очередной порнобаннер

[owsla]

в общем с утра вожусь с очередной заразой.
avz.exe, avz.com запустить не даёт, при запуске программу сразу сворачивает. totalcmd.exe запустить не даёт, проводник работает, но режим отображения скрытых файлов не включить.
эта зараза сидела несколькими dll и exe в system32, также сидела процессом systems.exe в documents and settings\all users\. путём подключения винта к другому компу эти файлы поудалял. но работу восстановить не удалось. из логов могу сейчас сделать только hijack, но не знаю насколько он информативен будет.
dr. web cure it находит трояны, удаляет их, но опять же, это не сильно помогает.

в баннере написан адрес www_pornhub_com, если это чем-то поможет

[polword]

Скачайте LiveCD с возможностью поиска и правки исправления в реестре. Например, ERD Commander

[owsla]

ок, ERD commander качаю, что делать дальше?

[polword]

Посмотрите в реестре:
ветка
HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

параметр
AppInit_DLLs

Содержимое этого параметра в своем сообщении напишите

[owsla]

ок, спасибо, реестр уже почистил, посмотрев аналогичные темы, баннер пропал

чуть позже выложу логи AVZ, для того, чтобы посмотреть остался какой-нибудь мусор, или нет

[owsla]

как уже писал, вчера почистил реестр, переименовал .dll, всё заработало. потом обновил базы avz и запустил скрипты, чтобы сделать логи virusinfo, после этого перезагрузил комп и в итоге снова баннер, диспетчер задач заблокирован.

реестр с помощью ERD commander посмотрел, в Appint_Dlls пусто.

в system32 подозрительных dll вроде бы не появилось.

что делать?

проверяю винт на другом компе, уже нашёл Trojan.Winlock.1685, удаляем

в безопасном режиме запустил avz и hijack, сейчас будут логи

[owsla]

логи во вложении, баннер висит, сеть заблокирована

[PavelA]

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Common Files\SysAware Soft\svhost.exe','');
 DeleteService('ixwydxwa');
 QuarantineFile('C:\WINDOWS\system32\0121.tmp','');
 DeleteFile('C:\WINDOWS\system32\0121.tmp');
 DeleteFile('C:\Program Files\Common Files\SysAware Soft\svhost.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','shell');
BC_ImportDeletedList;
ExecuteRepair(17);
ExecuteRepair(11);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать карантин по Правилам.
Сделать заново логи.

[owsla]

логи avz выложил, hijack запустить не даёт, антивирусные сайты не грузит, баннер пропал, сетка есть
карантин отправил

[polword]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки

Восстановление системы: включено

- Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteService('dybypx');
 QuarantineFile('C:\WINDOWS\system32\0109.tmp','');
 DeleteFile('C:\WINDOWS\system32\0109.tmp');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteRepair(6);
 ExecuteRepair(8);
 RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

[owsla]

логи во вложении, почему-то проинсталлированный hijack запустить не удаётся, запустил учу без инсталляции
карантин отправил

[polword]

- Сделайте лог MBAM

[owsla]

- Сделайте лог MBAM

во вложении

[polword]

1. удалите в MBAM

C:\Program Files\DrWeb Enterprise Suite\Infected.!!!\3DBFBE1Fd01 (Adware.Seekmo) -> No action taken.
C:\Program Files\DrWeb Enterprise Suite\Infected.!!!\yWciyDkn.exe.part (Adware.Seekmo) -> No action taken.
E:\F-DATA\DrWeb Enterprise Suite\Installer\fix\avz4\Infected\2010-05-25\avz00001.dta (Backdoor.Bot) -> No action taken.
E:\F-DATA\DrWeb Enterprise Suite\Installer\fix\avz4\Infected\2010-05-25\avz00002.dta (Backdoor.Bot) -> No action taken.

2.Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\0109.tmp','');
 QuarantineFile('C:\Program Files\HyperSnap 6\HSTxtCap.dll','');
 DeleteService('dybypx');
 DeleteFile('C:\WINDOWS\system32\0109.tmp');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;

[owsla]

лог во вложении, карантин выслал

[polword]

В логе чисто.

- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

[owsla]

спасибо!
полное обновление ОС уже сделал

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 32
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\common files\sysaware soft\svhost.exe - Trojan-Ransom.Win32.PinkBlocker.blb ( DrWEB: Trojan.Winlock.1765 )
  2. c:\program files\drweb enterprise suite\infected.!!!\3proxy-0.6-devel-080513170128.zip - not-a-virus:Server-Proxy.Win32.3proxy.al ( BitDefender: Trojan.Generic.1766947 )