Вирус требует активацию ОС

Printable View

07.08.2009, 13:38
nor5-asui

Вирус требует активацию ОС

Здравствуйте! У меня такая проблема, при загрузке ОС, после приветствия выходит темное окно с предупреждением что не лицензионная ОС и предложение отослать СМС. Зайти могу только в защищеном режиме, CureIT не запускается. Понятно что это вирус, он много у кого попадался...

Помогите пожалуйста!!!
07.08.2009, 14:04
AndreyKa

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
ExecuteRepair(9);
ExecuteRepair(13);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('1736.PIF','');
QuarantineFile('setuprs1.PIF','');
QuarantineFile('C:\WINDOWS\system32\regsvr32','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\Windows\Media\sound.exe','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('scvhost.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bpfeed.dll','');
DelBHO('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
DelCLSID('{9D64F819-9380-8473-DAB2-702FCB3D7A3E}');
QuarantineFile('C:\Program Files\RuPass\RuPass.dll','');
QuarantineFile('C:\Program Files\RuPass\RuPass.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\ovfsthkyiseqncxb.tmp','');
QuarantineFile('\\?\globalroot\systemroot\system32\hjgruitauubxom.dll','');
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\Program Files\Lantronix\Redirector\red32.exe','');
DeleteService('sysdrv32');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\sysdrv32.sys');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\sbsgn_cont_inst.bat');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
DeleteFile('\\?\globalroot\systemroot\system32\hjgruitauubxom.dll');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\ovfsthkyiseqncxb.tmp');
DeleteFile('C:\Program Files\RuPass\RuPass.exe');
DeleteFile('C:\Program Files\RuPass\RuPass.dll');
SysCleanAddFile('%USERPROFILE%\Application Data\bpfeed.dll');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bpfeed.dll');
DeleteFile('scvhost.exe');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\Windows\Media\sound.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Загрузите компьютер в [B]Нормальном режиме[/B].
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
[b]Обновите базы AVZ![/b]
Сделайте новые логи AVZ и приложите к этой теме.

Установите Adobe Acrobat 9.1 или удалите старый.
Обновите Java.
07.08.2009, 14:08
thyrex

+ к предыдущему

Лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] еще предоставьте
07.08.2009, 14:37
nor5-asui

Логи

Высылаю новые логи
07.08.2009, 15:23
AndreyKa

[b]Отключите службу восстановления системы[/b] (см. Приложение 1 Правил).

Закройте все программы. Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\alil.dll','');
DelBHO('{954A0637-9147-4b5e-964E-9F20E58FC29D}');
DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}');
QuarantineFile('\systemroot\system32\drivers\aliserv3.sys','');
QuarantineFile('\systemroot\system32\drivers\hjgruiuwsoexje.sys','');
DeleteFile('\\?\globalroot\systemroot\system32\hjgruitauubxom.dll');
DeleteFile('\systemroot\system32\drivers\hjgruiuwsoexje.sys');
DeleteFile('\systemroot\system32\drivers\aliserv3.sys');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
SysCleanAddFile('WinCtrl32.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите карантин через ссылку [b][color=red]Прислать запрошенный карантин [/color][/b] вверху темы, как написано в приложении 3 Правил.
[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis следующие строки:
[quote]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O2 - BHO: ConnectionServices module - {6D7B211A-88EA-490c-BAB9-3600D8D7C503} - C:\Program Files\ConnectionServices\ConnectionServices.dll (file missing)
O2 - BHO: RuPass module - {954A0637-9147-4b5e-964E-9F20E58FC29D} - C:\Program Files\RuPass\RuPass.dll (file missing)
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/quote]
Cделайте новый лог HijackThis.
Сделайте новый лог по пункту 2 Диагностики и приложите к этой теме.
07.08.2009, 15:26
thyrex

+ к предыдущему

Лог gmer тоже не забудьте
07.08.2009, 17:57
nor5-asui

Логи

Высылаю логи. gmer только слишком долго сканирует дис С...
07.08.2009, 18:16
nor5-asui

И еще, этот компьютер почему-то не дает другому выходить в инет через себя!!!!
Не обьясните как исправить это?
07.08.2009, 19:41
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\hjgruiuwsoexje.sys','');
DeleteFile('c:\windows\system32\drivers\hjgruiuwsoexje.sys');
QuarantineFile('c:\windows\system32\drivers\SKYNETibabwewx.sys','');
DeleteFile('c:\windows\system32\drivers\SKYNETibabwewx.sys');
QuarantineFile('C:\WINDOWS\system32\qvoca.dll','');
DeleteFile('C:\WINDOWS\system32\qvoca.dll');
QuarantineFile('c:\windows\system32\hjgruiscxoymrm.dll','');
DeleteFile('c:\windows\system32\hjgruiscxoymrm.dll');
QuarantineFile('c:\windows\system32\hjgruitauubxom.dll','');
DeleteFile('c:\windows\system32\hjgruitauubxom.dll');
QuarantineFile('c:\windows\system32\SKYNETdkbxthws.dll','');
DeleteFile('c:\windows\system32\SKYNETdkbxthws.dll');
QuarantineFile('c:\windows\system32\SKYNETmcvmpjwm.dll','');
DeleteFile('c:\windows\system32\SKYNETmcvmpjwm.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del service hjgruixdkbwqwb
gmer.exe -del service pcley
gmer.exe -del service SKYNETrftidvis
gmer.exe -del file "c:\windows\system32\drivers\hjgruiuwsoexje.sys"
gmer.exe -del file "c:\windows\system32\hjgruiscxoymrm.dll"
gmer.exe -del file "c:\windows\system32\hjgruiwiemliwk.dat"
gmer.exe -del file "c:\windows\system32\hjgruitauubxom.dll"
gmer.exe -del file "c:\windows\system32\hjgruiplyfqywj.dat"
gmer.exe -del file "C:\WINDOWS\system32\qvoca.dll"
gmer.exe -del file "c:\windows\system32\drivers\SKYNETibabwewx.sys"
gmer.exe -del file "c:\windows\system32\SKYNETdkbxthws.dll"
gmer.exe -del file "c:\windows\system32\SKYNETtimnryel.dat"
gmer.exe -del file "c:\windows\system32\SKYNETmcvmpjwm.dll"
gmer.exe -del file "c:\windows\system32\SKYNETdfiqjoew.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\hjgruixdkbwqwb"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\pcley"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETrftidvis"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\hjgruixdkbwqwb"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\pcley"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETrftidvis"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\hjgruixdkbwqwb"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\pcley"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\SKYNETrftidvis"
gmer.exe -reboot[/CODE]И запустите cleanup.bat. Компьютер перезагрузится!

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог gmer
08.08.2009, 19:41
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор\application data\bpfeed.dll - [B]Trojan-Ransom.Win32.Hexzone.grl[/B] ( DrWEB: Trojan.Click.24339, BitDefender: Trojan.Generic.1674266 )[*] c:\documents and settings\администратор\local settings\temp\ovfsthkyiseqncxb.tmp - [B]Trojan.Win32.Agent.bxlb[/B] ( DrWEB: BackDoor.Tdss.115, BitDefender: Trojan.Generic.1839046 )[*] c:\program files\rupass\rupass.dll - [B]not-a-virus:AdWare.Win32.RuPorn.g[/B] ( DrWEB: Adware.Rupass, BitDefender: Trojan.Generic.1001036 )[*] c:\program files\rupass\rupass.exe - [B]not-a-virus:AdWare.Win32.RuPorn.e[/B] ( DrWEB: Adware.Rupass, BitDefender: Trojan.Generic.824649 )[*] c:\windows\media\sound.exe - [B]Trojan-Ransom.Win32.SMSer.hu[/B] ( DrWEB: Trojan.Winlock.223 )[*] c:\windows\system32\drivers\hjgruiuwsoexje.sys - [B]Trojan.Win32.Tdss.aiol[/B] ( DrWEB: BackDoor.Tdss.266, BitDefender: Trojan.CryptRedol.Gen.3 )[*] c:\windows\system32\winctrl32.dll - [B]Trojan-Downloader.Win32.Mutant.byf[/B] ( DrWEB: BackDoor.Bulknet.314, BitDefender: Trojan.Dropper.Kobcka.Gen.1 )[*] \\?\globalroot\systemroot\system32\hjgruitauubxom.dll - [B]Trojan.Win32.Agent.crez[/B] ( DrWEB: BackDoor.Tdss.333, BitDefender: Trojan.CryptRedol.Gen.2 )[/LIST][/LIST]