Вирус в компьютере! [Trojan.Win32.Cidox.aeyc ]

Printable View

16.03.2013, 09:56
flasher573

Вложений: 2

Вирус в компьютере! [Trojan.Win32.Cidox.aeyc ]

[B]В любом браузере, где есть страница с авторизацией, выдает:[/B]

"На вашу страницу в течение 24 часов было сделано более 10 неудачных попыток авторизации (вы или кто-то другой ввели неверный пароль 12 раз). Аккаунт временно заблокирован для предотвращения взлома. Чтобы подтвердить, что Вы действительно являетесь владельцем страницы, пожалуйста, укажите номер вашего мобильного телефона, к которому привязана страница. Если ранее страница не была привязана к номеру Вашего мобильного телефона, то она будет привязана к номеру, который вы введете ниже.

Номер телефона: (пример: 79991122333)
Далее
Входящее SMS с кодом абсолютно бесплатна и необходимо исключительно для подтверждения принадлежности вам введенного номера мобильного телефона.Отвечать на SMS не нужно. Вводя код вы подтверждаете подписку на медиа-контент (музыку, видео, приложения и файлы)."
16.03.2013, 09:59
Info_bot

Уважаемый(ая) [B]flasher573[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.03.2013, 12:15
Nikkollo

Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\DOCUME~1\Admin\APPLIC~1\DSite\UPDATE~1\UPDATE~1.EXE','');
DeleteFile('C:\WINDOWS\system32\zpznkxg.dll');
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке в шапке этой темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.

Сделайте заново логи RSIT [URL="http://virusinfo.info/showthread.php?t=115256&p=859292#post859292"](как сделать)[/URL]и приложите.
16.03.2013, 12:46
flasher573

Вложений: 1

Спасибо большое!! :) Все заработало.
16.03.2013, 16:36
Nikkollo

Мусор в реестре остался.
Сделайте лог HijackThis (пункт 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
16.03.2013, 18:12
flasher573

Вложений: 1

вот логи
16.03.2013, 21:47
Nikkollo

Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
O2 - BHO: StartNow Toolbar Helper - {6E13D095-45C3-4271-9475-F3B48227DD9F} - (no file)
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: (no name) - {5911488E-9D1E-40ec-8CBB-06B231CC153F} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\system32\zpznkxg.dll

[/CODE]

Сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.

Выполните скрипт в AVZ отсюда (скопируйте там весь текст):
[url]http://dataforce.ru/~kad/ScanVuln.txt[/url]
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.
16.03.2013, 23:34
flasher573

Вложений: 2

вот исправил 7 уязвимостей.
16.03.2013, 23:48
Nikkollo

Угу, мусор почистился. Но появилась вебальта...
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)

[/CODE]

По ярлыку браузера, которым его запускаете, правой кнопкой мыши - Свойства - закладка Ярлык - поле Объект.
Там проветьте, чтобы кроме пути к исполняемому файлу браузера в кавычках не было ничего лишнего.
Если есть, отредактируйте и нажмите ОК.
Повторите это со всеми вашими браузерами, во всех местах, где есть их ярлыки (рабочий стол, панель быстрого запуска и т.п.)

Сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
16.03.2013, 23:55
flasher573

Вложений: 1

вот и webalta исчезла :) в ярлыках все почистил!
17.03.2013, 00:19
regist

Для контроля, сделайте ещё

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
17.03.2013, 02:30
flasher573

Вложений: 1

логи
17.03.2013, 10:37
Techno

C:\Program Files\Get-Styles 2.0 - это Ваше?

[URL="http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584"]Удалите в MBAM[/URL]:
[CODE]HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (PUP.BundleInstaller.ML) -> Действие не было предпринято.
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.

C:\Documents and Settings\Admin\Local Settings\Application Data\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.

C:\Documents and Settings\Admin\Local Settings\Temp\2fae5bf1b8207283fdae.exe (Trojan.Agent.GNI) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\skachat_formatfactory302012[multi][rus]torrent_bez_registracii_id3255008id.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\Avast 7-94.51 Mb.exe (PUP.BundleInstaller.ML) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\vksaver_id950463id.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.

C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039981.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039982.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039983.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039985.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039986.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039987.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039988.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039989.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039990.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039991.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039992.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039993.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039994.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039995.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039996.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039997.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039998.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039999.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040000.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040001.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040003.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040004.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040005.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040006.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040007.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040008.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040009.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040010.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040011.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039984.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040002.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP93\A0041860.dll (Trojan.Agent.GNI) -> Действие не было предпринято.
D:\down\[ntorrentsru]_morskoj_boj___battleship_2012_hdrip_-_trejler.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
D:\down\setup.exe (PUP.BundleInstaller.ML) -> Действие не было предпринято.
D:\down\__encodeuricomponentq__.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Application Data\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Application Data\Webalta Toolbar\webalta_nw_final_chrome.crx (PUP.ToolBar.WA) -> Действие не было предпринято.
[/CODE]

Очистите старые точки восстановления и создайте новую.
17.03.2013, 11:26
flasher573

Все сделал.:) Спасибо
17.03.2013, 11:42
Techno

...
[quote="Techno;983525"]C:\Program Files\Get-Styles 2.0 - это Ваше?[/quote]
17.03.2013, 11:47
flasher573

да была установлена, и удалена, но файлы остались.
17.03.2013, 12:25
Techno

Если она Вам не нужна то удалите в MBAM ещё:
[CODE]HKCR\CLSID\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\TypeLib\{955B782E-CDC8-4CEE-B6F6-AD7D541A8D8A} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\Interface\{9F0C17EB-EF2C-4278-9136-2D547656BC03} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\updatebho.TimerBHO.1 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\updatebho.TimerBHO (PUP.Blabbers) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
C:\Program Files\Get-Styles 2.0\utils\updatebho.dll (PUP.Blabbers) -> Действие не было предпринято.[/CODE]

Что с проблемами?
17.03.2013, 15:43
flasher573

Вложений: 1

Все! Проблем нет, вирусов тоже.:>
17.03.2013, 15:58
regist

деинсталируйте MBAM.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
17.03.2013, 16:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\zpznkxg.dll - [B]Trojan.Win32.Cidox.aeyc[/B] ( DrWEB: Trojan.Mayachok.18024, BitDefender: Gen:Variant.Kazy.117219, AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]