Порнобанер с просьбой отправки СМС на 3649 (Новая версия)

Printable View

27.11.2009, 18:54
Monstra

Порнобанер с просьбой отправки СМС на 3649 (Новая версия)

Поймал сегодня порно банер как человек описывает в теме [url]http://virusinfo.info/showthread.php?t=61502[/url]

вот только у меня:
переименовываю HiJack в blabla.cmd (и другие варианты и расширения)
HiJack запускается и комп сразу завершает работу
тоже самое и с АВЗ , также комп завершает работу если пытаюсь открыть папку или файл где есть словосочетания в названиях antivirus, virus, avz
kis, и подобные , браузеры неработают при запуске любого приложения с расширением exe .com . bat .pif .cmd (кроме блокнота :)) появляется порно банер с :censored:
что делать незнаю
27.11.2009, 19:12
snifer67

Попробуйте сделать логи с помощью полиморфного avz [url]http://ifolder.ru/13623748[/url]
27.11.2009, 20:45
Monstra

после запуска полиморфного avz комп завершает работу
удалось запустить HiJack но при попытке сохранить лог комп выключается
пробовал GMER MBAM результат нулевой
сразу после запуска винды могу запустить тоталкомандер
поставил вторую винду на другой диск
просканировал диск С каспером2010 на вирусы и нечего ненашел
27.11.2009, 20:48
snifer67

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=58309[/url]
27.11.2009, 21:17
Monstra

ура, удалось сделать лог (после 3х перезагрузок))
27.11.2009, 21:37
thyrex

Попробуйте пофиксить в HiJack
[CODE]O20 - AppInit_DLLs: c:\windows\system32\PEmFZ.dll[/CODE]Если удастся это сделать, после перезагрузки сможете выполнить правила
27.11.2009, 23:09
Monstra

PEmFZ.dll- это был он, вот, ктото ешо блакируе диспетчер и редактор реестра
27.11.2009, 23:25
thyrex

1. Проверьте, работает ли WEbMoney. Если нет, сообщите и ничего не предпринимайте

2. Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\system32\PEmFZ.dll','');
DeleteFile('c:\windows\system32\PEmFZ.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

3. [QUOTE]>> Заблокированы настройки системы System Restore[/QUOTE]Если сами не блокировали, исправьте через [B]AVZ - Файл - Мастер поиска и устранения проблем - Все проблемы[/B]

4. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

5. Сделайте новые логи
27.11.2009, 23:32
Monstra

нет,WEbMoney неработает, и перестал работать The Bat
27.11.2009, 23:39
thyrex

Почитайте эту тему [url]http://virusinfo.info/showpost.php?p=514765&postcount=3[/url]
Там написано, как восстанавливать ошибочно удаленные файлы

Если сами не разберетесь, заархивируйте папку [B]C:\Qoobox[/B] с паролем [B]virus[/B] и пришлите на [COLOR="Blue"]удалено[/COLOR]

И остальное пока выполняйте
28.11.2009, 00:20
Monstra

готово
28.11.2009, 00:33
thyrex

Здесь чисто. Что с WebMoney? Сами справитесь?
28.11.2009, 00:50
Monstra

да, спасибо, жаль что вся база с почтой в бате грохнулась
28.11.2009, 00:56
thyrex

Нужно поискать в папке с карантином ComboFix, может и в Бат можно исправить
28.11.2009, 01:01
Monstra

не, нету, была удалена вся папка C:\Documents and Settings\Admin\Application Data\The Bat! весом в 400мб, а Qoobox всего 8мб %(
28.11.2009, 01:08
thyrex

Жаль. В логах это не отображается почему-то

[B]После восстановления WebMoney[/B] [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]удалите ComboFix[/URL]
29.11.2009, 01:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\pemfz.dll - [B]Trojan-Ransom.Win32.SMSer.su[/B] ( DrWEB: Trojan.Winlock.499, BitDefender: Trojan.Generic.2807377, NOD32: Win32/Agent.QJZ trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]