Win32/Adware.Virtumonde и Win32/PrivacyRemover.M64 | Вот они, эти ребята..

День добрый.

Не было у меня надоедливых вирусов со времён бластера. Пользуюсь последнее время DrWeb.

Вдруг на те, получите. Комп умирает смертью храбрых с синим окном смерти. А при загрузке перед приветствием и на обоях рабочего стола красуется разкрасивейшее окошко этих расчудес. Сменить его нельзя. Одним словом, всё по дефолту. )))
_____________________________________________

Скачал я свежий CureIt, сделал быструю проверку, тот удалил несколько троянчиков. Но проблема не исчезла.

Я погуглил, зашёл на этот форум. В одном из топиков по моей проблеме взял скрипт для AVZ, скачал программу, запустил скрипт, комп ушёл в ребут.

После перезагрузки поменять картинку на рабочем столе уже можно, т.к. в свойствах рабочего стола появилась соответствующая вкладка + остальные. Однако перед приветствием это окошко пару секунд всё равно висит.
_____________________________________________

Я решил, что нужно всё равно выяснить что с компутером творится и постарался сделать всё по вашей инструкции по диагностике.

Извините если наболтал много, или что сделал не так.

Лог файлы в сообщение вложил.
Жду от вас рекомендаций к дальнейшим действиям.

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\secpol.exe,
O20 - Winlogon Notify: fsmgmt - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\secpol.exe','');
DeleteFile('C:\WINDOWS\system32\blphc39oj0eafw.scr');
DeleteFile('C:\WINDOWS\system32\secpol.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('WZCSVCSpooler');
BC_DeleteSvc('WudfSvcVSSNetlogonWZCSVCwscsvcTermService');
BC_DeleteSvc('WudfSvcVSSNetlogonWZCSVCwscsvc');
BC_DeleteSvc('WudfSvcVSSNetlogonWZCSVCVSS');
BC_DeleteSvc('WudfSvcVSSNetlogonWZCSVCSENS');
BC_DeleteSvc('WudfSvcVSSNetlogonWZCSVC');
BC_DeleteSvc('WudfSvcseclogon');
BC_DeleteSvc('wuauservLmHostsSSDPSRV');
BC_DeleteSvc('winmgmtRasAuto');
BC_DeleteSvc('winmgmtProtectedStorage');
BC_DeleteSvc('winmgmtERSvcPolicyAgent');
BC_DeleteSvc('VSSNetlogonWZCSVC');
BC_DeleteSvc('VSSNetlogon');
BC_DeleteSvc('upnphostNtLmSsp');
BC_DeleteSvc('ThemesSysmonLog');
BC_DeleteSvc('TermServiceCryptSvcERSvc');
BC_DeleteSvc('TapiSrvWMPNetworkSvcWmdmPmSN');
BC_DeleteSvc('TapiSrvWMPNetworkSvc');
BC_DeleteSvc('ShellHWDetectionBITSsrservice');
BC_DeleteSvc('SharedAccesshelpsvcRpcSs');
BC_DeleteSvc('SharedAccesshelpsvc');
BC_DeleteSvc('RemoteAccessThemes');
BC_DeleteSvc('RemoteAccess LM Service');
BC_DeleteSvc('RasAutoProtectedStorage');
BC_DeleteSvc('NtLmSspAlerter');
BC_DeleteSvc('Nlawscsvc');
BC_DeleteSvc('NlaLmHostsSSDPSRV');
BC_DeleteSvc('NetmanRemoteAccessThemes');
BC_DeleteSvc('NetDDExmlprov');
BC_DeleteSvc('NetDDEdsdmlanmanserverAlerter');
BC_DeleteSvc('MSDTCTapiSrv');
BC_DeleteSvc('MSDTCBITS');
BC_DeleteSvc('mi-raysat_3dsmax8Nlawscsvc');
BC_DeleteSvc('Messengerstisvc');
BC_DeleteSvc('LmHostsSSDPSRV');
BC_DeleteSvc('LmHostsAudioSrvRasMan');
BC_DeleteSvc('LmHostsAudioSrv');
BC_DeleteSvc('lanmanworkstationLmHostsSSDPSRV');
BC_DeleteSvc('lanmanserverHTTPFilterRDSessMgr');
BC_DeleteSvc('lanmanserverAlerter');
BC_DeleteSvc('HTTPFilterRDSessMgr');
BC_DeleteSvc('EventSystemDcomLaunch');
BC_DeleteSvc('EventlogEventSystemDcomLaunch');
BC_DeleteSvc('Eventlogaspnet_state');
BC_DeleteSvc('ERSvcPolicyAgent');
BC_DeleteSvc('CryptSvcERSvc');
BC_DeleteSvc('CiSvcSPIDERNT');
BC_DeleteSvc('CiSvcEventlog');
BC_DeleteSvc('BrowserupnphostALGBrowserupnphost');
BC_DeleteSvc('Browserupnphost');
BC_DeleteSvc('BrowserNla');
BC_DeleteSvc('BITSsrservice');
BC_DeleteSvc('AutodeskSharedAccess');
BC_DeleteSvc('AtiAppMgmt');
BC_DeleteSvc('ALGBrowserupnphost');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил, если будет не пуст
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=29100[/url]).
Сделайте новые логи, начиная с п.10 правил.

Пофиксил.
Выполнил.
Карантин пуст.

...Логи, второе пришествие. ))

В логах чисто. Проблем больше нет?

Есть проблема - окошко перед приветствием не пропадает. Как убрать?

1. Запустите AVZ, откройте "Мастер поиска и устранения проблем" и исправьте это:
[quote]
>> Нарушение ассоциации SCR файлов
>> Нарушение ассоциации REG файлов[/quote]
2. Выполните такой скрипт:
[code]begin
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
3. Обновите базы AVZ и сделайте новый лог п.8 правил.

Всё равно в течении одной секунды висит картинка Warning!... перед приветствием.

[QUOTE=anti_gluck;276155]Всё равно в течении одной секунды висит картинка Warning!... перед приветствием.[/QUOTE]
Скачайте Malwarebytes Antimalware, скан, ничего не удалять, лог - в студию.

Поищите такой файл: [b]phc39oj0eafw.bmp[/b].
Если найдется - удалите его.

[QUOTE=Bratez;276456]Поищите такой файл:
Если найдется - удалите его.[/QUOTE]И еще такой скрипт попробуйте
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]
После перезагрузки проинформируйте о состоянии ПК.

Скрипт выполнил, картинка пропала.

Потом нашёл phc39oj0eafw.bmp в system32 и удалил. Ибо зачем ему там валяться.

Malwarebytes Antimalware скачивать не стал, так как надобности нет.


Ребят, спасибо большое за помощь.