uFast Download Manager - доступ в интернет заблокирова

Printable View

31.10.2009, 13:16
$tydent

uFast Download Manager - доступ в интернет заблокирова

Приветсвую , помогите пожалуйста.
Столкнулся с проблемой как в других темах [url]http://virusinfo.info/showthread.php?p=497299[/url] [url]http://virusinfo.info/showthread.php?t=58846[/url]

тоже всплывает окно, с требованием отправить СМС на номер 7122 код fw0004199
31.10.2009, 13:42
Шапельский Александр

Извините, накладка получилась
[FONT=Verdana, sans-serif][SIZE=2]Закройте/выгрузите все программы кроме AVZ .[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2][B]Отключите[/B]:[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- ПК от интернета/локалки;[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- антивирус и файрвол.;[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- [B]восстановление системы[/B];[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- выполните скрипт[/SIZE][/FONT]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe','');
QuarantineFile('C:\WINDOWS\Temp\wpv521255703227.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\restorer32_a.exe','');
DeleteFile('C:\WINDOWS\system32\restorer32_a.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('C:\WINDOWS\Temp\wpv521255703227.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysgif32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restorer32_a');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[FONT=Verdana, sans-serif][SIZE=2]Компьютер перезагрузится[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]После выполнить:[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- включите антивирус и файрволл[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- подключите ПК к интернету/локалке[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]- закачайте карантин по ссылке [/SIZE][/FONT][COLOR=#ff0000][FONT=Verdana, sans-serif][SIZE=2][U][B]Прислать запрошенный карантин [/B][/U][/SIZE][/FONT][/COLOR][FONT=Verdana, sans-serif][SIZE=2]в шапке Вашей темы (Приложение 3 правил).[/SIZE][/FONT]
[FONT=Verdana, sans-serif][SIZE=2]Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению[/SIZE][/FONT]
31.10.2009, 13:54
$tydent

выполнил скрипт, не помогло - опять это окно :censored: и не пускает в сеть
31.10.2009, 13:55
Шапельский Александр

[QUOTE][FONT=Verdana, sans-serif][SIZE=2]Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению[/SIZE][/FONT][/QUOTE]
??
31.10.2009, 14:00
$tydent

готово, прикрепил
31.10.2009, 14:23
Никита Соловьев

1. [B][COLOR="DarkRed"]Отключите системное восстановление![/COLOR][/B]
2. Пофиксите в HJT:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\user\APPLIC~1\UFASTD~1\PROPET~1.EXE[/CODE]
3. Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\docume~1\user\applic~1\ufastd~1\propet~1.exe');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe','');
QuarantineFile('C:\DOCUME~1\user\APPLIC~1\UFASTD~1\PROPET~1.EXE','');
DeleteFile('C:\DOCUME~1\user\APPLIC~1\UFASTD~1\PROPET~1.EXE');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe');
DeleteFileMask('C:\DOCUME~1\user\APPLIC~1\UFASTD~1\','*.*',true);
DeleteDirectory('C:\DOCUME~1\user\APPLIC~1\UFASTD~1\');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)

[COLOR="Red"]Обновите базы AVZ!!![/COLOR]
Сделайте новые логи
31.10.2009, 14:45
$tydent

окно исчезло, однако в сетевых соединениях включил - не хочет коннектится.
31.10.2009, 14:49
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe');
BC_DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Сделайте новые логи
31.10.2009, 15:00
$tydent

готово (приложил отчет): окна нет, в инет не пускает и контр-аль-делет заблокирован
31.10.2009, 15:07
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ExecuteRepair(11);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Проверяйте диспетчер

Сделайте такой лог:
[url]http://virusinfo.info/showthread.php?t=53070[/url]

По поводу интернета:
[url]http://virusinfo.info/showthread.php?t=10267[/url]
31.10.2009, 15:09
Шапельский Александр

Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe','');
QuarantineFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe','');
DeleteFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Internet Connection Wizard Setup Tool');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Microsoft\Shortcuts\icwsetup.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(11);
Executerepair(6);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 2 Диагностики и новые логи прикрепите к новому сообщению
31.10.2009, 16:06
$tydent

контр-альт-делет заработали, сетевое соединение восстановил по ссылке. СПАСИБО БОЛЬШОЕ :clapping:

прикладываю логи
31.10.2009, 16:12
Шапельский Александр

Карантин надо по ссылке в верху темы закачивать, здесь только логи прикреплять
В логах чисто, что с проблемой?
31.10.2009, 16:25
$tydent

[B]shapel[/B], каратнин закачал

Проблема решена - еще раз хочу сказать БОЛЬШОЕ СПАСИБО - РЕБЯТ ВЫ ОЧЕНЬ ПОМОГЛИ.

Все работает.
01.11.2009, 16:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\all users\application data\microsoft\shortcuts\icwsetup.exe - [B]Trojan.Win32.Pincav.jej[/B] ( DrWEB: Trojan.DownLoad.55181, AVAST4: Win32:Bredolab-AS [Trj] )[*] c:\docume~1\user\applic~1\ufastd~1\propetyufastmanager.exe - [B]Trojan-Ransom.Win32.SMSer.qm[/B] ( DrWEB: Trojan.Winlock.412, NOD32: Win32/LockScreen.CS trojan, AVAST4: Win32:Malware-gen )[*] c:\docume~1\user\applic~1\ufastd~1\propet~1.exe - [B]Trojan-Ransom.Win32.SMSer.qm[/B] ( DrWEB: Trojan.Winlock.412, NOD32: Win32/LockScreen.CS trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\restorer32_a.exe - [B]Backdoor.Win32.HareBot.ti[/B] ( DrWEB: Trojan.DownLoad.41506, NOD32: Win32/Wigon.ML trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\temp\wpv521255703227.exe - [B]Trojan-Proxy.Win32.Small.aej[/B] ( DrWEB: Trojan.Proxy.6207, BitDefender: Trojan.FakeAV.WH )[/LIST][/LIST]