Get Accelerator

Printable View

21.11.2009, 19:03
Aksenty

Вложений: 2

Get Accelerator

Изображение с надписью, сообщающей, что доступ к сети Интернет блокирован в связи с нелицензионным использованием программы Get Accelerator. Вредоносное ПО отображает убывающий таймер 9 минут и предлагает отправить SMS-сообщение с текстом после остановки таймера ничего непроисходит
ПЛЗ помогите избавится от этого ..рьма :O
21.11.2009, 19:25
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\photo_id.exe');
QuarantineFile('C:\WINDOWS\TEMP\~TM7C.tmp','');
QuarantineFile('C:\Documents and Settings\Aks\photo_id.exe','');
QuarantineFile('C:\Documents and Settings\Aks\Главное меню\Программы\Автозагрузка\sysupd32.exe','');
QuarantineFile('C:\WINDOWS\system32\photo_id.exe','');
QuarantineFile('70.103.101.103\aekgoprn.dll','');
DeleteFile('70.103.101.103\aekgoprn.dll');
DeleteFile('C:\WINDOWS\system32\photo_id.exe');
DeleteFile('C:\WINDOWS\TEMP\~TM7C.tmp');
DeleteFile('C:\Documents and Settings\Aks\Главное меню\Программы\Автозагрузка\sysupd32.exe');
DeleteFile('C:\Documents and Settings\Aks\photo_id.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','photo_id');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','sysgif32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','photo_id');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится
Файл [B]quarantine.zip[/B] закачайте по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин [/COLOR][/U][/B]вверху темы

Сделайте новые логи
21.11.2009, 19:42
Aksenty

скрипт выполнил, изображение с надписью, сообщающей, что доступ к сети Интернет блокирован в связи с нелицензионным использованием программы Get Accelerator осталось :(
Запрашиваемый архив отправил!
21.11.2009, 19:43
Никита Соловьев

Теперь сделайте логи заново
21.11.2009, 20:28
Aksenty

Вложений: 3

:094:
21.11.2009, 20:44
Никита Соловьев

[B]70.103.101.103[/B] Вам знаком этот IP?
21.11.2009, 20:50
Aksenty

Если честно я даже непонял суть вопроса хотя знаю что вопрос очень простой =)
Ответ нет (в айпишниках неселён)
21.11.2009, 21:06
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('%System32%\aekgoprn.dll','');
DeleteFile('%System32%\aekgoprn.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится
Загрузите [B]quarantine.zip[/B] по ссылке вверху темы

Сделайте новый лог [B]virusinfo_syscheck.zip[/B]
21.11.2009, 22:01
Aksenty

файлик карантин несфорировался высылаю свежие логи
21.11.2009, 22:20
PavelA

Выполните скрипт:
[CODE]begin
SetAVZPMStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\uizszrco.SYS','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Если что-то попадет в карантин, то пришлите.
Повторите логи, плюс сделайте лог Gmer.
21.11.2009, 23:00
Aksenty

лог Gmer :O
Свежие логи
21.11.2009, 23:02
Никита Соловьев

[QUOTE]лог Gmer [/QUOTE]Он самый (см. ссылку у меня в подписи)
21.11.2009, 23:09
Aksenty

после запуска GMER k0zfze.exe - обнаружена ошибка
22.11.2009, 01:14
AndreyKa

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
DeleteFile('C:\WINDOWS\System32\Drivers\uizszrco.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Обновите базы AVZ.
Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.
22.11.2009, 16:53
Aksenty

:094:УУУРАААААА:094:
Последний скрипт убрал окно вируса и я свободно вышел в инет обновил базы avz ща сделаю свеж лог вы просто супер-пупер-мега мозг :D
22.11.2009, 17:01
Aksenty

Уменя стоит последний аваст получается что ему побарабану на эту дрянь посаветуйте как предохранятся ?
Свежие логи прилагаю.
22.11.2009, 17:04
Никита Соловьев

Чисто
[QUOTE]Уменя стоит последний аваст получается что ему побарабану[/QUOTE]Просто в его базах нет соответствующей записи

virusinfo_syscure.zip - вчерашний, будьте внимательнее
22.11.2009, 17:23
Aksenty

Огромное спасибо!
я вам смс-ку в копилку отправил :clapping:
23.11.2009, 17:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\aks\главное меню\программы\автозагрузка\sysupd32.exe - [B]Trojan-Dropper.Win32.Small.edb[/B] ( DrWEB: Trojan.DownLoad1.4576, AVAST4: Win32:Small-NDA [Trj] )[*] c:\windows\system32\drivers\uizszrco.sys - [B]Trojan-Ransom.Win32.Agent.ha[/B] ( DrWEB: Trojan.DownLoad1.11635, BitDefender: Trojan.Generic.2737881, AVAST4: Win32:FakeAlert-FC [Trj] )[*] c:\windows\system32\photo_id.exe - [B]Backdoor.Win32.HareBot.akj[/B] ( DrWEB: Trojan.DownLoad.41506, NOD32: Win32/Wigon.LX trojan )[*] c:\windows\temp\~tm7c.tmp - [B]Trojan-Proxy.Win32.Small.ael[/B][/LIST][/LIST]