Похоже "Вымогатель", требует СМС

Printable View

19.08.2009, 11:45
Deniz_S

Похоже "Вымогатель", требует СМС

Здравствуйте, у меня опять проблема...

При загрузке компьютера виден синий экран на котором написано, что используется нелицензионная версия виндовз и просит отправить смс на 32 рубля (!) чтобы разблокировать. В безопасном режиме под профилем пользователя - тоже самое. Логи сделала в безопасном режиме под профилем администратора.
19.08.2009, 12:56
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\Media\sound.exe','');
QuarantineFile('C:\WINDOWS\system32\csrcs.exe','');
DeleteFile('C:\WINDOWS\system32\csrcs.exe');
DeleteFile('C:\Windows\Media\sound.exe');
BC_ImportDeletedList;
ExecuteRepair(16);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]".

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить.

Проверьте загрузку в обычном режиме. Если заходит, то логи повторите.
19.08.2009, 13:11
Deniz_S

Пока ждала от вас ответ, нашла на вашем форуме ссылку на Веб, где описываются все winLocker'ы .

[url]http://news.drweb.com/show/?i=304&c=9&p=0[/url]

Правда поего сообщения "getcont39505" там нет, но пароль 0000000 помог.
На всякий случай выполнила ваш скрипт, карантин загрузила

Файл сохранён как 090819_130820_virus_4a8bc104da3cf.zip
Размер файла 1628154
MD5 7706a59a36483fc02d9e65b914babf2e
Файл закачан, спасибо!

В нормальном режиме заходит, делаю логи...

[size="1"][color="#666686"][B][I]Добавлено через 32 секунды[/I][/B][/color][/size]

Через мастер всё пофиксила

вот логи, антивирус не запускается >:(
19.08.2009, 13:34
Rene-gad

[QUOTE=Deniz_S;451697]
Через мастер всё пофиксила[/QUOTE]
Очевидно - не все :)

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
StopService('kbiwkmxmpjpyat');
QuarantineFile('C:\WINDOWS\system32\drivers\kbiwkmptnvpmhf.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\kbiwkmptnvpmhf.sys');
DeleteService('kbiwkmxmpjpyat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
BC_DeleteSvc('kbiwkmxmpjpyat');
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
19.08.2009, 15:03
Deniz_S

Всё сделала, похоже эта дрянь подменяет антивирь... ;)

[SIZE=2]Файл сохранён как[/SIZE][SIZE=2]090819_150210_virus_4a8bdbb209f0b.zip[/SIZE][SIZE=2]Размер файла[/SIZE][SIZE=2]66166[/SIZE][SIZE=2]MD5[/SIZE][SIZE=2]aa54dd9865b49a2fe661d9425350635e[/SIZE]
Логи
19.08.2009, 15:22
light59

В AVZ
[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\kbiwkmvnrdfnfm.dll','');
QuarantineFile('c:\windows\system32\kbiwkmwxwbdvbn.dll','');
QuarantineFile('c:\windows\system32\kbiwkmribxvbpf.dat','');
QuarantineFile('c:\windows\system32\kbiwkmqqulbtkl.dat','');
QuarantineFile('kbiwkmwsp.dll','');
DeleteFile('c:\windows\system32\kbiwkmqqulbtkl.dat');
DeleteFile('c:\windows\system32\kbiwkmribxvbpf.dat');
DeleteFile('c:\windows\system32\kbiwkmvnrdfnfm.dll');
DeleteFile('c:\windows\system32\kbiwkmwxwbdvbn.dll');
DeleteFile('c:\windows\system32\kbiwkmwsp.dll');
DeleteFile('c:\windows\system32\drivers\kbiwkmwsp.dll');
DeleteFile('c:\windows\system32\drivers\kbiwkmptnvpmhf.sys');
BC_Importall;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.

Пришлите карантин.

Сохраните текст ниже как 123.bat в ту же папку, где находится gmer.exe
[CODE]gmer.exe -del service kbiwkmxmpjpyat
gmer.exe -del file "c:\windows\system32\drivers\kbiwkmptnvpmhf.sys"
gmer.exe -del file "kbiwkmwsp.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmwxwbdvbn.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmribxvbpf.dat"
gmer.exe -del file "c:\windows\system32\kbiwkmvnrdfnfm.dll"
gmer.exe -del file "c:\windows\system32\kbiwkmqqulbtkl.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kbiwkmxmpjpyat"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\kbiwkmxmpjpyat"
gmer.exe -reboot[/CODE]И запустите 123.bat. Компьютер перезагрузится.

Повторите логи AVZ и gmer.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

sound.exe - Trojan.Win32.Buzus.butl детектирование будет добавлено в следующее обновление.
19.08.2009, 15:44
Deniz_S

файл 123.bat ругался на удаление файлов, т.к. их не находил...

Карантин

Файл сохранён как 090819_154204_virus_4a8be50cc954c.zip
Размер файла 62172
MD5 caf084a9abfaf7a15f768e1864d41084

Логи делаю...

При тщательном просмотре через FAR папки c:\windows\system32\ нашла файл
kbiwkmlog.dat - может он творит гадости, могу прислать, ток скажите как...
19.08.2009, 15:45
Rene-gad

[QUOTE=light59;451800]Повторите логи AVZ и gmer.[/QUOTE]Please :)
19.08.2009, 16:03
Alex_Goodwin

[QUOTE=Deniz_S;451814]
При тщательном просмотре через FAR папки c:\windows\system32\ нашла файл
kbiwkmlog.dat [/QUOTE]
Удалите этот файл.
19.08.2009, 16:16
Deniz_S

файл удалила, вот логи
19.08.2009, 16:44
light59

В логах криминала не вижу.
Что с проблемами?
19.08.2009, 16:51
Deniz_S

хочу напоследок проверить систему, но антивирус так и не запускается, хотя процесс висит в диспетчере задач
19.08.2009, 16:52
light59

попробуйте переустановить антивирус.
19.08.2009, 16:59
Deniz_S

Error: Request cfg error (6, reqerr=3) (3)
File: \CVS_Projects\DrWeb32\Ipc\ipc.cpp
Line 753

вот что выдал мне антивирь после долгого думания

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

Хорошо, завтра отвезу машину клиенту и переставлю Веб. А что за зверь то там сидел?
19.08.2009, 17:03
Rene-gad

[QUOTE=Deniz_S;451876]
Хорошо, завтра отвезу машину клиенту и переставлю Веб. [/QUOTE]Обратитесь с этим сообщением в техподдержку Dr.Web.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=Deniz_S;451876]А что за зверь то там сидел?[/QUOTE]Что-то из этой серии: [url]http://virusinfo.info/showthread.php?t=50169[/url]
19.08.2009, 17:04
Deniz_S

Спасибо вам большое! Хорошо что вы есть! Удачи вам в работе...
19.08.2009, 17:08
Гриша

Был руткит семейства Tdss и [B]Trojan.Win32.Buzus.butl[/B]
20.08.2009, 17:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\media\sound.exe - [B]Trojan.Win32.Buzus.butl[/B] ( DrWEB: Trojan.MulDrop.33776, AVAST4: Win32:Trojan-gen {Other} )[/LIST][/LIST]