Еще черный порнобаннер

[Volgarik]

Та жа история.
Черный порнобаннер: "Рекламная панель устанавливается только при посещении нашего сайта ....ru"
Отправьте СМС с кодом М21620008 на номер 3649

При запуске любых .exe файлов вылезает баннер или начинается перезагрузка. AVZ не запускается, расширение и название менял.

Удалось получить логи через HijackThis

[Ingener]

Пофиксите в HijackThis:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe mtutqw
O1 - Hosts: 91.206.201.30 vkontakte.ru
O1 - Hosts: 91.206.201.30 www.vkontakte.ru
O1 - Hosts: 91.206.201.30 www.odnoklassniki.ru
O1 - Hosts: 91.206.201.30 odnoklassniki.ru
O1 - Hosts: 91.206.201.30 vk.com
O1 - Hosts: 91.206.201.30 www.vk.com
O1 - Hosts: 91.206.201.30 my.mail.ru
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [Microsoft Internet Agent] c:\windows\system32\winagent.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\cSFUN.dll

Перезагрузите компьютер.

После этого дожна запуститься AVZ - сделайте все логи по правилам.

[Volgarik]

Спасибо! Логи в процессе сборки.

P.S. Получилось противостоять принудительным перезагрузкам системы. Нужно создать Excel или Word файл и написать пару символов в них Система не выключится пока не сохранишь файлы.
Также открытие свойств обозревателя закрывает порнобаннер

[Volgarik]

логи.

Спасибо за помощь!!!

спать....

[Ingener]

1) Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('I:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('c:\windows\system32\winagent.exe','');
QuarantineFile('C:\WINDOWS\system32\cSFUN.dll','');
DeleteFile('I:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('c:\windows\system32\winagent.exe');
DeleteFile('C:\WINDOWS\system32\cSFUN.dll');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
2) Затем выполните второй скрипт в AVZ:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с AVZ закачайте по ссылке "прислать запрошенный карантин" вверху темы.
3) Сделайте новый лог virusinfo_syscheck.zip.

[Volgarik]

Файлы в карантине переименовались ДокторВебом.
Вечером выполню инструкции.

[Volgarik]

Запрошенный лог прилагаю.
Архив карантина отправлен.

[thyrex]

Плохого не видно. Что с проблемой?

[Volgarik]

Ох, простите! Так обрадовался помощи, что забыл отчитаться.
Всё отлично! после первой чистки HijackThis все заработало!

[thyrex]

Установите SP3 (может потребоваться активация) + все новые заплатки

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 3
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\csfun.dll - Trojan-Ransom.Win32.SMSer.td ( DrWEB: Trojan.BrowseBan.128, NOD32: Win32/AutoRun.Delf.EL worm )
  2. c:\windows\system32\winagent.exe - Backdoor.Win32.Buterat.aq ( DrWEB: Trojan.Click.31902, BitDefender: Worm.Generic.103345, NOD32: Win32/Kryptik.BHG trojan, AVAST4: Win32:Rootkit-gen [Rtk] )
  3. i:\autorun.inf - Trojan.Win32.AutoRun.oc ( BitDefender: Trojan.AutorunINF.Gen )