Trojan-Ransom.Win32.SMSer.dm

Добрый день!
И вновь один из компьютеров в сети словил заразу.
Не так давно предприятие перешло с Trend Office Scan на DrWeb.
И одна из машин словила вирус с блокировочным экраном (с просьбой отправить смс). Удаленным доступом удалил подозрительный процесс.
По названию процесса нашел файл вируса на компьютере и с помощью AVZ скопировал в карантин. Предварительно проверил файлы через virustotal, где и взял название заразы по Касперскому.
Собрал логи для проверки. Действий по удалению подозрительных файлов не предпринимал. Прошу помощи хэлперов.

День добрый.
Откройте AVZ - "Файл" - "Мастер поиска и устранения проблем" - запустите поиск и исправьте...
>> Нарушение ассоциации SCR файлов
>> Заблокированы настройки системы System Restore
Далее [URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]!!!
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINNT\system32\DWRCST.exe','');
QuarantineFile('C:\Documents and Settings\skomorokhova_ov\Application Data\iurqy.exe','');
DeleteFile('C:\Documents and Settings\skomorokhova_ov\Application Data\iurqy.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузиться!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"]Прислать запрошенный карантин[/COLOR] вверху темы
Повторите логи [B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log[/B].

[QUOTE=DefesT;421451]День добрый.
Откройте AVZ - "Файл" - "Мастер поиска и устранения проблем" - запустите поиск и исправьте...
>> Нарушение ассоциации SCR файлов[/QUOTE]
Это ассоциации созданы программой Autodesk AutoCAD. Их отключение не имеет смысла ...
[QUOTE] QuarantineFile('C:\WINNT\system32\DWRCST.exe','');
[/QUOTE]
Это файл программы удаленного доступа DameWare Utilites.
Она нужна и здорова. Но с карантином подготовлю вам.
[QUOTE]QuarantineFile('C:\Documents and Settings\skomorokhova_ov\Application Data\iurqy.exe','');
[/QUOTE]
Этот файл уже отправлен с первым карантином.
Я конечно выполню то, что Вы написали.
Но логи смогу выполнить только к завтрашнему дню. Человек работать надо. План у нее. А проверка идет порядка 4-5 часов ...

[QUOTE]Далее Отключите восстановление системы!!![/QUOTE]
А на Win 2000 разве есть?

[size="1"][color="#666686"][B][I]Добавлено через 5 часов 7 минут[/I][/B][/color][/size]

Карантин:
Файл сохранён как 090623_162431_virus_4a40c97f3e183.zip
Размер файла 64129
MD5 f89d8441310a94785ceb96189ed7040c

AVZ поставлен на сбор информации.

Скрипт выполнен.
Логи прилагаются

Прошу прощение за назойливость ... вы о нашей проблеме не забыли?

Что с проблемой?

[QUOTE=CandyMAN;421496]Это ассоциации созданы программой Autodesk AutoCAD. Их отключение не имеет смысла ... [/QUOTE]
Не исправляйте.

[QUOTE]Это файл программы удаленного доступа DameWare Utilites.
Она нужна и здорова. Но с карантином подготовлю вам.[/QUOTE]
Повторно не надо было ..


[QUOTE]Я конечно выполню то, что Вы написали.
Но логи смогу выполнить только к завтрашнему дню. Человек работать надо. План у нее. А проверка идет порядка 4-5 часов ...[/QUOTE]
Повторно можно выполнять логи начиная с пункта 2, что существенно сократит время.

[QUOTE]
А на Win 2000 разве есть?[/QUOTE]
Нет :)

Ответ по карантину:
[CODE]expinst.exe_

Вредоносный код в файле не обнаружен.

iurqy.exe_, xunqhz.exe_ - Trojan-Ransom.Win32.SMSer.dm[/CODE]

[QUOTE=thyrex;422853]Что с проблемой?[/QUOTE]
Да вроде как нет уже проблемы.
Получается, что этот вирус не имеет потаенных хвостов?

[QUOTE=Alex_Goodwin]Повторно можно выполнять логи начиная с пункта 2, что существенно сократит время.[/QUOTE]
Спасибо. Учту в дальнейшем. Иногда действительно стоит перечитывать правила :) ... иногда в них появляется что-то новое.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\skomorokhova_ov\application data\iurqy.exe - [B]Trojan-Ransom.Win32.SMSer.dm[/B][*] c:\xunqhz.exe - [B]Trojan-Ransom.Win32.SMSer.dm[/B][/LIST][/LIST]