Trojan.Winlock 160

[URL]http://news.drweb.com/show/?i=304&c=9&p=0[/URL] Вот здесь определил что Trojan.Winlock.160 Ввел код разблокировки который был выдан на странице... разблокировался... что теперь с этим ящиком делать? Как избавиться от этой гадасти? Вот логи...

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('0661.PIF','');
DeleteFile('0661.PIF');
QuarantineFile('C:\WINDOWS\system32\geyekrhhpdpalq.dll','');
QuarantineFile('G:\2c4sq.exe','');
QuarantineFile('crypt.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\crypt.dll','');
TerminateProcessByName('c:\windows\system32\csrcs.exe');
QuarantineFile('c:\windows\system32\csrcs.exe','');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\crypt.dll');
DeleteFile('crypt.dll');
DeleteFile('csrcs.exe');
DeleteFile('G:\2c4sq.exe');
DeleteFile('C:\WINDOWS\systemroot\system32\geyekrhhpdpalq.dll');
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 1, 1, true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(6);
ExecuteREpair(8);
ExecuteREpair(9);
ExecuteREpair(11);
ExecuteREpair(13);
ExecuteREpair(16);
ExecuteREpair(17);
ExecuteWizard('TSW', 1, 1, true);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксить в HiJack
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.APEHA.ru[/CODE]

Сделайте новые логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]

[QUOTE='thyrex;437081']Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы[/QUOTE]
Выполнено:
Результат загрузки
Файл сохранён как 090724_123602_virus_4a697272d1889.zip
Размер файла 1786550
MD5 8aa9e1ed1b6a648eb6fa533e0fbaf550

Файл закачан, спасибо!

[QUOTE='thyrex;437081']Пофиксить в HiJack

Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://www.APEHA.ru[/url][/QUOTE]
Как это правильно сделать?

Вот так [url]http://virusinfo.info/showthread.php?t=4491[/url]

[QUOTE='thyrex;437111']Вот так [url]http://virusinfo.info/showthread.php?t=4491[/url] [/QUOTE]
Сделано!!! На этом ящике выполняется подключение к провайдеру через PPPoE соединение, и сейчас постояно пытаеться соединиться... так как сеть не подключена выдаються ошибки подсоединения...

[QUOTE='thyrex;437081']Пофиксить в HiJack

Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://www.APEHA[/url][/QUOTE]
Выполнено

[QUOTE='thyrex;437081']Сделайте новые логи + лог gmer [/QUOTE]
Сделано

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%systemroot%\system32\geyekrhhpdpalq.dll','');
DeleteFile('%\systemroot%\system32\geyekrhhpdpalq.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Выполнено.

Результат загрузки
Файл сохранён как 090724_162339_virus_4a69a7cbf0bc3.zip
Размер файла 1786604
MD5 d740b313d7292216aa310ab7de6b9b6a

Файл закачан, спасибо!

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%systemroot%\system32\drivers\geyekrkbphxllr.sys','');
QuarantineFile('%systemroot%\system32\geyekrhhpdpalq.dll','');
DeleteFile('%systemroot%\system32\geyekrhhpdpalq.dll');
DeleteFile('%systemroot%\system32\drivers\geyekrkbphxllr.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Выполнено
Результат загрузки
Файл сохранён как 090724_190118_virus_4a69ccbe0e35c.zip
Размер файла 1853022
MD5 2125574aa958e03986e46068293042e7

Файл закачан, спасибо!

Еще раз лог gmer сделайте

Сделано

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del service geyekrqmimxfum
gmer.exe -del file "c:\windows\system32\drivers\geyekrkbphxllr.sys"
gmer.exe -del file "c:\windows\system32\geyekrblotepxm.dll"
gmer.exe -del file "c:\windows\system32\geyekrwuyguepx.dat"
gmer.exe -del file "c:\windows\system32\geyekrhhpdpalq.dll"
gmer.exe -del file "c:\windows\system32\geyekrbdubrqph.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\geyekrqmimxfum"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\geyekrqmimxfum"
gmer.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

P.S. Если в процессе выполнения скрипта будут сообщения об ошибках, не обращайте на них внимания

[QUOTE]Сделать новый лог gmer[/QUOTE]
Готово

В логе чисто. Что с проблемой?

То есть можно считать, что ящик выл[COLOR="Red"]е[/COLOR]чен?

[QUOTE='thyrex;437641']В логе чисто[/QUOTE]

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Adobe Acrobat 9.1 или удалите старый

Как найти, что вызывает постоянно подключение PPPoE. Все время пытается самостоятельно подключиться к инету....

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]58[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\crypt.dll - [B]P2P-Worm.Win32.Agent.vu[/B] ( DrWEB: BackDoor.Siggen.503, BitDefender: Generic.Malware.SN!!g.57C4C84F )[*] c:\windows\system32\csrcs.exe - [B]Packed.Win32.Klone.bj[/B] ( DrWEB: Win32.HLLW.Autohit.3438 )[*] c:\windows\system32\drivers\geyekrkbphxllr.sys - [B]Backdoor.Win32.Neakse.bfe[/B] ( DrWEB: BackDoor.Geyekr.2, BitDefender: Trojan.CryptRedol.Gen.3 )[*] g:\2c4sq.exe - [B]P2P-Worm.Win32.Agent.vu[/B] ( DrWEB: Trojan.MulDrop.32566, BitDefender: Gen:Trojan.Heur.03946B7A7A )[/LIST][/LIST]