Порнобанер

Printable View

06.03.2010, 13:34
qokyon

Порнобанер

Появился здоровенный порнобаннер поверх всех окон, заблокировал диспетчер задач.
В безопасном режиме удалил из папки Program Files странный файл plugin.exe, которого раньше небыло, незнаю свзязано или нет, но порнобанер после перезапуска не появился.)
Но, как мне показалось, компьютер работает нестабильно.
Посмотрите пожалуйста, есть ли ещё остатки вируса?
06.03.2010, 13:45
CyberHelper

1. Пожалуйста, выполните скрипт AVZ:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('C:\WINDOWS\System32\logon.scr', 'CHQ=S');
QuarantineFile('C:\WINDOWS\system32\ntkrnlpa.exe', 'CHQ=S');
QuarantineFile('C:\WINDOWS\system32\rjuq.mpo', 'CHQ=S');
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll', 'CHQ=S');
QuarantineFile('C:\WINDOWS\system32\wuauclt.exe', 'CHQ=S');
QuarantineFile('C:\WINDOWS\System32\Drivers\BtHidBus.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\btkrnl.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\btwdndis.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\Drivers\Flpydisk.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\Drivers\mnmdd.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\drivers\VHIDMini.sys', 'CHQ=N');
QuarantineFile('C:\Documents and Settings\Nikolay\Local Settings\Temp\_uninst_setup_9.0.0.722_14.12.2009_14-39.exe.bat', 'CHQ=N');
QuarantineFile('C:\Documents and Settings\Nikolay\Local Settings\Temp\_uninst_setup_9.0.0.722_19.02.2010_16-03.exe.bat', 'CHQ=N');
QuarantineFile('C:\Program Files\plugin.exe', 'CHQ=S');
QuarantineFile('C:\WINDOWS\system32\Drivers\BCOREUSB.sys', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\Drivers\IvtBtBus.sys', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\Drivers\tosrfbd.sys', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Tosrfhid.sys', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\drivers\TosRfSnd.sys', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\Drivers\tosrfusb.sys', 'CHQ=G');
QuarantineFile('C:\Program Files\Common Files\SureThing Shared\stllssvr.exe', 'CHQ=G');
BC_QrFile('C:\WINDOWS\System32\logon.scr');
BC_QrFile('C:\WINDOWS\system32\ntkrnlpa.exe');
BC_QrFile('C:\WINDOWS\system32\sfcfiles.dll');
BC_QrFile('C:\WINDOWS\system32\wuauclt.exe');
BC_QrFile('C:\WINDOWS\system32\DRIVERS\btkrnl.sys');
BC_QrFile('C:\WINDOWS\system32\DRIVERS\btwdndis.sys');
BC_QrFile('C:\Documents and Settings\Nikolay\Local Settings\Temp\_uninst_setup_9.0.0.722_14.12.2009_14-39.exe.bat');
BC_QrFile('C:\Documents and Settings\Nikolay\Local Settings\Temp\_uninst_setup_9.0.0.722_19.02.2010_16-03.exe.bat');
BC_QrFile('C:\Program Files\plugin.exe');
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить [URL]http://virusinfo.info/index.php?page=uploadclean[/URL]
06.03.2010, 13:45
Шапельский Александр

Пофиксить в Hijack
[CODE]F2 - REG:system.ini: Shell=explorer.exe rundll32.exe rjuq.mpo owbtiln[/CODE]
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\plugin.exe','');
QuarantineFile('C:\WINDOWS\system32\rjuq.mpo','');
DeleteFile('C:\WINDOWS\system32\rjuq.mpo');
DeleteFile('C:\Program Files\plugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','plugin');
BC_ImportAll;
ExecuteSysClean;
Executerepair(11);
Executerepair(16);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
07.03.2010, 23:08
qokyon

Повторно закачал карантин.
Новые логи:
07.03.2010, 23:28
Шапельский Александр

Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('zxsderfbukjfyshlhdfrstdzhdfash.sys','');
DeleteService('zxsderfbukjfyshlhdfrstdzhdfash');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\autorun.inf');
DeleteFilemask('C:\Program Files\Ask.com','*.*',true);
DeleteDirectory('C:\Program Files\Ask.com');
DeleteFile('Scheduled Update for Ask Toolbar.job');
DeleteFile('zxsderfbukjfyshlhdfrstdzhdfash.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
P.S. Лог Hijack тоже сделайте
08.03.2010, 23:28
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]48[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\autorun.inf - [B]Trojan-GameThief.Win32.OnLineGames.rem[/B] ( DrWEB: Win32.HLLW.Autoruner.1294, BitDefender: Trojan.AutorunINF.Gen, NOD32: INF/Autorun virus, AVAST4: BV:Malware-gen )[*] c:\windows\system32\amvo.exe - [B]Worm.Win32.AutoRun.clb[/B] ( DrWEB: Trojan.MulDrop.6474, BitDefender: Trojan.Generic.2205115, NOD32: Win32/PSW.OnLineGames.NLI trojan, AVAST4: Win32:Crypt-CKA [Trj] )[*] c:\windows\system32\amvo0.dll - [B]Worm.Win32.AutoRun.clb[/B] ( DrWEB: Trojan.PWS.Wsgame.2387, BitDefender: Trojan.PWS.OnlineGames.WMV, NOD32: Win32/PSW.OnLineGames.NLK trojan, AVAST4: Win32:Oliga [Trj] )[*] c:\windows\system32\rjuq.mpo - [B]Trojan-Downloader.Win32.Agent.dhjt[/B] ( DrWEB: Trojan.Oficla.26, BitDefender: Trojan.Generic.3289907, NOD32: Win32/Oficla.EF trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\3wcxx91.cmd - [B]Worm.Win32.AutoRun.clb[/B] ( DrWEB: Trojan.MulDrop.6474, BitDefender: Trojan.Generic.2205115, NOD32: Win32/PSW.OnLineGames.NLI trojan, AVAST4: Win32:Crypt-CKA [Trj] )[/LIST][/LIST]