Printable View
вы нарушилы права проги uBest Net speed pro и просит ввести смс с кодом М21720009 на номер 8353 (даже в безопасном режиме). ни какая программа не запускается, даже в безопасном режиме.
Что-то поправил в реестре через LiveCD - HiJack стал запускаться, прилагаю лог (hjlog.txt, стандартное название нельзя использовать, перезагружает компьютер). AVZ при запуске перезагружает компьютер
Пофиксить в HijackThis
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\ddvqr.dll
[/code]
ПК перезагрузите.
Сделаете логи avz.
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\system32\ddvqr.dll [/CODE]
Пофиксил, DLL`ка изменила имя... сейчас под именем :jojv.dll
Пока писал пост snifer67 ответил *
Сейчас попробую соответственно изменив dll ку
Не дает запустить avz. Если зайти в папку с avz - перезагружает компьютер.
Если запустить напрямую - Вылетает окно вируса с текстом для смс и т.д
Выкладываю лог hijack`a
Попробуйт сделать логи таким avz [url]http://z-oleg.com/avz.exe[/url]
переименовал в 1.exe.....перезагружает компьютер как в обычном так и в безопасном режиме
[size="1"][color="#666686"][B][I]Добавлено через 38 секунд[/I][/B][/color][/size]
Очень прошу помощи, сотрудник улетает через несколько часов...
Сделайте такие логи [url]http://virusinfo.info/showthread.php?t=58309[/url] [url]http://virusinfo.info/showthread.php?t=53070[/url]
Что было сделано:
через livecd заменил текст файла an.dll (O20 - AppInit_DLLs: C:\WINDOWS\system32\an.dll -на тот момент файл имел такое название)
Теперь все программы запускаются, но с ошибкой (PrintScreen прилагается)
выкладываю логи:
Пофиксить в HijackThis
[code]
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\an.dll
[/code]
ПК перезагрузите.
Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\an.dll','');
DeleteFile('C:\WINDOWS\system32\an.dll');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/code]
ПК перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи.
Да да, всё отлично! Спасибо Вам.
Так, у меня an.dll в карантин не требутеся, он пустой (я удалил текст)
Но остались файлы как:ddvqr.dll, jojv.dll .... т.е подобные
В каком формате присылать? Сейчас убегаю, отправлю из дома.
[quote]В каком формате присылать?[/quote]
[B]rar[/B]
Отправил вирус, ноут в командировке...Человек спешил на самолет, возможности сделать логи не было.
В карантине [B]Trojan-Ransom.Win32.SMSer.tl[/B] (новинка)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \ddvqr.dll - [B]Trojan-Ransom.Win32.SMSer.tl[/B] ( DrWEB: Trojan.Winlock.521, AVAST4: Win32:Malware-gen )[/LIST][/LIST]