Воруют пароль! Прошу помощи!

Printable View

13.06.2011, 23:51
bymaga

Вложений: 2

Воруют пароль! Прошу помощи!

Добрый вечер! Попытаюсь описать подробно свою проблему.
Перешел по ссылке в контате и скачал архив. ЧТо было в архиве не помню. Сразу же после распаковки рабочий стол моргнул(все ярлыки и заставка пропали и через секунду опять появились). Единственное, что изменлось на раб. столе - это закрылся браузер(опера). После повторного открытия оперы заметил, что с контакта выбросило. Далее, просто велл свои логин и пароль. Спустя несколько дней начало появлться антиспамерное окошко(введите код с картинки) когда соц. сеть была включена, что сведетельствовало о параллельном входе на мою страницу на другом компьютере. После браузер вообще не грузил какие либо страницы хоть интеренет подключен и активен! Но это я как-то исправил! Остался взломаным контакт! Причем пароли менял 3 раза! И каким-то образом спустя минуту после входа в контакт, путем ввода нового пароля, появляется опять код на кртинке и просьба его ввести! и так 3 раза! Вообщем при вводе нового пароля он каким то образом сразу становится известен взломщикам. Еще одна особенность! Авира антивирус работает в каком то вымешленном "усиленном режиме" . Причем изменить его натсройки я не могу! При нажатии на запуск Авиры выскакивает красное окошко снизу справа. Загрузил ДОктор веб карриент. При запуске выскочило окошко в стиле виндовс 98 мол "доктор веб" работает в усиленном режиме. После закрытия окна он все же заппустился. Систему проверил удалил троянов 10 штук! Но проблема с контактом осталась! Прошу вашей помощи!
Заране благодарен!
Моя система 64-х разрядная поэтому только два лога.
13.06.2011, 23:53
Info_bot

Уважаемый(ая) [B]bymaga[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].
14.06.2011, 11:56
crush13

[B]bymaga[/B], здравствуйте.

1. Закройте все открытые приложения (программы), кроме АVZ и браузера (Mozilla Firefox, Opera, Google Chrome, Internet Explorer).
Отключите:
- ПК от интернета/локальной сети;
- [COLOR="Red"][B]Обязательно!!! Отключить системное восстановление!!![/B][/COLOR] как - [URL="http://virusinfo.info/pravila.html"]посмотреть можно здесь[/URL] (по окончанию лечения включите);
- Выгрузите антивирус и/или Файрвол;
- [URL="http://virusinfo.info/showpost.php?p=64376&postcount=1"]Пофиксите в HJT[/URL]:
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://webalta.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://webalta.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [systemup] "C:\Windows\systemup.exe" stand
O4 - HKLM\..\Run: [wxpdrv] C:\Windows\services32.exe nsrv
O4 - HKLM\..\Run: [tray_ico0] C:\Windows\update.1\svchost.exe tray 8-0
O4 - HKLM\..\Run: [sysdriver32_.exe] "C:\Windows\sysdriver32_.exe" rezerv
O4 - HKLM\..\Run: [sysdriver32.exe] "C:\Windows\sysdriver32.exe" rezerv
O4 - HKLM\..\Run: [scr] C:\Windows\update.1\svchost.exe scr
O4 - HKLM\..\Run: [l1rezerv.exe] "C:\Windows\l1rezerv.exe"[/CODE]
- [URL="http://virusinfo.info/showpost.php?p=88804&postcount=1"]Выполните скрипт в AVZ[/URL] ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearHostsFile;
TerminateProcessByName('c:\windows\systemup.exe');
TerminateProcessByName('c:\windows\sysdriver32_.exe');
TerminateProcessByName('c:\windows\update.1\svchost.exe');
TerminateProcessByName('c:\windows\update.2\svchost.exe');
TerminateProcessByName('c:\windows\l1rezerv.exe');
QuarantineFile('C:\Windows\system32\csrsrv.dll','');
QuarantineFile('C:\Windows\system32\WINSAT.EXE','');
QuarantineFile('C:\Windows\services32.exe','');
QuarantineFile('C:\Windows\System32\UI0Detect.exe','');
QuarantineFile('C:\Windows\SysWow64\EZUPBH~1.DLL','');
QuarantineFile('secdrv.sys','');
QuarantineFile('userinit.exe','');
QuarantineFile('C:\Windows\system32\DRIVERS\blbdrive.sys','');
QuarantineFile('C:\Windows\sysdriver32.exe','');
QuarantineFile('c:\windows\systemup.exe','');
QuarantineFile('c:\windows\sysdriver32_.exe','');
QuarantineFile('c:\windows\update.1\svchost.exe','');
QuarantineFile('c:\windows\update.2\svchost.exe','');
QuarantineFile('c:\windows\l1rezerv.exe','');
DeleteFile('c:\windows\update.2\svchost.exe');
DeleteFile('c:\windows\update.1\svchost.exe');
DeleteFile('c:\windows\systemup.exe');
DeleteFile('C:\Windows\l1rezerv.exe');
DeleteFile('C:\Windows\services32.exe');
DeleteFile('C:\Windows\sysdriver32.exe');
DeleteFile('C:\Windows\sysdriver32_.exe');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
3. Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из корня папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы;
4. Сделайте повторные логи [URL="http://virusinfo.info/pravila.html"]по правилам[/URL] п.2 и п.3 раздела "[COLOR="Blue"]Диагностика[/COLOR]" (virusinfo_syscheck.zip; hijackthis.log).
Проверьте, что с проблемой.
14.06.2011, 14:00
bymaga

Вложений: 2

После выполнения скрипта в АВЗ Пк не перезагрузилс сам, начал издавать короткие гудки с непостоянной переодичностью, загрузка процессора 100%, сама АВЗ и окно со скриптом сверху подписаны (не отвечает).Подождал минут 5 - перезагрузил сам. Все вышеперечисленное пропало.
Проблема с "усиленным режимом" AVIR-ы продолжает существовать.

Новые логи:
14.06.2011, 14:17
crush13

[B]bymaga[/B], попробуйте выполнить такой скрипт:
[CODE]begin
ClearHostsFile;
TerminateProcessByName('c:\windows\systemup.exe');
TerminateProcessByName('c:\windows\sysdriver32_.exe');
TerminateProcessByName('c:\windows\update.1\svchost.exe');
TerminateProcessByName('c:\windows\update.2\svchost.exe');
TerminateProcessByName('c:\windows\l1rezerv.exe');
QuarantineFile('C:\Windows\system32\csrsrv.dll','');
QuarantineFile('C:\Windows\system32\WINSAT.EXE','');
QuarantineFile('C:\Windows\services32.exe','');
QuarantineFile('C:\Windows\System32\UI0Detect.exe','');
QuarantineFile('C:\Windows\SysWow64\EZUPBH~1.DLL','');
QuarantineFile('secdrv.sys','');
QuarantineFile('userinit.exe','');
QuarantineFile('C:\Windows\system32\DRIVERS\blbdrive.sys','');
QuarantineFile('C:\Windows\sysdriver32.exe','');
QuarantineFile('c:\windows\systemup.exe','');
QuarantineFile('c:\windows\sysdriver32_.exe','');
QuarantineFile('c:\windows\update.1\svchost.exe','');
QuarantineFile('c:\windows\update.2\svchost.exe','');
QuarantineFile('c:\windows\l1rezerv.exe','');
DeleteFile('c:\windows\update.2\svchost.exe');
DeleteFile('c:\windows\update.1\svchost.exe');
DeleteFile('c:\windows\systemup.exe');
DeleteFile('C:\Windows\l1rezerv.exe');
DeleteFile('C:\Windows\services32.exe');
DeleteFile('C:\Windows\sysdriver32.exe');
DeleteFile('C:\Windows\sysdriver32_.exe');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится (должен).
Затем все то же самое с пункта два.
14.06.2011, 14:41
bymaga

Контак заблокирован - проверить наличие проблемы не могу! (но думаю что она исчерпана).

Что касается "усиленного режима":
При нажатии на Авиру выскакивает окошко с сообщением:

Ошибка при работе с ярлыком
Обьект "svchost.exe", на который ссылается этот ярлык,
изменен или перемещен, и ярлык больше не работает.
Удалить этот ярлык?
Это все касательно проблем. :)

Вот новые логи:
14.06.2011, 19:50
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
15.06.2011, 00:20
bymaga

Сделал лог МВАМ.

Хочу добавить, что сайт vkontakte.ru вообще не загружается. Просто в браузере идет завгрузка секунды две и обрубает как будто страница уже загрузилась. Приичем какие-либо другие сайты открываюстя вполне адекватно.:(

Все еще надеюсь на вас.:)

Будьте добры, подскажите дальнейшие действия.
15.06.2011, 07:26
crush13

[B]bymaga[/B],
- [URL="http://virusinfo.info/showpost.php?p=88804&postcount=1"]Выполните скрипт в AVZ[/URL] ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
ClearQuarantine;
QuarantineFile('c:\Windows\loader10.exe_ok',' ');
QuarantineFile('c:\Windows\loader10.exe',' ');
QuarantineFile('c:\Windows\843498.exe',' ');
QuarantineFile('c:\Windows\349410.exe',' ');
DeleteFile('c:\Windows\843498.exe');
DeleteFile('c:\Windows\349410.exe');
DeleteFile('c:\Windows\loader10.exe_ok');
DeleteFile('c:\Windows\loader10.exe');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\wxpdrivers');
RegKeyDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Control\SafeBoot\Network\wxpdrivers');
DeleteFileMask('c:\Users\user\doctorweb\quarantine\','*.*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(21);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
3. Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из корня папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы;
Посмотрите что с проблемой.
15.06.2011, 23:32
bymaga

Что-то очень глубоко и на долго засело в мой ноут!:(

Проблема актуальна. Скрипт не перезагрузил пк. Все как в прошлый раз.
Подпись (не отвечает). В перезагрузке помог.
Карантин сейчас вышлю.
16.06.2011, 01:35
thyrex

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(13);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
16.06.2011, 02:58
bymaga

Все проблемы решены.:)
Большое спасибо за помощь!:yes3:
17.06.2011, 02:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\l1rezerv.exe - [B]Trojan.Win32.Scar.djln[/B] ( DrWEB: Trojan.KillProc.4306, BitDefender: Trojan.Generic.5380680, NOD32: Win32/TrojanDownloader.Delf.QFH trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] c:\\windows\\sysdriver32.exe - [B]Trojan.Win32.Scar.dzbi[/B] ( DrWEB: BackDoor.Siggen.30581, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] c:\\windows\\sysdriver32_.exe - [B]Trojan.Win32.Scar.dzbi[/B] ( DrWEB: BackDoor.Siggen.30581, BitDefender: Trojan.Agent.ASEX, NOD32: Win32/TrojanDownloader.Delf.QCY trojan, AVAST4: Win32:Delf-QBF [Trj] )[*] c:\\windows\\systemup.exe - [B]Trojan.Win32.Scar.eacw[/B] ( DrWEB: Trojan.DownLoader3.28847, BitDefender: Trojan.Generic.KDV.250304, AVAST4: Win32:Delf-QBF [Trj] )[*] c:\\windows\\update.1\\svchost.exe - [B]Trojan-Downloader.Win32.FraudLoad.zfre[/B] ( DrWEB: Trojan.Siggen2.33781, BitDefender: Trojan.Generic.KD.229108, NOD32: Win32/Delf.QCZ trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\update.2\\svchost.exe - [B]Trojan.Win32.VkHost.dvj[/B] ( DrWEB: Trojan.DownLoader3.30182, BitDefender: Generic.Malware.SFHYVdhidWkg.628A73CB, AVAST4: Win32:Delf-QBF [Trj] )[/LIST][/LIST]