS\Pointdev\IACmdSRV.exe');
 DeleteFile('C:\WINDOWS\system32\MGE\RunSC.exe');
 DeleteFile('C:\WINDOWS\system32\MGE\PCtl.exe');
 DeleteFile('C:\WINDOWS\system32\MGE\CILUSB.EXE');
 DeleteFile('C:\WINDOWS\system32\MGE\CILRS232.EXE');
 DeleteFile('C:\WINDOWS\system32\MGE\BIL.EXE');
 DeleteFile('C:\WINDOWS\system32\bcnJS.dll');
 DeleteFilemask('C:\WINDOWS\system32\MGE','*.*',true);
 Deletedirectory('C:\WINDOWS\system32\MGE');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(11);
Executerepair(17);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению

[Western]

Спасибо. Баннера не видно. Логи повторные
Жду Вашего ответа.. Работа стоит

[snifer67]

Выполните скрипт в avz

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-1062836496-9965917343-443063100-3146\hdav.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-1062836496-9965917343-443063100-3146\hdav.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы


Сделайте новые логи.

[Western]

Готово...!!!
Что какой будет диагноз?!

[Шапельский Александр]

Это Ваше D:\DB\Rem_KIR.bat ?

[Western]

D:\DB\Rem_KIR.bat

C:\sybase\Any9\win32\dbremote.exe -c "eng=T_KIR;dbn=KIR;uid=TIB_KIR;pwd=kir;CS=CP866" -t -l 500K -m 10M -b -k -o kir.txt -x 40M

ПК - главного бухгалтера... Поэтому даже не знаю, че это за файлики....

[Шапельский Александр]

Выполните скрипт

begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\sybase\Any9\win32\dbremote.exe ','');
 QuarantineFile('D:\DB\Rem_KIR.bat','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).

[Western]

shapel,
Готово..!!

[Шапельский Александр]

Карантин пуст, еще раз выполните последний скрипт.

[Western]

shapel,
переделал и отослал.

один ньюанс:
после выполнения скрипта - происходит перезагрузка. После которой загружется фон рабочего стола без ярлыков, но с курсором. на комбинацию клавиш ctrl+alt+del - не реагирует.
Жать ребуут?

[pig]

Ну, как бы больше ничего и не остаётся...

[Шапельский Александр]

после выполнения скрипта - происходит перезагрузка. После которой загружется фон рабочего стола без ярлыков, но с курсором. на комбинацию клавиш ctrl+alt+del - не реагирует.
Жать ребуут?

Уточните, перезагрузка постоянная, после выполнения скрипта?

[Western]

после выполнения скрипта - происходит перезагрузка.
RebootWindows(true);
После чего Windows до конца не подгружается. Висит заставка рабочего стола и усе..При этом локальное подключение к этому ПК - было активно (благодаря чему я и сделал карантин и отослал Вам его)
вот через 10 минут сам ушел на перезагрузку, без каких либо моих манипуляций.
Загрузился нормально. только выдало окно об установке нового оборудования.... Но в диспетчере устройств - никакого нового оборудования не отобразилось.
События приложения и системы - ничего не пишет...

[Шапельский Александр]

Карантин успешный! Ждем вердикта вирусного аналитика.

[thyrex]

+ к shapel

на комбинацию клавиш ctrl+alt+del - не реагирует.

Выполните скрипт в AVZ

begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end.

Компьютер перезагрузится.

Помогло? Если нет, проверьте наличие файла taskmgr.exe в папке system32

Проверьтесь этим http://support.kaspersky.ru/viruses/...?qid=208636926
Лог работы выложите

[Western]

thyrex,
помогло, загрузилось нормально.
Наличие taskmgr.exe в папке system32 - присуствует.
TDSSKiller - запустил, все чисто.

Добавлено через 15 минут

Вроде бы все работает!!!
Сейчас установил Drweb Space
также установлю USBGuard
Надеюсь, что проблема не вернется.

все огромное спасибо...!!!!!

[Шапельский Александр]

Не пропадайте Если файлы, которые послали на анализ зловреды, их надо будет удалить! А пока, их не трогайте!!! Вдруг легитимные.

[Western]

shapel,
Еще раз спасибо.
Завтра буду снова обращатся за помощью. теперь уже со своим ПК.
Боюсь, подхватил какую то заразу....

[Шапельский Александр]

Файлы, посланные на анализ - чистые!