PrivacyRemover

Printable View

20.09.2008, 09:45
Ins1de

Вложений: 3

Win32/adware.virtumonde и Win32/PrivacyRemover

Здравствуйте. Проблема аналогичная [url]http://virusinfo.info/showthread.php?t=30318[/url] На моём рабочем столе появилось сообщение "Warning! Spyware detected on your computer
Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64" и еще одна проблема аналогичная этой [url]http://virusinfo.info/showthread.php?t=30514[/url] тоже начали пропадать вкладки "Рабочий стол" и "Заставка" в Свойствах меню "Экран". Также заметно увеличился расход трафика.Заранее спасибо за оказанную помощь.
20.09.2008, 12:37
AndreyKa

Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
DelBHO('{040BA7F9-CDC9-4F2A-BAFD-5B13501B2DAD}');
DelBHO('{46B216B6-B41A-4636-9C79-519F91956B22}');
DelBHO('{987c654d-6b6b-4451-a084-6a605b2ad082}');
QuarantineFile('C:\WINDOWS\wnslvxtf.dll','');
QuarantineFile('C:\WINDOWS\system32\lphc5s4j0e749.exe','');
QuarantineFile('C:\Program Files\rhc1s4j0e749\rhc1s4j0e749.exe','');
QuarantineFile('C:\Program Files\Gay-Lesbian-Photo\Gay-Lesbian-Photo.exe','');
BC_DeleteSVC('Winnt62');
BC_DeleteSVC('Winqx86');
BC_DeleteSVC('Winub40');
BC_DeleteSVC('Winuc64');
BC_DeleteSVC('Winvd41');
BC_DeleteSVC('Winvd42');
BC_DeleteSVC('Winci40');
BC_DeleteSVC('Wincj18');
BC_DeleteSVC('Windk07');
BC_DeleteSVC('Windk28');
BC_DeleteSVC('Winel20');
BC_DeleteSVC('Winfm85');
BC_DeleteSVC('Wingl51');
BC_DeleteSVC('Winhm52');
BC_DeleteSVC('Winio16');
BC_DeleteSVC('Winkr75');
BC_DeleteSVC('Winls07');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\96EW.sys','');
BC_DeleteSVC('SysmonLogATKKeyboardService');
BC_DeleteSVC('SwPrvLmHosts');
BC_DeleteSVC('ShellHWDetectionseclogon');
BC_DeleteSVC('RSVPwuauserv');
BC_DeleteSVC('RemoteRegistryALG');
BC_DeleteSVC('NtmsSvcwscsvc');
BC_DeleteSVC('AudioSrvCOMSysApp');
BC_DeleteSVC('DcomLaunchaspnet_state');
QuarantineFile('C:\WINDOWS\system32\xheygy.dll','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\sqioawys.dll','');
QuarantineFile('C:\WINDOWS\system32\qoMfgDSK.dll','');
QuarantineFile('C:\WINDOWS\system32\mlJAQHaB.dll','');
QuarantineFile('C:\WINDOWS\system32\jmxfreeb.dll','');
QuarantineFile('C:\WINDOWS\System32\ecwzlw.dll','');
DeleteFile('C:\WINDOWS\System32\ecwzlw.dll');
DeleteFile('C:\WINDOWS\system32\jmxfreeb.dll');
DeleteFile('C:\WINDOWS\system32\mlJAQHaB.dll');
DeleteFile('C:\WINDOWS\system32\qoMfgDSK.dll');
DeleteFile('C:\WINDOWS\system32\sqioawys.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\xheygy.dll');
DeleteFile('C:\Program Files\Gay-Lesbian-Photo\Gay-Lesbian-Photo.exe');
DeleteFile('C:\Program Files\rhc1s4j0e749\rhc1s4j0e749.exe');
DeleteFile('C:\WINDOWS\system32\blphc5s4j0e749.scr');
DeleteFile('C:\WINDOWS\system32\lphc5s4j0e749.exe');
DeleteFile('C:\WINDOWS\wnslvxtf.dll');
DeleteFile('WinCtrl32.dll');
DeleteFile('qoMfgDSK.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 2 Правил) используя эту ссылку:
[url]http://virusinfo.info/upload_virus.php?tid=30531[/url]

[b]Обновите базы AVZ[/b].
Сделайте новые логи Диагностики и приложите их к этой теме.
20.09.2008, 13:08
Ins1de

Выполнил скрипт,перезагрузился,а какие именно файлы прислать, у меня их 13.
20.09.2008, 13:12
Гриша

Все и присылайте...
20.09.2008, 14:59
Ins1de

Вложений: 3

Файлы из карантина отосланы, обновленные логи прикрепил.
20.09.2008, 15:26
Rene-gad

Эти файлы Вам известны? Если нет - добавьте эти строчки в середину скрипта.
[CODE] QuarantineFile('C:\Documents and Settings\CELERON\Мои документы\Treiners for games\pwziso.exe','');
QuarantineFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\workshelf.exe','');
QuarantineFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\nextstart.exe','');
DeleteFile('C:\Documents and Settings\CELERON\Мои документы\Treiners for games\pwziso.exe');
DeleteFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\nextstart.exe');
DeleteFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\workshelf.exe');[/CODE]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\WildTangent\Apps\CDA\CDALogger0402.dll','');
QuarantineFile('C:\WINDOWS\wt\webdriver\4.1.1\webdriver.dll','');
QuarantineFile('C:\WINDOWS\system32\mlJAQHaB.dll','');
QuarantineFile('C:\WINDOWS\system32\qoMfgDSK.dll','');
QuarantineFile('xheygy.dll','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\lphc5s4j0e749.exe','');
QuarantineFile('C:\WINDOWS\system32\blphc5s4j0e749.scr','');
QuarantineFile('C:\Program Files\Antivirus 2008 PRO\antivirus-2008pro.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winxd38.sys','');
QuarantineFile('c:\windows\system32\drivers\968.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd38.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\96EW.sys','');
DeleteService('Winxd38');
DeleteService('96EW');
DeleteService('NtmsSvcNetDDEdsdm');
DeleteService('mnmsrvcAudioSrvCOMSysApp');
DelBHO('{dfbeb35b-444d-4f25-8d7d-eb2683c206ec}');
DelBHO('{E0E899AB-F487-11D5-8D29-0050BA6940E3}');
DelBHO('{5F56C871-E867-4036-AD2F-52787ED30A94}');
DelBHO('{040BA7F9-CDC9-4F2A-BAFD-5B13501B2DAD}');
DeleteFile('c:\windows\system32\drivers\968.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\Winxd38.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\96EW.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxd38.sys');
DeleteFile('C:\Program Files\Antivirus 2008 PRO\antivirus-2008pro.exe');
DeleteFile('C:\WINDOWS\system32\blphc5s4j0e749.scr');
DeleteFile('C:\WINDOWS\system32\lphc5s4j0e749.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('xheygy.dll');
DeleteFile('C:\WINDOWS\system32\qoMfgDSK.dll');
DeleteFile('C:\WINDOWS\system32\mlJAQHaB.dll');
DeleteFile('C:\WINDOWS\wt\webdriver\4.1.1\webdriver.dll');
DeleteFile('C:\Program Files\WildTangent\Apps\CDA\CDALogger0402.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winxd38');
BC_DeleteSvc('96EW');
BC_DeleteSvc('NtmsSvcNetDDEdsdm');
BC_DeleteSvc('mnmsrvcAudioSrvCOMSysApp');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
20.09.2008, 17:21
Ins1de

Вложений: 3

Файл из карантина отослал,повторные логи прикнепил.
20.09.2008, 17:35
Rene-gad

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\System32\Drivers\Winxd38.sys
C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
[COLOR="Red"][SIZE="4"]- Системное восстановление.[/SIZE][/COLOR]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd38.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('c:\windows\system32\drivers\187.exe','');
DeleteService('Winxd38');
DeleteService('Nla UpdateClientService');
DeleteService('ERSvcInCDsrv');
DeleteService('DcomLaunchrpcapd');
DeleteFile('c:\windows\system32\drivers\187.exe');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxd38.sys');
DeleteFile('WinCtrl32.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winxd38');
BC_DeleteSvc('Nla UpdateClientService');
BC_DeleteSvc('ERSvcInCDsrv');
BC_DeleteSvc('DcomLaunchrpcapd');
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
21.09.2008, 02:57
Ins1de

Вложений: 3

Файл из карантина отослал,повторные логи прикрепил.
21.09.2008, 09:43
Гриша

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]O20 - Winlogon Notify: qoMfgDSK - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe','');
DeleteService('RpcLocatorSamSs');
DeleteService('RemoteAccessaspnet_state');
DeleteService('ERSvcInCDsrv');
DeleteService('DcomLaunchrpcapd');
DeleteFile('C:\Program Files\Dr.Web\Winxd38.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('RpcLocatorSamSs');
BC_DeleteSvc('RemoteAccessaspnet_state');
BC_DeleteSvc('ERSvcInCDsrv');
BC_DeleteSvc('DcomLaunchrpcapd');
BC_Activate;
ExecuteRepair(5 );
ExecuteRepair(6 );
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
21.09.2008, 13:19
Ins1de

Вложений: 3

Пофиксил,файлы из карантина отослал,повторные логи прикрепил.После того как пофиксил в папке HiJackThis появилась папка backups её тоже отослать?.Появились изменения,исчезла заставка на рабочем столе в виде "Warning!.Появились вкладки в Свойствах меню экрана.
21.09.2008, 14:59
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: qoMfgDSK - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/CODE]
Какие еще поблемы?
21.09.2008, 15:20
Ins1de

Пытался пофиксить "O20 - Winlogon Notify: qoMfgDSK - C:\WINDOWS\"
"O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\" но их не оказалось в списке.Проблем больше нет,всё работает.
21.09.2008, 15:21
Гриша

Нет так нет :)
21.09.2008, 15:29
Ins1de

AndreyKa, Гриша, Rene-gad. ОГРОМНОЕ Вам Спасибо.За Ваше терпение,за то что выслушали меня и за вашу помощь.Еще раз СПАСИБО.
22.02.2009, 08:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]127[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\celeron\\мои документы\\моя музыка\\dddd\\xtreme\\nextstart.exe - [B]Backdoor.Win32.Agent.sjj[/B] (DrWEB: BackDoor.Wsx.1)[*] c:\\documents and settings\\celeron\\мои документы\\моя музыка\\dddd\\xtreme\\workshelf.exe - [B]Backdoor.Win32.Agent.sjk[/B] (DrWEB: BackDoor.Wsx.2)[*] c:\\windows\\system32\\blphc5s4j0e749.scr - [B]Trojan.Win32.FraudPack.ijv[/B] (DrWEB: Trojan.Fakealert.1321)[*] c:\\windows\\system32\\ecwzlw.dll - [B]not-a-virus:AdWare.Win32.SuperJuan.eer[/B] (DrWEB: Trojan.DnsChange.988)[*] c:\\windows\\system32\\jmxfreeb.dll - [B]not-a-virus:AdWare.Win32.SuperJuan.ees[/B] (DrWEB: Trojan.DnsChange.988)[*] c:\\windows\\system32\\lphc5s4j0e749.exe - [B]Backdoor.Win32.Frauder.fb[/B] (DrWEB: Trojan.Packed.638)[*] c:\\windows\\system32\\mljaqhab.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.alep[/B] (DrWEB: Trojan.Virtumod.1413)[*] c:\\windows\\system32\\qomfgdsk.dll - [B]Trojan.Win32.Monderb.oii[/B] (DrWEB: Trojan.Virtumod.based.18)[*] c:\\windows\\system32\\sqioawys.dll - [B]Trojan.Win32.Monder.psx[/B] (DrWEB: Trojan.Virtumod.468)[*] c:\\windows\\system32\\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.blt[/B] (DrWEB: BackDoor.Bulknet.225)[*] c:\\windows\\system32\\xheygy.dll - [B]not-a-virus:AdWare.Win32.SuperJuan.ees[/B] (DrWEB: Trojan.DnsChange.988)[/LIST][/LIST]