Printable View
При запуске выдаёт два окна с ошибками. Что-то там невозможно найти...LAUNCH~1.EXE и PcSync2.exe
Спустя время (2,3,4 ... или 10 минут) Появляется окошко
Нелицензионная Windows отправьте сообщение...
Окошко прибивается из диспетчера задач Windows при длительном зажатии 'трёх кнопок', иначе диспетчер сразу исчезает. Вроде были жалобы, что и баннер какой-то всплывает с чем-то. Не увидел его.
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\Documents and Settings\КАПИТАН\Application Data\ipmkx.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
Карантин
Файл сохранён как 090622_200612_2001-01-07_4a3fabf473497.zip
Размер файла 560872
MD5 5f65cf6791770ee75aecccb7daad072b
[CODE]Сканирование запущено в 07.01.2001 22:03:01[/CODE]
Установите правильную системную дату. Сейчас 2009-ый год ;)
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis[/URL]
[CODE]
R3 - URLSearchHook: - - - (no file)
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('E:\ДАНЯ\MediaCoder\SysInfo.sys','');
QuarantineFile('c:\documents and settings\КАПИТАН\application data\ipmkx.exe','');
DeleteFile('c:\documents and settings\КАПИТАН\application data\ipmkx.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите[/URL] темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] ([url]http://virusinfo.info/upload_virus.php?tid=48435[/url]) вверху темы (Приложение 3 правил).
- Повторите лог [B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log[/B].
Карантин
Файл сохранён как 090624_182034_virus_4a423632569a5.zip
Размер файла 17377
MD5 a2a8b3a21d285ab451297dfb703ab83c
Выполнил скрипт и думал, что избавились наконец-то от 'блокировки' Windows.
После перезагрузки снова появилось окно "вышлите смс".
Сделал лог syscheck, просмотрел и в логе увидел
[I]C:\Documents and Settings\КАПИТАН\Application Data\vcjac.exe[/I]
Выполнил скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\КАПИТАН\Application Data\vcjac.exe','');
DeleteFile('c:\documents and settings\КАПИТАН\application data\vcjac.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Карантин после этого скрипта (не думаю, что новое что-то, наверняка лишь имя файла изменилось)
Файл сохранён как 090624_182957_2001-01-09_4a42386558a83.zip
Размер файла 6962
MD5 d5d8b8e38b21bad9a435f6568cc5b793
Не фиксится. Появляется вновь.
[CODE]R3 - URLSearchHook: - - - (no file)[/CODE]
А это логи до того, как пытался удалить vcjac.exe
Изменилось не только имя. Это более свежий зловред.
Проведите процедуру, описанную в первом сообщении тут: [url]http://virusinfo.info/showthread.php?t=3519[/url]
Проблема решена?
Проблемы решены. Спасибо.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\капитан\application data\ipmkx.exe - [B]Trojan-Ransom.Win32.SMSer.dc[/B] ( DrWEB: Trojan.Winlock.119 )[*] c:\documents and settings\капитан\application data\vcjac.exe - [B]Trojan-Ransom.Win32.SMSer.dq[/B] ( DrWEB: Trojan.Winlock.125 )[*] c:\windows\system32\ntos.exe - [B]Trojan-Dropper.Win32.Wlord.gen[/B] ( BitDefender: Gen:Trojan.Heur.Dropper.22A15E5E5E )[/LIST][/LIST]