Баннер доступа на порносайт

Здравствуйте!

Проблема такая... при старте системы появляеться ,баннер с порнокартинками следующего содержания:
[CENTER][B]"Вы установили баннер для доступа на наш сайт.
Срок действия баннера 30 дней.
Если вы хотите прекратить действия баннера раньше установленного срока,
то отправьте смс по указанному номеру и введите код удаления...
отправить смс с текстом 733167 на номер 9800"[/B][/CENTER]

- диспетчер задач на запускаеться...
- в автозапуске видно эту хрень, но при попытке удалить виснет программа (плагин для Total Commander'a - Starter v5.6.2.8 )...
- в автозапуске ссылка на фаил [B]rundll.exe[/B] в[I] [B]c:\windows\sistem32[/B][/I]... я его грохнул загрузившись через другую ОСь... не помогло... файла этого нет, но баннер висит на том же месте...
- браузер не запускается...
- Проверил CureIt в безопасном режиме нашёл один фаил [B]H@tKeysH@@k.dl[/B]l в [I][B]c:\windows\sistem32[/B][/I]
- AVZ при открытии списка скриптов виснет... при обновлении баз тоже... :huh:
- Смог получить только лог HiJack'а
- Антивирусник - Avira Premium Security Suite... обновляеться каждые два часа...

и еще беспокоят скрытые файлы khv и khw без расширения и размером 0 баит расположенные в корне всех 3-х разделов HD... что это???

Вот ваш баннер:
[CODE]O4 - HKLM\..\Run: [plugin] "[COLOR="Red"]C:\Program Files\plugin.exe[/COLOR]"[/CODE]
Пофиксите, потом сделайте все логи по правилам.

Запустил AVZ и нажал выполнить вот что написал в протокол...
папка log не появилась...

Ещё информация "бяка" не дает нормально выключать комп... презагружаюсь "волшебной" кнопкой reset...
по описанию похоже гадость из соседней темы...
[B]СМС-вымогатель (розовый баннер)[/B] пользователя [B]ShoSho[/B]...

[QUOTE='pistachio;553269']Запустил AVZ [/QUOTE]
Попробуйте: Сервис - Диспетчер процессов, грохнуть [B]plugin.exe[/B].

Кстати, базы AVZ обновить надо!

Пофиксил plugin.exe не помогло... может потомучто перезагружался reset'ом... :rolleyes:

Может еще необходимо пофиксить см. рисунок(еле еле через word:blink: сделал скрин... пайнт тоже виснет)... т.к. именно под таким именем в автозагрузке висит сия бяка...
при обновлении баз, виснет AVZ... при просмотре из другой ОС(win 7) Plugin.exe вообще не видно...
извеняюсь увидел... пробую загрузить XP...

Извените что в первый раз не всё закрасил... так я думаю пойдет... :rolleyes:

Удалил [B]Plugin.exe[/B] из под другой ОС... помогло... баннера нет... всё работает...
Вот только [B]rundll32.exe[/B] я зря бахнул (он системный) пришлось восстанавливать его из дистрибутива винды...
логи прицепил...

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{82C885EE-6B87-4D51-9EF4-0CFE9FADA900}');
QuarantineFile('C:\Documents and Settings\ALEXEY\Application Data\AdSubscribe\AdSubscribe.dll','');
DelBHO('{6D125299-C2A9-4DBC-BEC3-6F7124E39A41}');
QuarantineFile('C:\DOCUME~1\ALEXEY\APPLIC~1\FieryAds\FieryAds.dll','');
QuarantineFile('c:\windows\system32\netprotocol.dll','');
DeleteFile('c:\windows\system32\netprotocol.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
DeleteFile('C:\DOCUME~1\ALEXEY\APPLIC~1\FieryAds\FieryAds.dll');
DeleteFile('C:\Documents and Settings\ALEXEY\Application Data\AdSubscribe\AdSubscribe.dll');
DeleteFileMask('C:\DOCUME~1\ALEXEY\APPLIC~1\FieryAds', '*.*', true);
DeleteDirectory('C:\DOCUME~1\ALEXEY\APPLIC~1\FieryAds');
DeleteFileMask('C:\Documents and Settings\ALEXEY\Application Data\AdSubscribe', '*.*', true);
DeleteDirectory('C:\Documents and Settings\ALEXEY\Application Data\AdSubscribe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Карантин выслал...
Логи прицепил...

p.s. про khw и khv что скажете???

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [plugin] "C:\Program Files\plugin.exe"[/CODE]Больше плохого не видно

[QUOTE='pistachio;553487']про khw и khv что скажете???[/QUOTE]А они у Вас где появляются?

[QUOTE]А они у Вас где появляются?[/QUOTE]
В корне всех разделов диска (у меня их три) файлы без расширения... размером 0 байт...

[QUOTE]Больше плохого не видно[/QUOTE]

[QUOTE][B]O4 - HKUS\S-1-5-19\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User 'LOCAL SERVICE')[/B]
O4 - HKUS\S-1-5-19\..\RunOnce: [IE7_012] rundll32 advpack.dll,LaunchINFSectionEx IE7int.inf,AfterUserStart,,4,N (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
[B]O4 - HKUS\S-1-5-20\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User 'NETWORK SERVICE')[/B]
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
[B]O4 - HKUS\S-1-5-18\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,NewUserFirstLogonInstall,0 (User 'SYSTEM')[/B]
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
[B]O4 - HKUS\.DEFAULT\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe[/B] [/QUOTE]
как на счет вот этих строчек zzzz2 явное имя чегото плохого...
я писал выше под таким именем баннер сидел в автозагрузке, хотя может это от другого вира...
я ещё картинку обратно прицепил исправленную...

Появляются нулевого размера файлы даже после их удаления?

Приведенные Вами строки, по-моему, относятся к настройкам IE при первом запуске

[QUOTE=thyrex;553567]Появляются нулевого размера файлы даже после их удаления?

Приведенные Вами строки, по-моему, относятся к настройкам IE при первом запуске[/QUOTE]

удалил эти файлы... перезагрузился... вроде не появились...
а на счет строк ... у меня стоитс сборка винды (естествено не офф.) похоже это от туда... что-то типа что должно появиться при первом запуске винды... [B]FirstLogonSetting[/B]... причем запускаеться один раз...

Рекомендую отключить т.н. [I]административный доступ[/I] к дискам:
[CODE]begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RebootWindows(true);
end.[/CODE]
а также установить пароль на учетку Администратора.

[QUOTE=Bratez;553790]Рекомендую отключить т.н. [I]административный доступ[/I] к дискам:

а также установить пароль на учетку Администратора.[/QUOTE]

Как правильно настроить ПК... точнее учётки пользователей...
Сейчас два пользователя ("я" и "она") оба админа... :rolleyes: знаю что неправильно...
- сделать три 1-"я", 2-"она" и 3-"админ"(с паролем)
- или две 1-"я" (админ с паролем) и 2-"она"...
склоняюсь к первому варианту, но как будут работать программы установленные ранее "мной" (или "ей")... если статус учётки сменить на ограниченную... можно ли их будет удалять и изменять из "админа"...
[B]???[/B]

Я имел ввиду встроенную учетную запись [I]Администратор[/I].
На ваши рабочие учетки тоже пароли поставьте.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\netprotocol.dll - [B]Trojan-Downloader.Win32.Piker.bdt[/B] ( DrWEB: Trojan.Packed.19647, BitDefender: Trojan.Generic.2990244, NOD32: Win32/TrojanClicker.Agent.NII trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]