SMS-вымагатель ПО File Downloader

[spoul]

Классический баннер на полэкрана. Требует отправить sms на 1350.

Что делалось ДО составления логов - проверял DrWeb LiveCD. Читал темы с форума, сравнивал со своей ситуацией. Был найден CsinPlayer.exe + в system32/drivers и system32/dllcashe atapi.sys был явно сменен (смотрел по датам модификации). DrWeb и virustotal.com подтвердили завирусованность. exe снес, atapi.sys заменил на чистый из соседней системы. Были еще модифицированные файлы, но в них не уверен, не трогал. Толку ноль, после загрузки опять баннер.
Инета с компа нет, пишу сообщение с соседней машины.
Скачал софт, сделал логи, прошу помощи.

[snifer67]

Выполните скрипт в avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

1. запустить программку, что в аттаче. ПК будет перезагружен.
2. удалить в %systemroot%\system32\drivers\swenum.sys и убедиться, что WFP восстановила файл. Если файл не восстановился по какой-либо причине - скопировать его с другого ПК на место удаленного.


Сделайте новые логи.

[spoul]

Еще до исполнения приложенного файла get.exe, после перезагрузки, баннера уже не было.
Карантин вроде был пуст, но отправил.
Нехорошая троянка успела стырить пока неизвестное количество локально хранившихся паролей (на будущее запомню)

Повторные логи прилагаются.

[snifer67]

Чисто

[spoul]

Благодарю, тему можно закрывать.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 0
• В ходе лечения вредоносные программы в карантинах не обнаружены