три иконки на десктопе - viruswebprotect2008.com

Printable View

19.05.2008, 12:45
Док

три иконки на десктопе - viruswebprotect2008.com

Зараза ведет себя следующим образом:
1. создает три иконки на десктопе - все ведут на viruswebprotect2008.com
2. подменяет "домашнюю страницу" эксплорера - [URL="http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2"]softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2[/URL] которая редиректит на [URL="http://www.sys-cleaner.com/?wmid=6010&mid=MjI6NDA6ODk=&lndid=40"]www.sys-cleaner.com/?wmid=6010&mid=MjI6NDA6ODk=&lndid=40[/URL]
3. постоянно (раз в 2-3 минуты) вываливается предупреждение о том, что компьютер заражен и срочно требуется проверка

4. изредка самозапускается новое окно эксплорера со страницей [URL="http://xpantivirussecurity.com/2008/2/_freescan.php?aid=880028"]xpantivirussecurity.com/2008/2/_freescan.php?aid=880028[/URL]
5. после 20-30 минут работы в системном трее появляется иконка (красный кружок с белым крестом внутри), который не реагирует на левую и правую кнопки мыши. Из него лезут предупреждения о том, что компьютер заражен.
6. В диспетчере задач НИКАКИХ левых процессов нет - все всплывающие сообщения порождаются процессами iexplore.exe и csrss.exe
7. Процесс, порождающий иконку в трее установить не удалось.

Заранее благодарен за любую помощь.
19.05.2008, 12:54
Гриша

Отключите антивирус!

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O3 - Toolbar: (no name) - {E738884B-E75D-4AC3-B03F-62F7E7DD853E} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{7600E72B-389F-43A1-9E88-2205FA2A7595}: NameServer = 85.255.116.146,85.255.112.88
O17 - HKLM\System\CCS\Services\Tcpip\..\{94CA07BB-DF9C-4EE9-BFAC-F1F91300360B}: NameServer = 85.255.116.146,85.255.112.88
O17 - HKLM\System\CCS\Services\Tcpip\..\{D5EBCAF9-91C0-4714-9B69-751B044B7CE2}: NameServer = 85.255.116.146,85.255.112.88
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.146 85.255.112.88
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.146 85.255.112.88
O21 - SSODL: vbksrofa - {8D1CD256-0B2E-4FA1-A44C-A7084E205F6C} - C:\WINDOWS\vbksrofa.dll
O21 - SSODL: mpfanvqg - {D7AEAC0C-25AA-4259-B632-D5E328D8B59D} - C:\WINDOWS\mpfanvqg.dll[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('tuvVOFXn.dll','');
QuarantineFile('kdifv.exe','');
QuarantineFile('WLCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\msjava32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vbf26.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ein37.sys','');
QuarantineFile('C:\WINDOWS\vbksrofa.dll','');
QuarantineFile('C:\WINDOWS\system32\tuvVOFXn.dll','');
QuarantineFile('C:\WINDOWS\system32\nnnNdcda.dll','');
QuarantineFile('C:\WINDOWS\mpfanvqg.dll','');
QuarantineFile('C:\WINDOWS\fvowketqonp.dll','');
DeleteService('Ein37');
DeleteService('Vbf26');
DeleteFile('C:\WINDOWS\fvowketqonp.dll');
DeleteFile('C:\WINDOWS\mpfanvqg.dll');
DeleteFile('C:\WINDOWS\system32\nnnNdcda.dll');
DeleteFile('C:\WINDOWS\system32\tuvVOFXn.dll');
DeleteFile('C:\WINDOWS\vbksrofa.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Ein37.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vbf26.sys');
DeleteFile('WLCtrl32.dll');
DeleteFile('kdifv.exe');
DeleteFile('C:\WINDOWS\system32\kdifv.exe');
DeleteFile('tuvVOFXn.dll');
DelBHO('{D6309B93-6C78-47FF-A4F9-FDDD28EAE1D3}');
DelBHO('{89A9CC26-4818-4FFD-82E0-9C3CF815FEB2}');
DelBHO('{2E529F87-2B52-438C-9E7C-7D0A0DD910BA}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6 );
ExecuteRepair(8 );
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=23058[/url]

MyWebSearch удалите это адваре,повторите логи.
19.05.2008, 13:25
Док

Спасибо!
Все вроде хорошо, карантин выслал.

Извините за бестолковость, но как удалить адваре?
19.05.2008, 13:28
Гриша

Через установку/удаление программ.

Логи повторите.

tuvVOFXn.dll-[B]Trojan-Downloader.Win32.ConHook.rt[/B]
vbksrofa.dll,fvowketqonp.dll-[B]Trojan.Win32.Vapsup.ffv[/B]
msjava32.dll,mpfanvqg.dll-свежие
19.05.2008, 14:06
Док

в установке\удалении ничего похожего не нашел :(
19.05.2008, 14:11
Гриша

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]R3 - URLSearchHook: (no name) - {00A6FAF6-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLL (file missing)
O2 - BHO: ShoppingReport - {100EB1FD-D03E-47FD-81F3-EE91287F9465} - C:\Program Files\ShoppingReport\Bin\2.0.26\ShoppingReport.dll (file missing)
O2 - BHO: (no name) - {209C8206-29C7-45A9-8AA0-1CA27F024D7E} - C:\WINDOWS\system32\nnnNdcda.dll (file missing)
O2 - BHO: (no name) - {2E529F87-2B52-438C-9E7C-7D0A0DD910BA} - C:\WINDOWS\system32\tuvVOFXn.dll (file missing)
O2 - BHO: Microsoft MSJava 32 - {43F7497C-7687-4DEA-A057-F21BD81BC896} - C:\WINDOWS\system32\msjava32.dll
O20 - Winlogon Notify: tuvVOFXn - C:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{43F7497C-7687-4DEA-A057-F21BD81BC896}');
DelBHO('{2E529F87-2B52-438C-9E7C-7D0A0DD910BA}');
DelBHO('{209C8206-29C7-45A9-8AA0-1CA27F024D7E}');
DelBHO('{100EB1FD-D03E-47FD-81F3-EE91287F9465}');
DelBHO('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
DeleteFile('C:\Program Files\MyWebSearch\SrchAstt\3.bin\MWSSRCAS.DLL');
DeleteFile('C:\Program Files\ShoppingReport\Bin\2.0.26\ShoppingReport.dll');
DeleteFile('C:\WINDOWS\system32\nnnNdcda.dll');
DeleteFile('C:\WINDOWS\system32\tuvVOFXn.dll');
DeleteFile('C:\WINDOWS\system32\msjava32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи.
19.05.2008, 14:42
Док

спасибо за помощь!
19.05.2008, 14:45
Гриша

Чисто,жалобы есть?
19.05.2008, 14:50
Док

жалоб нет, спасибище агромадное!
19.05.2008, 14:51
Гриша

Нам интересно [URL="http://virusinfo.info/showthread.php?t=19883"]Ваше мнение[/URL] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".