Новая версия порнобанера

**C61** · 27.11.2009, 19:42

Проблема - аналогична http://virusinfo.info/showthread.php?t=61519. Не запускается ничего, что может помочь. Компьютер выключается при попытке запустить любой антивирус, avz и др. В безопасном режиме - то же самое. Полиморфный avz с ifolder не качается - положите, пожалуйста, на рапиду или еще куда-то...

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 27.11.2009, 19:45

Сделайте такой лог http://virusinfo.info/showthread.php?t=53070

**C61** · 27.11.2009, 19:57

Удалось скачать полиморфный avz, но после его запуска компьютер также сразу выключается...
Скачал mbam, он вообще не запускается.

**snifer67** · 27.11.2009, 19:58

Сделайте такой лог http://virusinfo.info/showthread.php?t=58309

**pig** · 27.11.2009, 19:59

HijackThis тоже не работает?

**C61** · 27.11.2009, 20:25

После попыток запустить полиморфный avz теперь при запуске любой задачи вылезает порнобаннер, который все блокирует.
Ненадолго помогает перевод часов в bios назад-вперед на несколько дней, а лучше всего к началу месяца, после этого запускается far и проводник. Но потом при запуске чего угодно появляется рекламный баннер... Опять кручу время, один раз удается что-то запустить.
HijackThis, как и ожидалось, не запускается.

Добавлено через 8 минут

Полный облом: теперь на любую задачу вылезает порнобаннер. Полагаю, придется снимать винчестер и разбираться на другом компьютере... Но это уже в понедельник.

**vegas** · 27.11.2009, 20:40

Переименовывать Hijackthis пробовали? В любой исполняемый файл с любым именем и расширением .pif или .com (asdf.pif например)

**pig** · 27.11.2009, 20:50

Hint: баблиотека, отвечающая за порнобаннер, прописана в ключе
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
параметр AppInit_DLLs

**C61** · 30.11.2009, 15:21

Сообщение от vegas

Переименовывать Hijackthis пробовали? В любой исполняемый файл с любым именем и расширением .pif или .com (asdf.pif например)

Ничего не запускается, я же говорил...

Сообщение от pig

Hint: баблиотека, отвечающая за порнобаннер, прописана в ключе
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
параметр AppInit_DLLs

Огромное спасибо !!! Загрузился с LiveCD, нашел по ключу реестра зловредную dll, удалил, теперь все задачи запускаются, вот сейчас пытаюсь найти и удалить все остатки этой дряни...

**thyrex** · 30.11.2009, 15:41

Нужно выполнить правила

**C61** · 30.11.2009, 16:21

Выполняю правила... Вот логи.

**thyrex** · 30.11.2009, 16:48

Пофиксите в HiJack

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\sorry.exe,C:\WINDOWS\system32\sdra64.exe,
O4 - HKLM\..\Run: [act0] C:\smss.exe
O4 - HKLM\..\Run: [Microsoft Internet Agent] c:\windows\system32\winagent.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB771B74-A2AF-4827-BB28-7369D3860101}: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Documents and Settings\root\Application Data\Desktopicon\eBayShortcuts.exe','');
 QuarantineFile('C:\WINDOWS\sorry.exe','');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\smss.exe','');
 DeleteFile('C:\smss.exe');
QuarantineFile('c:\windows\system32\winagent.exe','');
 DeleteFile('c:\windows\system32\winagent.exe');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('C:\WINDOWS\sorry.exe');
 DeleteFile('C:\Documents and Settings\root\Application Data\Desktopicon\eBayShortcuts.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

>> Заблокированы настройки системы System Restore

Исправьте через AVZ - Файл - Мастер поиска и устранения проблем - Все проблемы - отметить указанное - Исправить

Сделайте новые логи

**C61** · 30.11.2009, 17:26

Новые логи.

Карантин отправил.

**Bratez** · 30.11.2009, 17:34

Заразы в логах больше не видно.
Какие-то проблемы остались?

**C61** · 30.11.2009, 17:47

Спасибо за помощь, проблем больше нет !

**CyberHelper** · 01.12.2009, 17:47

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 13
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\sdra64.exe - Trojan-Spy.Win32.Zbot.addm ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.CJ.AFDC, NOD32: Win32/Spy.Zbot.UN trojan, AVAST4: Win32:Spyware-gen [Spy] )
2. c:\windows\system32\winagent.exe - Trojan.Win32.Agent2.leu ( DrWEB: Trojan.Click.31902, BitDefender: Trojan.Packed.Hiloti.Gen.2, AVAST4: Win32:Rootkit-gen [Rtk] )

Рекомендации: