Warning! Spyware detected on your computer!

Добрый день!

Аналогичная проблема как и у многих сегодня... :(
Появилась заставка на рабочем столе на синем, потом на белом фоне красная заставка с надписью: Warning! Spyware detected on your computer! Install an antivirus or spyware remover to clean your computer.

Warning! Win32/Adware.Virtumonde Detected on your computer - Danger!
Warning! Win32/PrivacyRemover.M64 Detected on your computer - Danger!
Please activate your antivirus software to Clean your computer

Пропала вкладка заставка в свойствах.


А еще через некоторое время антивирус Nod32 находит wigon CK троян, помещает файлы в карантин, но после перезагрузки опять появляется.


Прикладываю необходимые файлы. Подскажите, пожалуйста, пути решения проблемы.

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\System32\drivers\Winnu30.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O2 - BHO: WeeklyExecuter Class - {590FFB84-6A29-4797-9C0E-B15DF2C4CDCB} - (no file)
O4 - HKLM\..\Run: [advap32] "C:\DOCUME~1\4335~1\LOCALS~1\Temp\loader.exe" /r
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winnu30');
DeleteService('WudfSvcTermService');
DeleteService('W32TimeWebClient');
DeleteService('upnphostaspnet_state');
DeleteService('TlntSvr HotKey Poller');
DeleteService('NtmsSvcstisvc');
DeleteService('NOD32krn Smart');
DeleteService('LightScribeServiceHTTPFilter');
DeleteService('lanmanserverNtmsSvc');
DeleteService('Irmonstisvc');
DeleteService('AudioSrvNetman');
DeleteService('AtiDnscache');
DeleteService('aspnet_stateWmi');
DeleteService('ALGHTTPFilter');
DeleteService('WudfSvcNMIndexingService');
QuarantineFile('c:\docume~1\4335~1\applic~1\spamtime\Teamstupidnurb.exe','');
QuarantineFile('C:\DOCUME~1\4335~1\LOCALS~1\Temp\loader.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winnu30.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dl_','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dl_');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Winnu30.sys');
DeleteFile('C:\DOCUME~1\4335~1\LOCALS~1\Temp\loader.exe');
DeleteFile('c:\docume~1\4335~1\applic~1\spamtime\Teamstupidnurb.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winnu30');
BC_DeleteSvc('WudfSvcTermService');
BC_DeleteSvc('W32TimeWebClient');
BC_DeleteSvc('upnphostaspnet_state');
BC_DeleteSvc('TlntSvr HotKey Poller');
BC_DeleteSvc('NtmsSvcstisvc');
BC_DeleteSvc('NOD32krn Smart');
BC_DeleteSvc('LightScribeServiceHTTPFilter');
BC_DeleteSvc('lanmanserverNtmsSvc');
BC_DeleteSvc('Irmonstisvc');
BC_DeleteSvc('AudioSrvNetman');
BC_DeleteSvc('AtiDnscache');
BC_DeleteSvc('aspnet_stateWmi');
BC_DeleteSvc('ALGHTTPFilter');
BC_DeleteSvc('WudfSvcNMIndexingService');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

WinCtrl32.dll - Trojan-Downloader.Win32.Mutant.axq

В приложении новые логи.
Карантин выслал.
Но результат пока все тот же - заставка не исчезает...

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\lphcg4cj0ec58.exe');
QuarantineFile('c:\windows\system32\lphcg4cj0ec58.exe','');
DeleteFile('c:\windows\system32\lphcg4cj0ec58.exe');
DeleteFile('C:\WINDOWS\system32\blphcg4cj0ec58.scr');
BC_ImportAll;
BC_DeleteSvc('seclogon Smart');
BC_DeleteSvc('NtmsSvcstisvcThemes');
BC_DeleteSvc('NlaAlerterALGHTTPFilter');
BC_DeleteSvc('DhcpSSDPSRV');
BC_DeleteSvc('AtiDnscache Smart');
BC_DeleteSvc('AlerterALGHTTPFilter');
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

Повторите логи.

Товаришши, спасибо огромное! Заставка исчезла - вирус вроде как исчез - нервы успокаиваются :> Но вдруг вылезла другая зараза... Маскируется под Antivirus XP 2008, причем я не устанавливал ничего подобного. :O Хрень сканирует комп и находит порядка 3000 вирусов :( Определил ее NOD32. Вот что он писал: "file C:WINDOWS\system32\pphcg4cl0ec58.exe treat: a variant of win32/TrojanDownloader.FakeAlert.FK trojan".

Причем обычным способом не удаляется и ваабче нагло встроилась в автозагрузку... я ее покоцал местами (убрал из автозагрузки и из Program Files), но как бы с ней окончательно разобраться, и вообще почистить комп если вдруг там действительно как-то "незаметно" подцепилось 3000 вирусов :D AVZ хорошо вычистит или надо что-нибудь другое?

P.S. Логи к прошлой заразе прикладываю.

Логи от старой заразы неактуальны, если новая есть. Сделайте 3 лога en status quo.

Rene-gad, так приложенные выше логи и сделаны в тот момент когда вылечил первую (Adware.Virtumonde + PrivacyRemover.M64) и обнаружил вторую ("Antivirus XP 2008"). Или необходимо еще раз сделать логи?

Выполните пункт 2 правил.
Потом скачайте АВПТул (ссылка в подписи) и проверьте систему.


Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('Schedule', 4);
QuarantineFile('c:\docume~1\4335~1\applic~1\spamtime\Teamstupidnurb.exe','');
DeleteFile('c:\docume~1\4335~1\applic~1\spamtime\Teamstupidnurb.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Rene-gad, все сделал как просили! Вроде теперь ничего не должно беспокоить ;) Карантин - выслал, логи - в приложении. Большое спасибо за помощь!! :>

Почистите Планировщик задач и поставьте Сервис Пак 3.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winctrl32.dl_ - [B]Trojan-Dropper.Win32.Mutant.u[/B] (DrWEB: Trojan.DownLoad.3503)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.axq[/B] (DrWEB: Trojan.DownLoad.3503)[/LIST][/LIST]