смс вымогатель Internet Security.

[ДИМАС]

выручайте друзья! главбух поймала вирь. при запуске любово *.exe файла. выскакивает табличка типас найденными вирусами и потом появляется окно для отправки смс. курьет не пашет. авз не cмог запустить. комп уходит типа в перезагрузку и все.
на макушке написано Internet Security.
пробовал проверять этот винт подрубив к другому компу. ничего найдено не было.
дома проверил каспером лицензом. было убито множество троянов. сеня по приходу на работу. подключил винт, таблички нет и все как бы работает. диспетчер не работает и может еще че не работает.

скрипты прикладываю.

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('RemoteRegistry', 4);
 QuarantineFile('C:\WINDOWS\msmqinst.log:UlZ8OoETAwE','');
 DelCLSID('049F7772-5BF9-0488-0105-010800000804');
 QuarantineFile('C:\WINDOWS\system32\flash.exe','');
 DelBHO('{1E796980-9CC5-11D1-A83F-00C04FC99D61}');
 DelBHO('{5067A26B-1337-4436-8AFE-EE169C2DA79F}');
 DelBHO('{4DC09257-6893-44F5-8F74-60DC2F259111}');
 QuarantineFile('C:\WINDOWS\system32\cd.dll','');
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 DeleteService('prexigfj');
 QuarantineFile('C:\WINDOWS\system32\drivers\prexigfj.sys','');
 DeleteService('mpr_freader');
 DeleteFile('C:\DOCUME~1\0759~1\LOCALS~1\Temp\RarSFX3\mpr_freader.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\prexigfj.sys');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
 DeleteFile('C:\WINDOWS\system32\cd.dll');
 DeleteFile('C:\WINDOWS\system32\flash.exe');
 DeleteFile('C:\WINDOWS\msmqinst.log:UlZ8OoETAwE');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), 'C:\WINDOWS\msmqinst.log:UlZ8OoETAwE', ''));
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), ',,', ','));
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=66888

4. Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[ДИМАС]

вот новые логи!
не могу отправить файл карантина.
говорит такой файл уже существует.

[ДИМАС]

диспетчер задач запустил. поковырявшись в групповых политиках.
не могу запустить антивирус. не хочет работать. говорит вот что:
"c://program files/ESET/nod32kui.exe
невозможно открыть данную программу из-за политики ограничения применения программного обеспечения. за дополнительной информацией обратитесь к системному администратору или откройте "просмотр событий" "

вот так вот, как быть. так по сути уже все работает.

[PavelA]

Лог GSI сделайте.

[ДИМАС]

Лог GSI сделайте.

скажите как?!

[PavelA]

На сайте Касперского есть утилита GetSystemInfo. Скачать, запустить, запаковать лог и прислать.

[ДИМАС]

сделал!

[Aleksandra]

Лог сделан старой версией. Вот ссылка http://support.kaspersky.ru/faq/?qid=180593373

[PavelA]

Обнаружилось старье. Зачистим скриптом:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
BC_DeleteSvc('runtime'); 
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.