-
Junior Member
- Вес репутации
- 53
Помогите пожалуйста, избавиться от программы-рекламы
Здравствуйте!
Проблема в программе-рекламе, вызывающей следующие последствия:
Рабочий стол. Зеленый фон,в центре черный квадрат, с надписью: YOUR SYSTEM IS INFECTED! и т.д.
Запускается Internet Security 2010 (как я понял, левая дочерняя программа), находит несколько десятков не существующих вирусов, просит активироваться, ну и т.д.
Заблокирован доступ к диспетчеру задач, смене обоев, принтеру и т.д.
На попытки открыть видео файлы, архивы сообщает о зараженности, просит активироваться.
-
Будь в курсе!
Будь в курсе!
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
-
Junior Member
- Вес репутации
- 53
-
Проверьте наличие файла userinit.exe в папке system32.
1. Пофиксите в HiJack
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\winlogon86.exe
2. Выполните скрипт в AVZ
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('C:\autorun.wsh','');
QuarantineFile('C:\autorun.exe','');
QuarantineFile('C:\WINDOWS\system32\restorer32_a.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\Temp\wpv671257179558.exe','');
QuarantineFile('C:\WINDOWS\TEMP\WUUR.exe','');
QuarantineFile('C:\WINDOWS\system32\winhelper86.dll','');
TerminateProcessByName('c:\program files\internetsecurity2010\is2010.exe');
QuarantineFile('c:\program files\internetsecurity2010\is2010.exe','');
TerminateProcessByName('c:\windows\system32\winupdate86.exe');
QuarantineFile('c:\windows\system32\winupdate86.exe','');
DeleteFile('c:\windows\system32\winupdate86.exe');
DeleteFile('c:\program files\internetsecurity2010\is2010.exe');
DeleteFile('C:\WINDOWS\system32\winhelper86.dll');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Internet Security 2010');
DeleteFile('C:\WINDOWS\TEMP\WUUR.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RavTimeXP');
DeleteFile('C:\WINDOWS\Temp\wpv671257179558.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysgif32');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amva');
DeleteFile('C:\WINDOWS\system32\restorer32_a.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winupdate86.exe');
DeleteFile('C:\autorun.exe');
DeleteFile('C:\autorun.wsh');
DeleteFile('D:\autorun.wsh');
DeleteFileMask('c:\program files\internetsecurity2010', '*.*', true);
DeleteDirectory('c:\program files\internetsecurity2010');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(11);
RebootWindows(true);
end.
Компьютер перезагрузится.
3. Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
4. Сделайте новые логи
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 53
Thyrex, спасибо Вам большое лично, и проекту в целом. В настоящих условиях очень полезный ресурс. Очень благодарен. Карантин выслал.
-
А остальное как же
Сообщение от
thyrex
4. Сделайте новые логи
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 Reconnect
-
-
Junior Member
- Вес репутации
- 53
После излечения, не успел сделать логи, опять те же грабли, та же зараза. Приведенный выше скрипт на этот раз не помог. Повторно нужна помощь. Что делать создавать новую тему или можно выложить логии в текущей?
-
-
-
Junior Member
- Вес репутации
- 53
-
Выполните скрипт в avz
Код:
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{6B830884-20E3-4AB6-B672-2629F0F72071}');
QuarantineFile('C:\Documents and Settings\Александр\Application Data\CMedia\CMedia.dll','');
QuarantineFile('C:\DOCUME~1\АЛЕКСА~1\LOCALS~1\Temp\OEK7xYlO.sys','');
QuarantineFile('C:\WINDOWS\system32\winhelper86.dll','');
QuarantineFile('c:\windows\system32\winupdate86.exe','');
TerminateProcessByName('c:\windows\system32\winupdate86.exe');
DeleteFile('c:\windows\system32\winupdate86.exe');
DeleteFile('C:\WINDOWS\system32\winhelper86.dll');
DeleteFile('C:\DOCUME~1\АЛЕКСА~1\LOCALS~1\Temp\OEK7xYlO.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','winupdate86.exe');
DeleteFile('C:\Documents and Settings\Александр\Application Data\CMedia\CMedia.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(14);
RebootWindows(true);
end.
ПК перезагрузится.
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Сделайте новые логи.
-
-
Итог лечения
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 26
- В ходе лечения обнаружены вредоносные программы:
- c:\program files\internetsecurity2010\is2010.exe - Trojan.Win32.FraudPack.affv
- c:\windows\system32\winhelper86.dll - Trojan-Downloader.Win32.FraudLoad.gdd ( DrWEB: Trojan.Fakealert.4524, BitDefender: Trojan.Generic.CJ.AILK, NOD32: Win32/TrojanDownloader.FakeAlert.AOP trojan )
- c:\windows\system32\winupdate86.exe - Trojan-Downloader.Win32.Agent.cxwj ( DrWEB: Trojan.Fakealert.8551, BitDefender: Gen:Malware.Heur.cq0@b8jCn0j, AVAST4: Win32:Trojan-gen )
-