Система заблокирована.

Printable View

09.07.2009, 13:56
SlyAss

Система заблокирована.

Посмотрите плиз логи. На компе был вирус "система заблокирована, отправьте смс", после использования DRWeb LiveCD, система перестала загружаться(загрузка параметров пользователя, затем сохранение и выход в окно пользователей), восстановил на другом компе Userinit.exe, и соответствующий раздел реестра, комп загрузился, хайджек не запускается, ругается на политики, сделал логи avz, но авз не обновляется.
09.07.2009, 14:01
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('digeste.dll','');
QuarantineFile('crypts.dll','');
QuarantineFile('C:\WIN-XP\system32\avpo.exe','');
QuarantineFile('C:\Documents\Администратор\reader_s.exe','');
DeleteService('protect');
QuarantineFile('C:\WIN-XP\System32\drivers\protect.sys','');
DeleteService('at1394');
QuarantineFile('C:\WIN-XP\system32\at1394.sys','');
QuarantineFile('C:\WIN-XP\system32\sopidkc.exe','');
QuarantineFile('C:\WIN-XP\system32\tdctxte.exe','');
DeleteService('2GIS UpdateClientService');
QuarantineFile('C:\WIN-XP\TEMP\VRT34.tmp','');
QuarantineFile('C:\WIN-XP\system32\drivers\hjgruijouyxpiq.sys','');
DeleteFile('C:\WIN-XP\system32\drivers\hjgruijouyxpiq.sys');
DeleteFile('C:\WIN-XP\TEMP\VRT34.tmp');
DeleteFile('C:\WIN-XP\system32\at1394.sys');
DeleteFile('C:\WIN-XP\System32\drivers\protect.sys');
DeleteFile('C:\Documents\Администратор\reader_s.exe');
DeleteFile('C:\WIN-XP\system32\avpo.exe');
DeleteFile('crypts.dll');
DeleteFile('digeste.dll');
ExecuteRepair(13);
ExecuteRepair(12);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пршлите карантин согласно приложения 3 правил
повторите логи
09.07.2009, 14:36
SlyAss

AVZ обновился, скидываю логи, хайджек не запускается, ругается на политики ограничения применения програмного обеспечения. Не открывается окно активации виндовс (я же винду обновлял, активировать бы :). карантин отправил
09.07.2009, 15:37
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('2d0ed0d-0ee0-4f90-8827-78cefb8f4988');
QuarantineFile('C:\WIN-XP\system32\ieudinit.exe','');
QuarantineFile('C:\WIN-XP\system32\gread32.exe','');
QuarantineFile('C:\WIN-XP\services.exe','');
DeleteService('tdctxte');
DeleteService('sopidkc');
DeleteFile('C:\WIN-XP\system32\sopidkc.exe');
DeleteFile('C:\WIN-XP\system32\tdctxte.exe');
DeleteFile('C:\WIN-XP\services.exe');
DeleteFile('C:\WIN-XP\system32\gread32.exe');
DeleteFile('C:\WIN-XP\system32\ieudinit.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
09.07.2009, 16:02
SlyAss

Сделал. Активация винды пока не открывается, странички в ИЕ тоже.
09.07.2009, 17:12
thyrex

Какой антивирус используете: Symantec или AVG?

Пофиксить в HiJack
[code] R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: (no name) - *{95289393-33EA-4F8D-B952-483415B9C955} - (no file)
R3 - URLSearchHook: (no name) - *{09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O4 - HKLM\..\Run: [reader_s] C:\WIN-XP\System32\reader_s.exe
O20 - AppInit_DLLs: c:\progra~1\ThunMail\testabd.dll
O20 - Winlogon Notify: crypt - C:\WIN-XP\
[/code]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WIN-XP\system32\afisicx.exe','');
QuarantineFile('c:\progra~1\ThunMail\testabd.dll','');
QuarantineFile('C:\WIN-XP\System32\reader_s.exe','');
DeleteFile('C:\WIN-XP\System32\reader_s.exe');
DeleteFile('c:\progra~1\ThunMail\testabd.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
10.07.2009, 14:41
SlyAss

Сделал. Карантин отправил
10.07.2009, 16:06
thyrex

C:\WIN-XP\system32\afisicx.exe проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url] Ссылку на результат проверки сообщите

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]
13.07.2009, 11:42
SlyAss

Лог сделал, такого (C:\WIN-XP\system32\afisicx.exe) файла в системе не нашел.
13.07.2009, 11:57
V_Bond

скопируйте содержимое в блокнот , сохраните как 1.bat , в папке со gmer , запустите
[code]
gmer.exe -del service hjgruipcbfjwxf
gmer.exe -del service SKYNETbitlwmnm
gmer.exe -del file "C:\WINDOWS\system32\drivers\hjgruijouyxpiq.sys"
gmer.exe -del file "C:\WINDOWS\system32\drivers\SKYNETpcxnssrs.sys"
gmer.exe -del file "C:\WINDOWS\system32\hjgruiqyxueqdw.dll"
gmer.exe -del file "C:\WINDOWS\system32\hjgruibrflcnqe.dat"
gmer.exe -del file "C:\WINDOWS\system32\hjgruitfpccfge.dll"
gmer.exe -del file "C:\WINDOWS\system32\hjgruiwswwktus.dat"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETbixeoowk.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETquewannv.dat"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETxfqkbijb.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETctfffvkp.dat"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\SKYNETbitlwmnm"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\hjgruipcbfjwxf"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETbitlwmnm"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\hjgruipcbfjwxf"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\SKYNETbitlwmnm"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\hjgruipcbfjwxf"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet\Services\SKYNETbitlwmnm"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet\Services\hjgruipcbfjwxf"
gmer -reboot
[/code]
повторите лог gmer
13.07.2009, 12:01
SlyAss

батником файлы не удаляются, написано отказано в доступе.
13.07.2009, 12:13
V_Bond

лог gmer где ?
13.07.2009, 12:40
SlyAss

Вот он..... Ответьте пожалуйста, а то уже скоро срок активации кончится (((
15.07.2009, 13:03
SlyAss

Ребят, мне кто-нибудь ответит, или не ждать? 2 дня прошло уже...
15.07.2009, 13:45
thyrex

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\hjgruipcbfjwxf"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\SKYNETbitlwmnm"
gmer -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer
16.07.2009, 13:16
SlyAss

Сделал, лог прикладываю
16.07.2009, 13:46
thyrex

Чисто. Что с проблемой?
16.07.2009, 15:52
SlyAss

не открываются странички в IE. не запускается окно с активацией виндовс.. может сверху переустановить?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 0 минут[/I][/B][/color][/size]

поставил IE 8 . все вроде работает , спасибочки :)
17.07.2009, 15:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\win-xp\system32\drivers\hjgruijouyxpiq.sys - [B]Rootkit.Win32.Pakes.ts[/B] ( BitDefender: Gen:Rootkit.Heur.4018E7A6A6 )[/LIST][/LIST]