Троян, требующий отправки СМС и прочие недуги

Здравствуйте.

Недавно на компьютере появилась некая троянская зараза в виде белого текста на синем фоне, где написано, что якобы на ОС установлено пиратское ПО и требуется отправить СМС на некоторый номер. Антивирус удалил целую группу троянцев, но после перезагрузки окно с угрозой появилось снова.

Кроме того, отмечена нестабильная работа EXPLORER.EXE с зависаниями, вылетами и пр. А буквально сейчас выяснилось, что при попытке проверки диска перед загрузкой системы выдается безобразие типа "The type of file system is [B]RAW[/B]" и проверка пропускается.

Лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] сделайте

Вот он, лог Gmer.

Это лог экспресс-проверки. Нужен лог после нажатия на Scan/ Переделать

Да нет, это же был лог как раз после нажатия Scan, галочкой был отмечен раздел C:, после выдачи сообщения, что найдены руткиты, нажал Save. Вот еще лог.

На Save нужно нажимать [B]после окончания[/B] полной проверки

Появляется сообщение: "WARNING!!! GMER has found system modification..." После этого признаков дальнейшей проверки не наблюдается...

После запуска программы экспресс-проверка стартует [B]автоматически без нажатия на Scan[/B]

[QUOTE='NeedHelpD;470025']Появляется сообщение: "WARNING!!! GMER has found system modification..."[/QUOTE]Это после экспресс-проверки появляется.

Нажмите ОК. После этого нажмите Scan и дождитесь окончания полной проверки

Запускаю GMER 1.0.15.15087.

Появляется сообщение: "WARNING!!! GMER has found system modification caused by ROOTKIT activity. Do you want to fully scan your system ?"

[B][U]1 вариант.[/U][/B] Нажимаю "Да". Жду. Через некоторое время появляется сообщение: "WARNING!!! GMER has found system modification caused by ROOTKIT activity." Нажимаю ОК. Нажимаю Scan. Жду. Через некоторое время появляется сообщение: "WARNING!!! GMER has found system modification caused by ROOTKIT activity." Нажимаю ОК. Нажимаю Save. Сохраняю. Размер лога около 12 кбайт.

[U][B]2 вариант.[/B][/U] Нажимаю "Нет". Нажимаю Scan. Жду. Через некоторое время появляется сообщение: "WARNING!!! GMER has found system modification caused by ROOTKIT activity." Нажимаю ОК. Нажимаю Save. Сохраняю. Размер лога около 12 кбайт.

Исходя из этого, это и есть полный лог.

Тогда сначала так

Выполните скрипт в AVZ
[code]begin
SetAVZPMStatus(True);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделать новые логи AVZ

Новые логи AVZ:

Кстати, заметил, что ни с того ни с сего было отключено автообновление системы. Может есть какая-то связь с вирусами?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\aliserv3.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\aliserv3.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте теперь полный лог gmer

Похоже, смытая в карантин зараза и устроила подмену файловой системы. CHKDSK на этот раз сработал без ошибок.
Карантин загрузил и сделал новый лог GMER. Сообщения "WARNING!!!..." остались те же, но на этот раз лог получился вдвое больше. То, что нужно, или необходимо сделать еще полнее?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\drivers\rotscxxeylktfy.sys','');
DeleteFile('c:\windows\system32\drivers\rotscxxeylktfy.sys');
QuarantineFile('c:\windows\system32\rotscxxdesmfyy.dll','');
DeleteFile('c:\windows\system32\rotscxxdesmfyy.dll');
QuarantineFile('c:\windows\system32\rotscxfejklvmk.dll','');
DeleteFile('c:\windows\system32\rotscxfejklvmk.dll');
QuarantineFile('c:\windows\system32\rotscxalhnueen.dll','');
DeleteFile('c:\windows\system32\rotscxalhnueen.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 376tljo1.exe (gmer)
[CODE]376tljo1.exe -del service rotscxoytivkya
376tljo1.exe -del file "c:\windows\system32\drivers\rotscxxeylktfy.sys"
376tljo1.exe -del file "c:\windows\system32\rotscxxdesmfyy.dll"
376tljo1.exe -del file "c:\windows\system32\rotscxboyluagc.dat"
376tljo1.exe -del file "c:\windows\system32\rotscxfejklvmk.dll"
376tljo1.exe -del file "c:\windows\system32\rotscxolrpxjxs.dat"
376tljo1.exe -del file "c:\windows\system32\rotscxalhnueen.dll"
376tljo1.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rotscxoytivkya"
376tljo1.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\rotscxoytivkya"
376tljo1.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer

Карантин загрузил.
Лог gmer:

Лог чистый. Что с проблемой?

Спасибо большое! Все работает отлично. Еще вопросы:
В папке C:\WINDOWS\System32 есть файл под названием rotscxlog.dat (100кб), модифицированный 17.09.2009 в 19:02. Что с ним делать?
У многих ли в последнее время произошло подобное заражение? Имеются ли у Microsoft заплатки для защиты от этого руткита?

[QUOTE='NeedHelpD;471053']В папке C:\WINDOWS\System32 есть файл под названием rotscxlog.dat (100кб)[/QUOTE]Удаляйте. Он просто в логе не засветился

[QUOTE='NeedHelpD;471053']У многих ли в последнее время произошло подобное заражение? [/QUOTE]Это что-то из семейства TDSS. А оно просто огромное уже.

Файл успешно удален. Больше проблем нет. Спасибо за помощь!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\rotscxxdesmfyy.dll - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: BackDoor.Tdss.476, AVAST4: Win32:Alureon-CX [Rtk] )[/LIST][/LIST]