Скринсейвер в виде синего экрана, сообщение "Spyware detected" на рабочем столе, сообщения о вирусах, блокировка вкладок "рабочий стол" и "заставка"

Printable View

09.07.2008, 01:09
Аалексей

Вложений: 3

Скринсейвер в виде синего экрана, сообщение "Spyware detected" на рабочем столе, сообщения о вирусах, блокировка вкладок "рабочий стол" и "заставка"

[FONT='Times New Roman']Операционная система [/FONT][FONT='Times New Roman']Windows[/FONT][FONT='Times New Roman']XP[/FONT][FONT='Times New Roman']. Антивирус [/FONT][FONT='Times New Roman']Avast[/FONT][FONT='Times New Roman']. [/FONT]
[FONT='Times New Roman']7 июля в ходе веб-серфинга [/FONT][FONT='Times New Roman']Avast[/FONT][FONT='Times New Roman'] стал сообщать об обнаружении вирусов. Средствами [/FONT][FONT='Times New Roman']Avast[/FONT][FONT='Times New Roman'] и [/FONT][FONT='Times New Roman']Cureit[/FONT][FONT='Times New Roman'] полностью решить проблему не удалось. Помимо прочего, после одной из перезагрузок с рабочего стола изчезли "обои" а вместо этого появилась надпись: "[/FONT][FONT='Times New Roman']Warning[/FONT][FONT='Times New Roman']! [/FONT][FONT='Times New Roman']Spyware detected on your computer! Install an antivirus or spyware remover to clean your computer." [/FONT][FONT='Times New Roman']Начал[/FONT][FONT='Times New Roman'] работать[/FONT][FONT='Times New Roman'] скринсейвер[/FONT][FONT='Times New Roman'] в[/FONT][FONT='Times New Roman'] виде[/FONT][FONT='Times New Roman'] "[/FONT][FONT='Times New Roman'] синего[/FONT][FONT='Times New Roman'] экрана[/FONT][FONT='Times New Roman'] смерти[/FONT][FONT='Times New Roman']". [/FONT][FONT='Times New Roman']Из меню монитора исчезли вкладки "рабочий стол" и "заставка". [/FONT]

[FONT='Times New Roman']Предписанные Вами процедуры выполнил, логи прикладываю.[/FONT]
09.07.2008, 01:36
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\KernelDrv.exe','');
QuarantineFile('D:\WINDOWS\system32\mmscptcp.dll','');
QuarantineFile('d:\windows\system32\svchost.exe','');
QuarantineFile('D:\WINDOWS\system32\mssrv32.exe','');
QuarantineFile('D:\WINDOWS\System32\lanmanwrk.exe','');
QuarantineFile('D:\WINDOWS\system32\blphcnraj0et33.scr','');
QuarantineFile('D:\WINDOWS\system32\DRIVERS\beeper.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Winyd83.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Winwc72.sys','');
QuarantineFile('D:\WINDOWS\System32\Drivers\Windi72.sys','');
DeleteFile('D:\WINDOWS\System32\Drivers\Windi72.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Winwc72.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Winyd83.sys');
DeleteFile('D:\WINDOWS\system32\blphcnraj0et33.scr');
DeleteFile('D:\WINDOWS\System32\lanmanwrk.exe');
DeleteFile('D:\WINDOWS\system32\mssrv32.exe');
DeleteFile('D:\WINDOWS\System32\KernelDrv.exe');
BC_ImportAll;
BC_DeleteSvc('Windi72');
BC_DeleteSvc('Winwc72');
BC_DeleteSvc('Winyd83');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=26135[/url]

в АВЗ Файл-- Мастер поиска и устранения проблем решите это:
[quote]>> Internet Explorer - разрешено использование ActiveX, не помеченных как безопасные
>> Internet Explorer - разрешена загрузка подписанных элементов ActiveX без запроса
>> Internet Explorer - разрешена загрузка неподписанных элементов ActiveX
>> Internet Explorer - разрешены автоматические запросы элементов управления ActiveX
>> Internet Explorer - разрешен запуск программ и файлов в окне IFRAME[/quote]

Повторите логи
09.07.2008, 07:35
Аалексей

Вложений: 3

Спасибо!
Все указанное сделал, повторяю логи.
09.07.2008, 10:33
wise-wistful

mssrv32.exe - [b]Backdoor.Win32.Kbot.ee[/b] (удалён)

Записи в Hosts файле Вы делали?
Проблемы какие-то наблюдаются?
09.07.2008, 22:52
Аалексей

К своему стыду, я не знаю, что это за Hosts файл. Так что записей в нем, во всяком случае, сознательно, я не делал.

Проблем, вроде, никаких сейчас нет. Большое Вам спасибо!
09.07.2008, 23:01
wise-wistful

Зазорного в том что Вы не знаете ничего нет.
Значит если не Вы - то враги сделали записи. В АВЗ файл---Восстановление системы, поставьте галочку возле п.13. Очистка файла Hosts, нажмите на кнопку [b]Выполнить отмеченные операции[/b] и АВЗ сбросит настройки Hosts файла на стандартные.
13.07.2008, 22:50
AndreyKa

D:\WINDOWS\system32\mmscptcp.dll - Trojan.PWS.Ibank.7

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\mmscptcp.dll');
BC_DeleteFile('D:\WINDOWS\system32\mmscptcp.dll');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к своей теме.
14.07.2008, 21:58
Аалексей

О, то есть, это необходимо сделать помимо того, что уже было здесь предписано и выполнено ранее?
14.07.2008, 22:39
wise-wistful

Да, это по ответу аналитов о карантине. После предложенного скрипта повторите логи. посмотрим умрёт или нет враг.
14.07.2008, 23:19
Аалексей

А перед выполнением этого дела, соотвественно, отключить антивирус и восстановление системы, да?
15.07.2008, 02:28
pig

Восстановление системы надо было отключить с самого начала лечения. И не включать, пока оно не закончится.
Антивирус - да отключать перед выполнением скриптов.
15.07.2008, 07:12
Аалексей

Вложений: 2

Сделал, логи прикладываю.
15.07.2008, 09:22
AndreyKa

Активного заражения больше не видно. Но кое-что еще осталось.

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
QuarantineFile('D:\Documents and Settings\r\64735.exe','');
QuarantineFile('D:\Documents and Settings\r\957123844.exe','');
QuarantineFile('D:\Documents and Settings\r\957123845.exe','');
DeleteService('SABProcEnum');
DeleteService('Beep');
SetServiceStart('m_hook', 4);
DeleteService('m_hook');
end.
[/code]
Пришлите файлы из карантина AVZ (см. приложение 3 Правил) используя эту ссылку:
[url]http://virusinfo.info/upload_virus.php?tid=26135[/url]

Советую установить SP3 на Windows.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

И пароли на почту, ICQ и прочее поменяйте, на всякий случай.
15.07.2008, 22:26
Аалексей

Скрипт выполнил, карантин выслал.
22.02.2009, 06:26
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\documents and settings\\r\\64735.exe - [B]Trojan.Win32.Vaklik.bvc[/B] (DrWEB: archive: Trojan.PWS.LDPinch.1941)[*] d:\\documents and settings\\r\\957123844.exe - [B]Trojan.Win32.Vaklik.bvc[/B] (DrWEB: archive: Trojan.PWS.LDPinch.1941)[*] d:\\documents and settings\\r\\957123845.exe - [B]Trojan.Win32.Vaklik.bvc[/B] (DrWEB: archive: Trojan.PWS.LDPinch.1941)[*] d:\\windows\\system32\\mmscptcp.dll - [B]Trojan-Banker.Win32.Banker.qnj[/B] (DrWEB: Trojan.PWS.Ibank.7)[*] d:\\windows\\system32\\mssrv32.exe - [B]Backdoor.Win32.Kbot.ee[/B][/LIST][/LIST]