Рабочий стол Warning! Spyware detected on your computer

Printable View

Показывать 40 сообщений этой темы на одной странице

09.07.2008, 21:24
PEPPER

Рабочий стол Warning! Spyware detected on your computer

После посещения одного из сайтов появилась пробелам как у многих .На рабочем столе надпись на синем фоне появилась надпись Warning! Spyware detected on your computer! Install an antivirus or spyware remover to clean your computer. После этого на вкладке свойств рабочего стола пропали закладки "Рабочий стол" и "Заставка". Появляется скринсейвер с имитацией выдачи ошибки в файле *.sys и последующей имитацией перезагрузки.
09.07.2008, 22:59
PavelA

Да, уж. Куча зверья, плю остатки Касперского.
До чего довели бедный компьютер. :(
1.Скачать IceSword.
В нем удалить:
D:\WINDOWS\system32\Drivers\Winxe17.sys
D:\WINDOWS\system32\WinCtrl32.dll
2.Выполнить скрипт:
[CODE]begin
ClearHostsFile;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Documents and Settings\PEPPER.PEPPER14022005\Local Settings\Application Data\jalak-931600215-bali.com','');
DelBHO('{C8A3B994-E27A-42f5-A053-C63799E621FB}');
QuarantineFile('byrone.dll','');
QuarantineFile('K:\Tempor\psyche.exe','');
QuarantineFile('D:\WINDOWS\system32\n7071\sv711600230r.exe','');
QuarantineFile('D:\WINDOWS\system32\mswmsys.dll','');
QuarantineFile('D:\WINDOWS\system32\blphcgdcj0ejj0.scr','');
QuarantineFile('D:\WINDOWS\services.exe','');
QuarantineFile('D:\Program Files\Internet Explorer\shwdltms.bin','');
QuarantineFile('D:\Documents and Settings\PEPPER.PEPPER14022005\Local Settings\Application Data\dv6160020x\yesbron.com','');
DeleteService('Wej06');
DeleteService('Vci51');
DeleteService('Syf06');
DeleteService('Saf16');
DeleteService('Rye16');
DeleteService('Qwc41');
DeleteService('Mub16');
DeleteService('Mty73');
DeleteService('Msy27');
DeleteService('Agl06');
QuarantineFile('D:\WINDOWS\system32\msdnc1.exe','');
DeleteService('ThemesSSDPSRV');
DeleteService('lich');
DeleteService('FCI');
QuarantineFile('D:\WINDOWS\system32\Drivers\Winxe17.sys','');
QuarantineFile('D:\WINDOWS\system32\drivers\mickey32.sys','');
QuarantineFile('D:\WINDOWS\system32\DRIVERS\beeper.sys','');
QuarantineFile('D:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('D:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('D:\WINDOWS\system32\DRIVERS\beeper.sys');
DeleteFile('D:\WINDOWS\system32\Drivers\Winxe17.sys');
DeleteFile('D:\WINDOWS\system32\fci.exe');
DeleteFile('D:\WINDOWS\system32\lich.exe');
DeleteFile('D:\WINDOWS\system32\msdnc1.exe');
DeleteFile('D:\WINDOWS\System32\Drivers\Agl06.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Msy27.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Mty73.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Mub16.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Qwc41.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Rye16.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Saf16.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Syf06.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Vci51.sys');
DeleteFile('D:\WINDOWS\System32\Drivers\Wej06.sys');
DeleteFile('D:\Documents and Settings\PEPPER.PEPPER14022005\Local Settings\Application Data\dv6160020x\yesbron.com');
DeleteFile('D:\Program Files\Internet Explorer\shwdltms.bin');
DeleteFile('D:\WINDOWS\services.exe');
DeleteFile('D:\WINDOWS\system32\blphcgdcj0ejj0.scr');
DeleteFile('D:\WINDOWS\system32\n7071\sv711600230r.exe');
DeleteFile('byrone.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин по [COLOR="Red"]Красной [/COLOR]ссылке.

Сделать новые логи.
10.07.2008, 00:27
PEPPER

Все выполнил. Огромное спасибо.
Логи в приложении.
10.07.2008, 00:52
V_Bond

пофиксите
[code]
R3 - URLSearchHook: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O20 - Winlogon Notify: WinCtrl32 - D:\WINDOWS\
O20 - Winlogon Notify: WLCtrl32 - D:\WINDOWS\
[/code]
выполните скрипт...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\Documents and Settings\PEPPER.PEPPER14022005\Local Settings\Application Data\jalak-931600215-bali.com','');
QuarantineFile('K:\Tempor\psyche.exe','');
QuarantineFile('D:\WINDOWS\system32\userinit.exe','');
BC_DeleteSvc('Beep');
QuarantineFile('D:\WINDOWS\system32\DRIVERS\beeper.sys','');
QuarantineFile('D:\WINDOWS\system32\drivers\mickey32.sys','');
BC_DeleteSvc('ThemesSSDPSRV');
QuarantineFile('D:\WINDOWS\system32\msdnc1.exe','');
DeleteFile('D:\WINDOWS\system32\msdnc1.exe');
DeleteFile('D:\WINDOWS\system32\DRIVERS\beeper.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карнтин согласно приложения 3 правил
повторите логи ...
10.07.2008, 10:04
PavelA

fci.exe_ - Trojan.Win32.Obfuscated.jin (свежий) - удален.

services.exe_ - Trojan.Win32.Pakes.jrs,
WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.all - также удалены.

Что за задание в "Планировщике" знаете?
10.07.2008, 21:20
PEPPER

Пофиксил. Крантин выслал. Логи в приложении.

Нет в планировщике что за зажания не знаю. я туда сам ничего не добавлял.
10.07.2008, 21:37
V_Bond

пофиксите ...
[code]
O21 - SSODL: SysChk - {94A6E551-61BE-490C-86A5-6821E8AD412E} - D:\Program Files\Internet Explorer\shwdltms.bin (file missing)
O21 - SSODL: MSWM - {24B0F496-4150-4D34-B1B6-EE9DD0AA408A} - mswmsys.dll (file missing)
[/code]
D:\WINDOWS\system32\userinit.exe [B]VirTool:Win32/DelfInject.gen!AM[/B]
нужно заменить на чистый из дистрибутива ...

задания в планировщике удалите ...

K:\Tempor\psyche.exe , D:\WINDOWS\system32\kdngu.exe - пришлите согласно приложения 2 правил ...
10.07.2008, 23:04
PavelA

Удаление задания в "Планировщике" - Панель управления - Планировщик.
11.07.2008, 00:58
PEPPER

Подскажите пожайлуста, при замене файла из дистрибутива какие команды надо делать в консоли восстановления.
11.07.2008, 09:17
V_Bond

expand x:\i386\userinit.ex_ y:\windows\system32\userinit.exe
x - буква CD, y - буква диска с windows xp
11.07.2008, 22:32
PEPPER

Сколько раз не пытался. при выполнении команды пишет "не удается создать файл". В чем дело.
11.07.2008, 22:37
V_Bond

приведите точную строку которую вы вводите ....
16.07.2008, 21:04
PEPPER

Точная строка.
expand J:\i386\userinit.ex_ D:\windows\system32\userinit.exe

Здесь фото с монитора в этот момент

[URL]http://i002.radikal.ru/0807/1a/3fd3462a922c.jpg[/URL]

В моем компьютере появилась папка "веб-папки". Раньше ее не было.

Еще такая проблема.
Постоянно сбивается авторизация. Захожу на форумы любые логинюсь. как только закрываю страницу при новом заходе приходится заново логиниться. Также в IE возникает часто окно. "На этой странице произошла ошибка сценария".
16.07.2008, 21:12
V_Bond

убрать веб папки просто ....
[code]
begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
end.
[/code]
нсчет не распаковывает- странно .... возьмите отсюда распакованый [url]http://slil.ru/25985437[/url]
16.07.2008, 21:35
PEPPER

Скопировал через cmd
16.07.2008, 22:50
V_Bond

давайте новые логи ...
16.07.2008, 23:30
PEPPER

Карантин по файлам выслал. файл заменил.
Проблема с ошибками в IE и постоянным сбоем авторизации осталась.
Прикрепляю новые логи.
16.07.2008, 23:45
V_Bond

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\mssrv32.exe','');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{DF780F87-FF2B-4DF8-92D0-73DB16A1543A}');
QuarantineFile('D:\WINDOWS\Downloaded Program Files\popcaploader.dll','');
QuarantineFile('D:\Documents and Settings\PEPPER.PEPPER14022005\Local Settings\Application Data\jalak-931600215-bali.com','');
QuarantineFile('D:\WINDOWS\system32\n7071\sv711600230r.exe','');
QuarantineFile('K:\Tempor\psyche.exe','');
QuarantineFile('K:\Tempor\winlogon.exe','');
QuarantineFile('D:\WINDOWS\system32\ntos.exe','');
QuarantineFile('D:\WINDOWS\system32\kdngu.exe','');
QuarantineFile('D:\WINDOWS\iexplorer.exe','');
DeleteFile('D:\WINDOWS\iexplorer.exe');
DeleteFile('D:\WINDOWS\system32\kdngu.exe');
DeleteFile('D:\WINDOWS\system32\ntos.exe');
DeleteFile('D:\WINDOWS\system32\n7071\sv711600230r.exe');
DeleteFile('D:\WINDOWS\Downloaded Program Files\popcaploader.dll');
DeleteFile('D:\WINDOWS\system32\mssrv32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
17.07.2008, 00:34
PEPPER

Все выполнил.
Новые логи прикрепляю.
17.07.2008, 09:14
V_Bond

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL]D:\WINDOWS\system32\drivers\mickey32.sys, D:\WINDOWS\system32\drivers\Wywh63.sys - force delete
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('mickey32');
DelBHO('{096059FD-99AB-41eb-9E55-59AEB0A3B444}');
QuarantineFile('haskel32.dll','');
QuarantineFile('Wywh63.sys','');
DeleteFile('Wywh63.sys');
BC_DeleteSvc('Wywh63');
DeleteFile('haskel32.dll');
DeleteFile('D:\WINDOWS\system32\drivers\mickey32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...

еще раз справшиваю задания в планировщике ваше ? если нет удалите ....

Показывать 40 сообщений этой темы на одной странице