Новая версия порнобанера

[C61]

Проблема - аналогична http://virusinfo.info/showthread.php?t=61519. Не запускается ничего, что может помочь. Компьютер выключается при попытке запустить любой антивирус, avz и др. В безопасном режиме - то же самое. Полиморфный avz с ifolder не качается - положите, пожалуйста, на рапиду или еще куда-то...

[snifer67]

Сделайте такой лог http://virusinfo.info/showthread.php?t=53070

[C61]

Удалось скачать полиморфный avz, но после его запуска компьютер также сразу выключается...
Скачал mbam, он вообще не запускается.

[snifer67]

Сделайте такой лог http://virusinfo.info/showthread.php?t=58309

[pig]

HijackThis тоже не работает?

[C61]

После попыток запустить полиморфный avz теперь при запуске любой задачи вылезает порнобаннер, который все блокирует.
Ненадолго помогает перевод часов в bios назад-вперед на несколько дней, а лучше всего к началу месяца, после этого запускается far и проводник. Но потом при запуске чего угодно появляется рекламный баннер... Опять кручу время, один раз удается что-то запустить.
HijackThis, как и ожидалось, не запускается.

Добавлено через 8 минут

Полный облом: теперь на любую задачу вылезает порнобаннер. Полагаю, придется снимать винчестер и разбираться на другом компьютере... Но это уже в понедельник.

[vegas]

Переименовывать Hijackthis пробовали? В любой исполняемый файл с любым именем и расширением .pif или .com (asdf.pif например)

[pig]

Hint: баблиотека, отвечающая за порнобаннер, прописана в ключе
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
параметр AppInit_DLLs

[C61]

Переименовывать Hijackthis пробовали? В любой исполняемый файл с любым именем и расширением .pif или .com (asdf.pif например)
Ничего не запускается, я же говорил...


Hint: баблиотека, отвечающая за порнобаннер, прописана в ключе
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
параметр AppInit_DLLs
Огромное спасибо !!! Загрузился с LiveCD, нашел по ключу реестра зловредную dll, удалил, теперь все задачи запускаются, вот сейчас пытаюсь найти и удалить все остатки этой дряни...

[thyrex]

Нужно выполнить правила (http://virusinfo.info/showthread.php?t=1235)

[C61]

Выполняю правила... Вот логи.

[thyrex]

Пофиксите в HiJack

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDO WS\sorry.exe,C:\WINDOWS\system32\sdra64.exe,
O4 - HKLM\..\Run: [act0] C:\smss.exe
O4 - HKLM\..\Run: [Microsoft Internet Agent] c:\windows\system32\winagent.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{DB771B74-A2AF-4827-BB28-7369D3860101}: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.190,85.255.112.232

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Interne t Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Interne t Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Interne t Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Interne t Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Interne t Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Documents and Settings\root\Application Data\Desktopicon\eBayShortcuts.exe','');
QuarantineFile('C:\WINDOWS\sorry.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','' );
QuarantineFile('C:\smss.exe','');
DeleteFile('C:\smss.exe');
QuarantineFile('c:\windows\system32\winagent.exe', '');
DeleteFile('c:\windows\system32\winagent.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\sorry.exe');
DeleteFile('C:\Documents and Settings\root\Application Data\Desktopicon\eBayShortcuts.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы


>> Заблокированы настройки системы System RestoreИсправьте через AVZ - Файл - Мастер поиска и устранения проблем - Все проблемы - отметить указанное - Исправить

Сделайте новые логи

[C61]

Новые логи.

Карантин отправил.

[Bratez]

Заразы в логах больше не видно.
Какие-то проблемы остались?

[C61]

Спасибо за помощь, проблем больше нет !

[CyberHelper]

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 13
В ходе лечения обнаружены вредоносные программы:

c:\windows\system32\sdra64.exe - Trojan-Spy.Win32.Zbot.addm ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.CJ.AFDC, NOD32: Win32/Spy.Zbot.UN trojan, AVAST4: Win32:Spyware-gen [Spy] )
c:\windows\system32\winagent.exe - Trojan.Win32.Agent2.leu ( DrWEB: Trojan.Click.31902, BitDefender: Trojan.Packed.Hiloti.Gen.2, AVAST4: Win32:Rootkit-gen [Rtk] )


Рекомендации:

Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !