Printable View
1)Лазил на сайте, выскочила реклама и паралельно открылась вкладка с непонятным сайтом. Локер сработал моментально и написано, что нужно пополнить счет на 2000.
К сожалению фото нету, но если потребуется, могу сделать.
В безопасном режиме cureit ничего не нашел, зато удалось зайти через другой пользователь. Также делал восстановление системы, локер исчез, но минут через 10 вновь появился.
2)в опере слева сверху выскакивает реклама(порно). Всегда приходится нажимать кнопку "закрыть" в рекламе.
Уважаемый(ая) [B]myaso[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Ну что, есть решения какие нибудь?
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('gsplittm');
QuarantineFile('F:\ADVANC~1\wh_hook.dll','');
QuarantineFile('F:\Program Files\ZennoLab\ZennoPoster Demo\uninstall\Installer.exe.bak','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\БРУТЫ\брут дедиков\EbriBrute\ebri.zip','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\слежка\будет\msupdate.exe','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\слежка\будет\inst.exe','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\Подозрительный софт\wm.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\Подозрительный софт\check.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\vkontakte_accounts_manager_fixed.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\Spamer_Vkontakte_zero_tolerance.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\vkontakte_pass_by_emai_retriever.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\Solitario Crypter.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\RxBot_Encrypt_Decrypt.zip','');
QuarantineFile('F:\WINDOWS\system32\Drivers\ST77bus.sys','');
QuarantineFile('F:\WINDOWS\System32\Drivers\aswSP.SYS','');
QuarantineFile('F:\ADVANC~1\wh_exec.exe','');
QuarantineFile('F:\DOCUME~1\F185~1\LOCALS~1\Temp\gsplittm.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
логи делались из под проблемной учётки или здоровой ?
Сделал, локер не исчез. Карантин отправлен.
Все действия выполняю с соседней(здоровой) учетки.
Скрин локера прикрепил.
[quote="myaso;966588"]Все действия выполняю с соседней(здоровой) учетки.[/quote]
из под здоровой учётки логи AVZ бесполезны.
[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]
на шаге №4 выберите проблемную учётку.
сделал.
[url]http://www.sendspace.com/file/ippkfp[/url] - ссылка на лог.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
breg
; F:\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
addsgn A7679B19B192CF9E3787F8E60C08B645254DB8D295379B877A0481984C1AF5B3DC7F33F37E55625CA75FC49FCB526DE6F49BCC7ED88FB4C40E925BD064BA8633 8 Trojan.Winlock.6412
zoo 㩃停潲牧浡䘠汩獥卜景䥴䕃䍜浯潭屮楂屮卄卒捶攮數
delref HTTP://HOME.WEBALTA.RU
delref HTTP://WEBALTA.RU/SEARCH
delref HTTP://WWW.SMAXL.NET
chklst
delvir
restart[/CODE]
после перезагрузки пришлите карантин и сделайте новый лог uVS
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ F:\PROGRAM FILES\SWEETIM\MESSENGER\SWEETIM.EXE вы устанавливали такую программу ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
на шаге №2 при выполнение скрипта опять выберите учётку проблемного пользователя.
К сожалению, 6165564.EXE удалил вручную т.к. нужна была срочно учетка, а времени чистить не было.
SWEETIM.EXE вроде не устанавливал. Ну как я понял это какой то чат. Мне он не нужен.
Лог uVS - [url]http://www.sendspace.com/file/oj24n0[/url]
остальные прикрепил.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
breg
zoo %SystemDrive%\DOCUME~1\F185~1\LOCALS~1\TEMP\GSPLITTM.SYS
delall %SystemDrive%\DOCUME~1\F185~1\LOCALS~1\TEMP\GSPLITTM.SYS
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
zoo I:\RUNAUT~1\AUTORUN.PIF
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\РАБОЧИЙ СТОЛ\VK CHECKER LITE_\YANDEX.MONEYT\BRUTE\BRUT.EXE
delref COPY
zoo 㩃停潲牧浡䘠汩獥卜景䥴䕃䍜浯潭屮楂屮卄卒捶攮數
CLRMD
regt 13
exec MSIEXEC.EXE /X{266C7330-C0F4-49E5-8F20-A56F9F822875}
exec MSIEXEC.EXE /X{A1E4213E-06AD-4C58-8315-92F11531D960}
chklst
delvir
restart
[/CODE]
после перезагрузки пришлите карантин и сделайте новый набор логов по правилам.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ в карантин, что за архив вы загрузили ? там вперемешку с HackTool идут и самые настоящие трояны, в том числе и ворующие пароли :O
После выполнения скрипта все перепуталось. Буквы дисков перепутались. Винда нормально не работаетб восстановление системы не работает(rstrui.exe - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства.). Язык не переключается.
[b]myaso[/b], где новые логи ? где карантин ?
Из-за скрипта такого быть не должно, что вы ещё делали ?
Во время выполнения скрипта выскочило окно типо удалить этот элемент? Что то от виндовс. Я нажал нет. С этого момента все началось.
regist логи сделать не могу пока что. винда нормально не работает. При нажатии на любой файл правой кнопкой - перезагрузка компьютера. Больше ничего не делал это 100%. Совмещение дисков произошло после скрипта. Ф и С объединились в один. Нужно как то сделать восстановление системы. Как?
Карантина кстати нет. Есть папка ЗОО
[quote="myaso;970491"]Во время выполнения скрипта выскочило окно типо удалить этот элемент? Что то от виндовс[/quote]
скорее всего выскочило и спросило хотите ли вы деинсталировать SweetIM, раз вы его не ставили и он вам не нужен надо было согласиться.
В безопасном режиме тоже не получается сделать логи ?
[url=http://virusinfo.info/showthread.php?t=115256]логи RSIT[/url] можете сделать ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
[quote="myaso;970491"]Карантина кстати нет. Есть папка ЗОО[/quote]
а внутри неё что-то есть ? если есть [QUOTE]то заархивруйте папку ZOO в zip архив с паролем [color=Red]virus[/color] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)[/QUOTE]
сделал логи.
антивирус вообще не работает из за того что произошло совмещение диском. И в файлах прописаны пути Ф... а буквы поменялись. Не знаю даже что и делать.
папку ЗОО к сожалению зархивировать не получится пока что винрар не работает.
(Выбирите программу для этого файла. Я выбираю а он вообще даже не добавляет в список файл архиватора)
уВС - [url]http://www.sendspace.com/file/0handy[/url]
Даже плагин флеш скачиваю а его не открывает. Автоматически удаляется после попытки запуска.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1
regt 12
restart[/CODE]
компьютер перезагрузится.
Ещё раз повторите логи и отпишитесь, что с проблемой.
Проблема осталась. Какие именно логи сделать? все(авз+уВС+хиджектис)?
Главный диск у меня был - Ф(английская). На диске С(английская) стояла старая ненужная винда. Может это поможет чем то.
Давайте пока сделайте только [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]
а потом посмотрим.
сделал. А никак не возможно сделать восстановление системы? Кклеанер видит название точки восстановления системы. но в нём нету возможности делать восстановление.
[b]myaso[/b], попробуйте сами сменить букву диска и вернуть как было. Подробней о том как это сделать написано здесь [url]http://support.microsoft.com/kb/307844[/url]