iMAX Download Manager (2) смс на номер 3649

Ситуация как в [URL="http://virusinfo.info/showthread.php?t=62932"]этой ветке[/URL].

Совет [URL="http://virusinfo.info/showpost.php?p=528800&postcount=3"]по первой ссылке[/URL] не помог - под учеткой Админа не заходит, а под учеткой пользователя ничего не запускается.

Совет [URL="http://virusinfo.info/showpost.php?p=529264&postcount=1"]по второй ссылке[/URL] не открывается - страница не существует.

Симптомы: диспетчер задач и редактор реестра заблокированы, исполняемые файлы не запускаются, если проводником или из командной строки зайти в папку с именем «AVZ» - выключается; антивирус от др. Веба с рандомным именем не запускается. Если три часа ПК не перезагружать, то какие-то файлы начинают запускаться (аналогию не обнаружил), так HJT успел запуститься и я там даже чего-то успел удалить. Потом - ПК выключился. После очередного трех часового ожидания запустился полиморфный AVZ, ровно на пол секунды и ПК тут же выключился. "Выключился" - это просто выполнил "выход из системы", как это делаешь, когда хочешь сменить пользователя.

Что сделано: после загрузки с LiveCD WinPE удалил лишний мусор в userinit и файл, который там был вписан с диска. Проверил все содержимое папки Documents and Settings. В двух местах в папке temp были обнаружены в больших количествах dll-ки с рандомными именами, но одинаковым размером - 131 Кб. Удалил все. Осталось всего 3 шт. - они явно легитимные (от web-камеры и еще от чего-то там...)

Что имеем на данный момент: в Безопасный режим заходит, но ничего толком не работает. Информер пропадает с экрана, если в свободном месте кликнуть ПКМ по рабочему столу и выбрать «Свойства» (Сами «Свойства» при этом не открываются). Но при первой же попытке, что-то запустить - снова выпрыгивает. В безопасном режиме в Проводнике на DVD-ROM [B]стать[/B] не получается - курсор от туда сбрасывается. Сам проводник (да и иконки, тоже меняются при попытке доступа к опасному для вируса файлу) выглядит необычно, как будто от Милениума или от 2000.

Еще много чего есть описать, но, думаю, вы и так все поняли. Самое обидное из всего этого - это то, что CureIt почему-то из-под LiveCD WinPE работает как-то не так. Начинает проверку и через минут 15-20 останавливается с сообщением, что ничего не найдено. Заставить его проверить весь диск не получается.

Чего там написано было по второй ссылке? Может и мне поможет логи собрать?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 29 минут[/I][/B][/color][/size]

Забыл сообщить, что отсутствует вкладка «Восстановление системы» и не получается очистить папки с точками отката.

Звонил оператору с просьбой сообщить реквизиты владельца номера 3649. Сказали, что принадлежит Джамп-Укаина, дали телефон. Позвонил туда. Девушка мило записала мое обращение и сказала: «Ждите. С Вами свяжутся в течении 15 рабочих дней». Разговор записал на диктофон.

Стоит попробовать AVPTool - он детектирует и лечит данную заразу, скачать его можно тут [URL]http://avptool.ru/[/URL]. Его можно применять из безопасного режима

При загрузке с LiveCD WinPE запустить не удалось - не захотел распаковываться. Все норовит развернуться на CD-диск (запускал, скопировав предварительно на HDD)

Кто-нибудь знает способ запустить AVZ с параметрами т.н. «заморозки» в момент загрузки ОС. Может удастся таким образом победить эту заразу.

p.s.: у меня windows xp sp3

Сообщение №2 прочтите

Сканирую при помощи Live CD Dr.Web и постепенно теряю надежду. Уже 2/3 готово, а ни одного паразита еще не найдено :(

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[QUOTE=thyrex;530522]Сообщение №2 прочтите[/QUOTE]
Клик на любом исполняемом файле вызывает появление информера, который я убираю ПКМ на Рабочем Столе - Свойства (Свойства Рабочего стола при этом не открывается, а информер закрывается). Через три часа работы ПК эта зараза позволяет запускать с ее точки зрения безопасные файлы. Но если попробовать запустить HJT, полиморфный AVZ, CureIt или даже Тотал Коммандер, то тут же срабатывает «Выход из системы». Перелогин пользователя включает 3-х часовой счетчик по новой. К тому же в Безопасном Режиме заблокирован доступ к оптическому приводу.

[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]

Проверка Dr.Web-ом закончилась. Ничего не нашел... обидно...

Скачать [B]на чистой машине[/B] [url]ftp://devbuilds.kaspersky-labs.com/devbuilds/RescueDisk/kav_rescue_2008.iso[/url] и записать образ на CD.

Затем загрузится с данного CD на зараженном ПК, обновить базы антивирусного модуля и пролечить систему.

После этого выполнить [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL]

Пока качается iso-шник, сделал вот, что:
1. Загрузился с LiveCD WinPE
2. Проверил еще раз все содержимое папки Documents and Settings. В двух местах в папке temp снова были обнаружены в больших количествах dll-ки с рандомными именами, но одинаковым размером - 131 Кб (или 133 664 байта).
3. Нашел по размеру такие же файлы в папках %systemroot%/temp/ и %systemroot%/system32/
4. Переместил их все на диск D
5. Перезагрузился
6. ПК нормально загрузился и ни разу не ругнулся
7. С помощью AVZ выполнил восстановление системы
8. Установил Kaspersky Virus Removal Tool 2010 (во время инсталляции экран яростно мигал! (?) - думал, что «Капец - ничего не получилось»)
9. В данный момент сканирую, все программы запускаются нормально
10. 25% готово - полет нормальный
11. Вирусов пока не обнаружено

Kaspersky Virus Removal Tool 2010 проверил и ничего не обнаружил. Почему у меня есть убеждение, что что-то должно найтись? Я [I]руками[/I] удалил около 5 тыс. dll-ок и ничего не пропустил? Разве не должно быть какого-нибудь sys-файла или exe-шника, который этими библиотеками рулит?

Во время удаления dll-ок случайно удалил upnp.dll, а после лечения обнаружил, что флешки, например, перестали определяться и брандмауэр отказался запускаться, а во время загрузки ПК стартует всего две службы. Службы привел в порядок, upnp.dll, explorer.exe, userinit.exe и ctfmon.exe скопировал с чистой машины.

В общем прилагаю логи. Посмотрите, пожалуйста, может чего затесалось?

[QUOTE=H2O;529819]Звонил оператору с просьбой сообщить реквизиты владельца номера 3649. Сказали, что принадлежит Джамп-Укаина, дали телефон. Позвонил туда. Девушка мило записала мое обращение и сказала: «Ждите. С Вами свяжутся в течении 15 рабочих дней».[/QUOTE]Чуток перепутал. Оказалось, что номер [B]3649[/B] - это для России. Для Украины номер другой - [B]4171[/B]. В МТС-Украина сказали, что номер принадлежит «Интернешнл Украина» и дали телефон тех. поддержки: +38 044 581-57-14. Позвонив на него мне ответил автоинформатор, сообщив, что я позвонил в службу поддержки компании «Первый-Альтернативный». Ответившая девушка представилась. Подтвердила, что короткий номер [B]4171[/B] принадлежит им, сообщила, что кто-то из их клиентов взял в аренду этот номер, напакостил, а они теперь расхлебывают. Но у нее для меня есть волшебный код, который она мне любезно продиктует. На мой вопрос: «Каким образом ко мне попала эта гадость?»,- ответила: «В процессе обновления антивирусной программы». На мой вопрос: «Откуда у меня будет уверенность, что после продиктованного кода информация на моем ноутбуке не пострадает?»,- был ответ, что типа «Мы можем Вам гарантировать». Я был в шоке: «Т.е. я правильно понимаю, что кто-то (не вы!) заразил и заблокировал мне ноутбук установив туда какое-то ПО и теперь вы берете ответственность за [B]последствия работы этого ПО[/B] и если с информацией на моем ПК, что-то случится, то вы готовы это компенсировать?!» Ничего более умного кроме: «Мы пытаемся Вам помочь...»,- больше девушка ответить не смогла. Информацию о том кто этот негодяй, который их так подставил и кого они заблокировали, она предоставить отказалась. Номер [B]4171[/B], я так понимаю, они заблокировать не догадались и продолжают принимать на него смс стоимостью 3,75$.

Пофиксите в HiJack
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\system32\natpg.dll[/CODE]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\natpg.dll','');
DeleteFile('C:\WINDOWS\system32\natpg.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин (если не будет пустой) согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Больше плохого не видно

Установите Adobe Acrobat 9.2 или удалите старый

Карантин отправил, но, кажется там не тот файл.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]