Get Accelerate + sms на 3649

Printable View

27.11.2009, 22:44
Mikke

Get Accelerate + sms на 3649

Здравствуйте, поймали вирус с "смс на 3649" после еще выскочил серый экран с Get Accelerate с кодом на номер 1350. в Безопасном режиме удалось запустить Hijackthis при переименовании в asdf.pif. Тем же самым спомобом удалось запустить AVZ. Скрипты судя по всему подвисают.. в безопасном режиме плохо видно на чем именно.. Сейчас жду пока.. может всетаки пройдут скрипты.
27.11.2009, 22:54
Ingener

Пофиксите в HijackThis:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O1 - Hosts: 91.212.198.20 vkontakte.ru
O1 - Hosts: 91.212.198.20 mail.yandex.ru
O1 - Hosts: 91.212.198.20 odnoklassniki.ru
O1 - Hosts: 91.212.198.20 www.vkontakte.ru91.212.198.20 vkontakte.ru
O1 - Hosts: 91.212.198.20 mail.yandex.ru
O1 - Hosts: 91.212.198.20 odnoklassniki.ru
O1 - Hosts: 91.212.198.20 www.vkontakte.ru
O1 - Hosts: 91.212.198.20 vkontakte.ru
O1 - Hosts: 91.212.198.20 mail.yandex.ru
O1 - Hosts: 91.212.198.20 odnoklassniki.ru
O1 - Hosts: 91.212.198.20 www.vkontakte.ru
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\GxlYd.dll
O21 - SSODL: WebCheck - {FF4EC53A-CA51-9A39-6CDD-5FFB26FB445C} - overlapp32.dll (file missing)[/CODE]
Перезагрузите компьютер.

После этого дожна запуститься AVZ.
Загрузитесь в обычном режиме и сделайте все логи по правилам .
27.11.2009, 23:37
Mikke

Получилось выполнить скрипты. Выкладываю логи
28.11.2009, 00:08
thyrex

[CODE] >> Заблокированы настройки системы System Restore
>> Заблокирована настройка автоматического обновления[/CODE]Блокировали сами?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\GxlYd.dll','');
DeleteFile('C:\WINDOWS\system32\GxlYd.dll');
QuarantineFile('C:\WINDOWS\system32\overlapp32.dll','');
DeleteFile('C:\WINDOWS\system32\overlapp32.dll');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\immieqef.SYS','');
QuarantineFile('C:\WINDOWS\System32\aekgoprn.dll','');
DeleteFile('C:\WINDOWS\System32\aekgoprn.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\immieqef.SYS');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('F:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
28.11.2009, 01:39
Mikke

Вроде настройки сами не блокировали... Табличка пока больше не вылетает, высылаю логи и карантин, если еще что-то осталось буду рад увидеть скрипт, заранее Благодарю!! С Уважением, Михаил.
28.11.2009, 02:01
Ingener

В логах чисто.

Осталось подправить мелочи:
Выполните скрипт в AVZ:
[CODE]begin
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.[/CODE]
Компьютер перезагрузится.

Рекомендации:
1) Установите SP3 и все последующие обновления (заплатки).
2) Ознакомьтесь с этой темой: [url]http://virusinfo.info/showthread.php?t=30339[/url]
28.11.2009, 02:20
Mikke

Спасибо большое за помощь и рекомендации!
29.11.2009, 02:20
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\immieqef.sys - [B]Trojan-Ransom.Win32.Agent.hb[/B] ( DrWEB: Trojan.Winlock.495, NOD32: Win32/Sirefef.A trojan )[*] c:\windows\system32\gxlyd.dll - [B]Trojan-Ransom.Win32.SMSer.su[/B] ( DrWEB: Trojan.Winlock.499, BitDefender: Trojan.Generic.2807377, NOD32: Win32/Agent.QJZ trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\overlapp32.dll - [B]Trojan.Win32.Delf.rym[/B] ( DrWEB: Trojan.KeyLogger.4260, BitDefender: Trojan.Generic.2756456, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\sdra64.exe - [B]Trojan-Spy.Win32.Zbot.acxy[/B] ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.2727157 )[*] f:\autorun.inf - [B]Trojan.Win32.AutoRun.oc[/B] ( BitDefender: Trojan.AutorunINF.Gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]