Баннер с номером 3381 и отсутствие прав

**VJS** · 18.05.2010, 00:44

Здравствуйте!
Не знаю откуда словил этот вирус, но после него я лишился прав администратора. Не могу запустить ни один exe-файл, а про администрирование я вообще молчу. Поэтому смог загрузиться только с Live CD. Надеюсь, вы сможете мне помочь, не хотелось бы переставлять систему!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**thyrex** · 18.05.2010, 08:08

Логи с Live CD бесполезны.

В этом Live CD есть возможность смотреть реестр зараженной системы?

**VJS** · 18.05.2010, 08:25

Да, но нельзя посмотреть HKEY_CU!

**Rene-gad** · 18.05.2010, 11:02

http://virusinfo.info/showthread.php?t=51777
http://virusinfo.info/showthread.php?t=72176

**thyrex** · 18.05.2010, 12:26

Дополню

Посмотрите в реестре:
ветка

Код:

HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

параметр

Код:

AppInit_DLLs

Содержимое этого параметра в своем сообщении напишите

**VJS** · 18.05.2010, 15:27

Смогу посмотреть только около 19:00! Там параметр должен быть пустым?

Забыл добавить, что баннер просит отправить на номер 3381 сообщение T701016200, при этом ни один из кодов для разблокировки с сайта НОДа не подходит!

**thyrex** · 18.05.2010, 15:53

Попробуйте сначала так: запустите Internet Explorer и попытайтесь запустить AVZ для создания логов.

Если не поможет, пойдем через Live CD

**DefesT** · 18.05.2010, 16:54

попробуйте код - 58J28HX

**VJS** · 18.05.2010, 18:32

Помог код 279346830.

Прикрепляю новые логи, посмотрите, пожалуйста, не остались ли следы вирусов!

moderated:::

Обратите внимание! Если в результате работы скрипта будут обнаружены подозрительные файлы, они будут сохранены в архиве virusinfo_cure.zip. Этот архив необходимо отличать от архива с протоколом исследования системы virusinfo_syscure.zip и загружать на форум только в том случае, если вас об этом попросили.
Что тут не понятно???

**DefesT** · 18.05.2010, 19:26

Отключите восстановление системы
Отключите компьютер от интернета, а также отключите антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\deviated\Deviated.dll','');
 QuarantineFile('C:\WINDOWS\system32\sshnas21.dll','');
 QuarantineFile('C:\WINDOWS\system32\netprotdrvss','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\iqvw32.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\DSDrv4.sys','');
 DeleteFile('C:\WINDOWS\system32\netprotdrvss');
 DeleteFile('C:\WINDOWS\system32\sshnas21.dll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SSHNAS\Parameters','ServiceDll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам (virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log) перед этим отключите не штатные программы (типа торрента и т.п.)

**VJS** · 18.05.2010, 19:57

Прогнал скрипт, после перезагрузки компьютера стал падать svchost.exe (перед появлением значка сетевых подключений). По нажатию "ОК" на окне ошибки, подвисает панель задач, не запускаются программы (и даже диспетчер задач).
В чем может быть проблема?

**thyrex** · 18.05.2010, 20:46

Логи делайте новые

**CyberHelper** · 19.05.2010, 20:46

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\netprotdrvss - Packed.Win32.Krap.w ( DrWEB: Trojan.Packed.19647, BitDefender: Gen:Heur.Krypt.11, AVAST4: Win32:MalOb-AN [Cryp] )