Вирус действует как программа

Printable View

20.09.2009, 19:20
Zik0

Вирус действует как программа

Сегодня зашёл на skater.ru, тут же закрылся браузер, и началась перезагрузка. После неё в тулбаре торчит красная штучка и пытается скачать мне непонятную программу от вирусов, за которую собственно нужно заплатить (AntivirusPro2010). Компьютер глючит очень сильно. Очень жду вашей помощи.
20.09.2009, 19:38
AndreyKa

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('C:\WINDOWS\system32\_scui.cpl','');
DeleteFile('C:\WINDOWS\system32\_scui.cpl');
QuarantineFile('C:\Program Files\AntivirusPro_2010\AntivirusPro_2010.exe','');
BC_DeleteSvc('DS1410D');
BC_DeleteSvc('wscsvcNetman');
BC_DeleteSvc('Wmiusprservhelpsvc');
BC_DeleteSvc('WmiLiveUpdate');
BC_DeleteSvc('usprservhelpsvc');
BC_DeleteSvc('TrkWksSchedule');
BC_DeleteSvc('TlntSvrRSVP');
BC_DeleteSvc('ThemesTlntSvr');
BC_DeleteSvc('SPBBCSvcRasManidsvc');
BC_DeleteSvc('SPBBCSvcRasMan');
BC_DeleteSvc('ShellHWDetectionNetDDEdsdm');
BC_DeleteSvc('SCardSvrWZCSVC');
BC_DeleteSvc('SCardSvrDnscache');
BC_DeleteSvc('RSVPRSVP');
BC_DeleteSvc('ProtectedStorageSCardSvr');
BC_DeleteSvc('PolicyAgentThemes');
BC_DeleteSvc('PlugPlayTrkWks');
BC_DeleteSvc('PlugPlayodserv');
BC_DeleteSvc('odservmaya70docserverose');
BC_DeleteSvc('odservmaya70docserver');
BC_DeleteSvc('NetmanSchedule');
BC_DeleteSvc('NetmanNtmsSvc');
BC_DeleteSvc('mnmsrvcMSIServer');
BC_DeleteSvc('mnmsrvcCryptSvc');
BC_DeleteSvc('MicrosoftMSIServer');
BC_DeleteSvc('LiveUpdatehelpsvc');
BC_DeleteSvc('LiveUpdateAWHelpServerccSetMgrImapiServiceALG');
BC_DeleteSvc('dmserverSysmonLog');
BC_DeleteSvc('IDriverTCCALib8');
BC_DeleteSvc('dmserverdmserver');
BC_DeleteSvc('ccSetMgrImapiServiceAWHelpServerNetTcpPortSharingusnjsvc');
BC_DeleteSvc('ccSetMgrImapiServiceAWHelpServerNetTcpPortSharing');
BC_DeleteSvc('ccSetMgrImapiService');
BC_DeleteSvc('AWHelpServerNetTcpPortSharing');
BC_DeleteSvc('AWHelpServerccSetMgrImapiServiceALG');
BC_DeleteSvc('AWHelpServerccSetMgrImapiService');
BC_DeleteSvc('Adobeusprserv');
QuarantineFile('c:\windows\system32\braviax.exe','');
DeleteFile('c:\windows\system32\braviax.exe');
DeleteFile('C:\Program Files\AntivirusPro_2010\AntivirusPro_2010.exe');
ExecuteRepair(1);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
20.09.2009, 19:56
Zik0

Запрошенный карантин прислал.
20.09.2009, 20:02
AndreyKa

Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
DeleteService('DS1410D');
DeleteService('wscsvcNetman');
DeleteService('Wmiusprservhelpsvc');
DeleteService('WmiLiveUpdate');
DeleteService('usprservhelpsvc');
DeleteService('TrkWksSchedule');
DeleteService('TlntSvrRSVP');
DeleteService('ThemesTlntSvr');
DeleteService('SPBBCSvcRasManidsvc');
DeleteService('SPBBCSvcRasMan');
DeleteService('ShellHWDetectionNetDDEdsdm');
DeleteService('SCardSvrWZCSVC');
DeleteService('SCardSvrDnscache');
DeleteService('RSVPRSVP');
DeleteService('ProtectedStorageSCardSvr');
DeleteService('PolicyAgentThemes');
DeleteService('PlugPlayTrkWks');
DeleteService('PlugPlayodserv');
DeleteService('odservmaya70docserverose');
DeleteService('odservmaya70docserver');
DeleteService('NetmanSchedule');
DeleteService('NetmanNtmsSvc');
DeleteService('mnmsrvcMSIServer');
DeleteService('mnmsrvcCryptSvc');
DeleteService('MicrosoftMSIServer');
DeleteService('LiveUpdatehelpsvc');
DeleteService('LiveUpdateAWHelpServerccSetMgrImapiServiceALG');
DeleteService('dmserverSysmonLog');
DeleteService('IDriverTCCALib8');
DeleteService('dmserverdmserver');
DeleteService('ccSetMgrImapiServiceAWHelpServerNetTcpPortSharingusnjsvc');
DeleteService('ccSetMgrImapiServiceAWHelpServerNetTcpPortSharing');
DeleteService('ccSetMgrImapiService');
DeleteService('AWHelpServerNetTcpPortSharing');
DeleteService('AWHelpServerccSetMgrImapiServiceALG');
DeleteService('AWHelpServerccSetMgrImapiService');
DeleteService('Adobeusprserv');
end.
[/code]

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
Проблема решена?
20.09.2009, 20:08
Zik0

Проблема решена, огромное вам спасибо! Второй раз помогаете решить проблемы на 100%. :)
20.09.2009, 20:16
AndreyKa

Троян удален. Но остался кое-какой мусор в реестре и удаляться не хочет. :(
Если вы не против, продолжим ещё немного.

Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\Adobeusprserv');
DeleteService('Adobeusprserv');
end.[/code]
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
20.09.2009, 20:22
Zik0

Только за, времени много). Скрипт выполнил.
20.09.2009, 21:53
AndreyKa

Сделайте лог [url=http://virusinfo.info/showpost.php?p=351873&postcount=1]Gmer[/url].
20.09.2009, 23:42
Zik0

Сделано (очень долго сканил).
21.09.2009, 00:52
AndreyKa

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[code]
2oj8l0up.exe -del service Adobeusprserv
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\Adobeusprserv"
2oj8l0up.exe -del service AWHelpServerccSetMgrImapiService
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AWHelpServerccSetMgrImapiService"
2oj8l0up.exe -del service AWHelpServerccSetMgrImapiServiceALG
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AWHelpServerccSetMgrImapiServiceALG"
2oj8l0up.exe -del service AWHelpServerNetTcpPortSharing
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AWHelpServerNetTcpPortSharing"
2oj8l0up.exe -del service ccSetMgrImapiService
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ccSetMgrImapiService"
2oj8l0up.exe -del service ccSetMgrImapiServiceAWHelpServerNetTcpPortSharing
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ccSetMgrImapiServiceAWHelpServerNetTcpPortSharing"
2oj8l0up.exe -del service ccSetMgrImapiServiceAWHelpServerNetTcpPortSharingusnjsvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ccSetMgrImapiServiceAWHelpServerNetTcpPortSharingusnjsvc"
2oj8l0up.exe -del service dmserverdmserver
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dmserverdmserver"
2oj8l0up.exe -del service dmserverSysmonLog
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dmserverSysmonLog"
2oj8l0up.exe -del service IDriverTCCALib8
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\IDriverTCCALib8"
2oj8l0up.exe -del service LiveUpdateAWHelpServerccSetMgrImapiServiceALG
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\LiveUpdateAWHelpServerccSetMgrImapiServiceALG"
2oj8l0up.exe -del service LiveUpdatehelpsvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\LiveUpdatehelpsvc"
2oj8l0up.exe -del service MicrosoftMSIServer
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftMSIServer"
2oj8l0up.exe -del service mnmsrvcCryptSvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\mnmsrvcCryptSvc"
2oj8l0up.exe -del service mnmsrvcMSIServer
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\mnmsrvcMSIServer"
2oj8l0up.exe -del service NetmanNtmsSvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\NetmanNtmsSvc"
2oj8l0up.exe -del service NetmanSchedule
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\NetmanSchedule"
2oj8l0up.exe -del service odservmaya70docserver
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\odservmaya70docserver"
2oj8l0up.exe -del service odservmaya70docserverose
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\odservmaya70docserverose"
2oj8l0up.exe -del service PlugPlayodserv
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\PlugPlayodserv"
2oj8l0up.exe -del service PlugPlayTrkWks
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\PlugPlayTrkWks"
2oj8l0up.exe -del service PolicyAgentThemes
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgentThemes"
2oj8l0up.exe -del service ProtectedStorageSCardSvr
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ProtectedStorageSCardSvr"
2oj8l0up.exe -del service RSVPRSVP
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\RSVPRSVP"
2oj8l0up.exe -del service SCardSvrDnscache
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SCardSvrDnscache"
2oj8l0up.exe -del service SCardSvrWZCSVC
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SCardSvrWZCSVC"
2oj8l0up.exe -del service ShellHWDetectionNetDDEdsdm
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ShellHWDetectionNetDDEdsdm"
2oj8l0up.exe -del service SPBBCSvcRasMan
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SPBBCSvcRasMan"
2oj8l0up.exe -del service SPBBCSvcRasManidsvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SPBBCSvcRasManidsvc"
2oj8l0up.exe -del service ThemesTlntSvr
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ThemesTlntSvr"
2oj8l0up.exe -del service TlntSvrRSVP
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\TlntSvrRSVP"
2oj8l0up.exe -del service TrkWksSchedule
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\TrkWksSchedule"
2oj8l0up.exe -del service usprservhelpsvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\usprservhelpsvc"
2oj8l0up.exe -del service WmiLiveUpdate
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\WmiLiveUpdate"
2oj8l0up.exe -del service Wmiusprservhelpsvc
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\Wmiusprservhelpsvc"
2oj8l0up.exe -del service wscsvcNetman
2oj8l0up.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\wscsvcNetman"
2oj8l0up.exe -reboot[/code]И запустите cleanup.bat
Компьютер перезагрузится

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
22.09.2009, 00:52
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\antiviruspro_2010\antiviruspro_2010.exe - [B]not-a-virus:FraudTool.Win32.XPAntivirus.fkd[/B][*] c:\windows\system32\braviax.exe - [B]Trojan-Downloader.Win32.FraudLoad.foz[/B] ( DrWEB: Trojan.Fakealert.5049 )[*] c:\windows\system32\_scui.cpl - [B]Trojan.Win32.FraudPack.uae[/B][/LIST][/LIST]