Get Accelerator

[Len0re]

Появилось прозрачное окошко "доступ в интернет заблокирован", вирус удалил Firefox
помогите, плз

[Никита Соловьев]

1. Обновите базы AVZ (меню: файл --> обновление баз)

2. Выполните скрипт в AVZ:

begin
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\chknt32.exe','');
 QuarantineFile('C:\Driver\Files\zerX.exe','');
 QuarantineFile('C:\Documents and Settings\Atargat\av_md.exe','');
 QuarantineFile('C:\Documents and Settings\Atargat\Start Menu\Programs\Startup\siszyd32.exe','');
 QuarantineFile('C:\WINDOWS\system32\aekgoprn.dll','');
 DeleteFile('C:\WINDOWS\system32\aekgoprn.dll');
 DeleteFile('C:\Documents and Settings\Atargat\Start Menu\Programs\Startup\siszyd32.exe');
 DeleteFile('C:\Documents and Settings\Atargat\av_md.exe');
 DeleteFile('C:\Driver\Files\zerX.exe');
 DeleteFile('C:\WINDOWS\system32\chknt32.exe');
 DeleteFile('C:\Documents and Settings\Atargat\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
 DeleteFile('G:\autorun.inf');
 DeleteFileMask('C:\Driver','*.*',true);
 DeleteDirectory('C:\Driver');
 DelBHO('{95289393-33EA-4F8D-B952-483415B9C955}');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','av_md');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Explorer SERVICE');
 BC_ImportDeletedList;
 ExecuteSysClean;
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_Activate;
 SetAVZPMStatus(true);
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

3. Файл quarantine.zip из папки AVZ закачайте по ссылке прислать запрошенный карантин вверху темы

4. Повторите пункт диагностика правил и прикрепите новые логи

[Len0re]

Обновить AVZ не удалось, т.к из-за вируса инета нет
После выполнения скрипта и перезагрузки окно осталось и инета нет

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('C:\WINDOWS\system32\burito4304-37aa.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\nbsxekxe.SYS','');
 DeleteFile('C:\WINDOWS\System32\Drivers\nbsxekxe.SYS');
 DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин
Сделать заново логи.

[Len0re]

выполнила скрипт, проблема осталась

[PavelA]

http://virusinfo.info/showthread.php?t=40120
Сделайте лог при помощи этой программы.

[Len0re]

ок, сделала

[PavelA]

C:\WINDOWS\System32\Drivers\eelvleao.SYS
Поступим так: Открываем ROOTREPEAL, ищем в нем что-нибудь подобное, и делаем ему Wipe File.
после этого делаем логи AVZ

[snifer67]

+ к PavelA,

Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.Когда сделаете лог ПК не перезагружайте !

[Len0re]

при попытке wipe'нуть eelvleao.SYS появляется месседжбокс Couldn't find file on disk. upd Удалила Get Accelerator с помощью jv16 Power Tools, как предлагалось в этом посте http://virusinfo.info/showpost.php?p...5&postcount=40. После перезагрузки исчезло это замечательное окошко, но драйвер, теперь уже mutdnura.sys не wipe'ается. Сейчас сделаю свежие логи.

[Len0re]

Да, и еще теперь инет работает

[PavelA]

Все осталось на месте. AVPTool деинсталируйте.
Затем выполните станд скрипт №2. В текстовой части лога будет ссылка на два
файла с расширением sys. Их надо будет попытаться удалить через ROOTREPEAL

Примерный текст про эти драйвера:
>> Маскировка драйвера: Base=F799F000, размер=45056, имя = "\SystemRoot\System32\Drivers\mutdnura.SYS"
Прямое чтение C:\WINDOWS\system32\drivers\dkzlwmua.sys

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\dkzlwmua.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\dkzlwmua.sys');
QuarantineFile('C:\WINDOWS\system32\Drivers\mutdnura.SYS','');
 DeleteFile('C:\WINDOWS\system32\Drivers\mutdnura.SYS');
 DelCLSID('{82C885EE-6B87-4D51-9EF4-0CFE9FADA900}');
 QuarantineFile('C:\Documents and Settings\Atargat\Application Data\AdSubscribe\AdSubscribe.dll','');
 QuarantineFile('C:\WINDOWS\system32\aekgoprn.dll','');
 QuarantineFile('C:\WINDOWS\system32\burito4304-37aa.sys','');
 DeleteService('burito4304-37aa');
 DeleteFile('C:\WINDOWS\system32\burito4304-37aa.sys');
 DeleteFile('C:\WINDOWS\system32\aekgoprn.dll');
 DeleteFile('C:\Documents and Settings\Atargat\Application Data\AdSubscribe\AdSubscribe.dll');
DeleteFileMask('C:\Documents and Settings\Atargat\Application Data\AdSubscribe', '*.*', true);
DeleteDirectory('C:\Documents and Settings\Atargat\Application Data\AdSubscribe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Len0re]

Затем выполните станд скрипт №2. В текстовой части лога будет ссылка на два
файла с расширением sys. Их надо будет попытаться удалить через ROOTREPEAL

ROOTREPEAL не видит тот файл, который "прямое чтение", а второй - тоже самое сообщение "Coudn't find file on disk".
Выполнила скрипт в AVZ, но драйвера остались. Логи сейчас в процессе создания

[Len0re]

Карантин загрузила (Файл сохранён как 091203_235807_Quarantine_4b18265faa861.zip)

[snifer67]

Сделайте еще такой лог:
http://virusinfo.info/showthread.php?t=58309

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\mjejicxt.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\mjejicxt.sys');
 QuarantineFile('C:\WINDOWS\system32\aekgoprn.dll','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\zwxevanz.SYS','');
 DeleteFile('C:\WINDOWS\system32\Drivers\zwxevanz.SYS');
 DeleteFile('C:\WINDOWS\system32\aekgoprn.dll');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\aekgoprn');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Len0re]

вот логи avz и ComboFix'а

[snifer67]

Активируйте AVZGuard:
AVZGuard -> включить AVZGuard.
Подождите минуты три и выполните перезагрузку, не отключая AVZGuard.
Затем создайте новый лог (virusinfo_syscure.zip) и приложите к этой теме.

[Len0re]

Похоже эти замечатльные драйвера все-таки удалились