жертва vkontakte.ru

[Красавица]

Здравствуйте! в контакте хотела сменить тему и скачала файл,после чего браузер перезагрузился и выдал такое сообщение:
Ваш компьютер заблокирован за рассылку спама.Вы можете разблокировать свой компьютер, для этого перейдите на сайт ВКонтакте (http://vkontakte.ru/) и активируйте свою анкету.После чего Вы сможете пользоватся всей сетью.перейдя на сайт просят отправить смс с текстом 162860 на номер 8353.самое интересное что интернет работает( могу зайти в аську и качаются файлы с торента,не дают только по сайтам лазить). с помощью программы HOSTSXpert почистила HOSTS,но на сайты так и не заходит. с помощью
Dr. Web CureIt! проверила компьютер,он нашол Trojan.AuxSpy.187 и обезвредил его.после диагности компа по правилам у меня получилось тока 2 лога.

[olejah]

Пока давайте так -

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Пофиксите в hijackthis -

O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\chgservice.exe');     
 StopService('Change Modem Device Service');  
 QuarantineFile('C:\Windows\system32\ChgService.exe','');
 QuarantineFile('c:\windows\system32\chgservice.exe','');  
 QuarantineFile('C:\Windows\system32\Wat\WatUX.exe','');  
 DeleteFile('c:\windows\system32\chgservice.exe');  
 DeleteFile('C:\Windows\system32\ChgService.exe'); 
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

Логи повторите, отпишитесь что с проблемой.

[PavelA]

C:\Users\Вера\AppData\Local\Temp\_uninst_.bat - пришлите вот этот файлик.

[Красавица]

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\chgservice.exe');     
 StopService('Change Modem Device Service');  
 QuarantineFile('C:\Windows\system32\ChgService.exe','');
 QuarantineFile('c:\windows\system32\chgservice.exe','');  
 QuarantineFile('C:\Windows\system32\Wat\WatUX.exe','');  
 DeleteFile('c:\windows\system32\chgservice.exe');  
 DeleteFile('C:\Windows\system32\ChgService.exe'); 
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

[olejah]

Скриншот таблички можно? Либо что там написано, желательно слово в слово. У Вас 7-ка Windows?

А если так -

begin
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows\system32\chgservice.exe');     
 StopService('Change Modem Device Service');  
 QuarantineFile('C:\Windows\system32\ChgService.exe','');
 QuarantineFile('c:\windows\system32\chgservice.exe','');  
 QuarantineFile('C:\Windows\system32\Wat\WatUX.exe','');  
 DeleteFile('c:\windows\system32\chgservice.exe');  
 DeleteFile('C:\Windows\system32\ChgService.exe'); 
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

[Красавица]

C:\Users\Вера\AppData\Local\Temp\_uninst_.bat - пришлите вот этот файлик.

и файлик найти не могу,даж в скрытых нет

[Красавица]

да 7!

[olejah]

Пробуем так -

Выполните скрипт в АВЗ -

begin
 TerminateProcessByName('c:\windows\system32\chgservice.exe');      
 QuarantineFile('C:\Windows\system32\ChgService.exe','');
 QuarantineFile('c:\windows\system32\chgservice.exe','');  
 QuarantineFile('C:\Windows\system32\Wat\WatUX.exe','');  
 QuarantineFile('C:\Users\Вера\AppData\Local\Temp\_uninst_.bat','');
 BC_ImportAll;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[Красавица]

скрипт прошол без ошибок,вот файл

[olejah]

Ай-яй-яй, не сюда, загружать по ссылке Прислать запрошенный карантин над первым сообщением этой темы, отсюда уберите.

[Красавица]

извини!теперь прислала куда надо!

[olejah]

Повторите пожалуйста ещё логи, по возможности 3 - virusinfo_syscure.zip, virusinfo_syscheck.zip, hijackthis.log, в старых логах не могу ни к чему придраться.

[Красавица]

я сделала логи!но у меня опять получилось 2!

[Красавица]

попробуй ещё вот этот посмотреть. он сделан при включёном инете и открытом браузере. как раз в этот момент веб нашол и обезвредил трояна,который находился в процессе памяти windows. вот по этому адресу-C/windows/system32_svchost.exe

[Красавица]

я не понимаю почему у меня третий лог не получается!!!!!!!!

[olejah]

А что мешает? Запускаете, а дальше что?

[Красавица]

да ни чё не мешает. запускаю всё проходит,а лога нет

[Красавица]

смотри прикол! сделала тока что при выключенном инете! просто щелкнула на браузер.

[olejah]

Пофиксите в hijackthis -

R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)

Добавлено через 3 минуты

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Users\Вера\AppData\Local\Temp\_uninst_.bat','');
 DeleteFile('C:\Users\Вера\AppData\Local\Temp\_uninst_.bat');  
 DelAutorunByFileName('C:\Users\Вера\AppData\Local\Temp\_uninst_.bat');       
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip'); 
 end.

Пришлите файл quarantine2.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

[Красавица]

расскажи как должен вот этот лог получится(virusinfo_syscheck.zip), может я просто чёто не так делаю