Printable View
Warning! Win32/Adware.Virtumonde
Warning! Win32/PrivacyRemover.M64
Завелась такая штука на рабочем столе. В свойствах вкладка Рабочего стола исчезла. Периодически в режиме скринсэйвера пугает "синим экраном" и имитацией перезагрузки.
Прилагаю логи. Спасибо за участие!
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL], C:\WINDOWS\System32\Drivers\Winlq72.sys - force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Master\LOCALS~1\Temp\DELDIR0.EXE','');
BC_DeleteSvc('Winye15');
BC_DeleteSvc('Winpu37');
BC_DeleteSvc('Windh82');
BC_DeleteSvc('poof');
QuarantineFile('C:\WINDOWS\System32\poof','');
BC_DeleteSvc('kprof');
QuarantineFile('C:\WINDOWS\System32\kprof','');
BC_DeleteSvc('asc3550u');
QuarantineFile('asc3550u.sys','');
BC_DeleteSvc('UPShelpsvcIDriverT');
BC_DeleteSvc('UPShelpsvc');
BC_DeleteSvc('upnphostcisvc');
BC_DeleteSvc('RpcSsRpcLocator');
BC_DeleteSvc('RDSessMgrmnmsrvc');
BC_DeleteSvc('oseDnscache');
BC_DeleteSvc('MSDTCUMWdf');
BC_DeleteSvc('MSCSPTISRVUMWdf');
BC_DeleteSvc('mnmsrvcusnjsvc');
BC_DeleteSvc('iPodUPS');
BC_DeleteSvc('EventSystemDhcp');
QuarantineFile('srv.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winlq72.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Winlq72.sys');
DeleteFile('srv.exe');
DeleteFile('asc3550u.sys');
DeleteFile('C:\WINDOWS\System32\kprof');
DeleteFile('C:\WINDOWS\System32\poof');
DeleteFile('C:\WINDOWS\System32\drivers\Windh82.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winpu37.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winye15.sys');
DeleteFile('C:\DOCUME~1\Master\LOCALS~1\Temp\DELDIR0.EXE');
DeleteFile('C:\WINDOWS\system32\blphcar6j0ep7c.scr');
DeleteFile('WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
Спасибо, V Bond!
Полегчало.
Карантин отправил.
Логи прилагаю.
пофиксите ...
[code]
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Winqu37');
DeleteService('Winkp36');
DeleteFile('C:\WINDOWS\System32\drivers\Winkp36.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winqu37.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.bdp[/B] (DrWEB: BackDoor.Bulknet.225)[/LIST][/LIST]