Порно-баннер. Отправьте СМС на номер 8353

[FONT=Times New Roman][SIZE=3]Поймал порно-баннер с просьбой отправить СМС на номер 8353.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Через сервис разблокировки на сайте Касперского получил код. Баннер исчез.[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]В безопасном режиме компьютер не загрузился. Прогнал в «обычном режиме» Drweb CureIt и Spybot – Search & Destroy. [/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Drweb CureIt нашел trojan.startpage.1505.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]Spybot – Search & Destroy тоже «выцепил» какую-то дрянь (к сожалению в торопях не зафиксировал названия.).[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]После также пробовал Drweb LiveCD - тот ничего не обнаружил.[/FONT][/SIZE]
[SIZE=3][FONT=Times New Roman]После всех процедур компьютер так и грузиться в «безопасном режиме» - похоже какая-то дрянь все же осталась. Помогите пожалуйста искоренить![/FONT][/SIZE]

Выполните скрипт[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(10);
RebootWindows(true);
end.[/CODE]
Отпишитесь

Прошу прощения! В предыдущем сообщении опечатка! Надо было «компьютер так и НЕ грузиться в «безопасном режиме»».
Скрипт выполнил, но ситуация не изменилась. В «безопасном режиме» все же загрузился, подождав 10-15 минут (возможно он и до выполнения скрипта загрузился бы, если подождать 10-15 мин.)
Запустил в «безопасном режиме» Drweb CureIt … Раньше Drweb CureIt проходил все HDD за 3-4 часа. Сейчас прошло уже 10 часов, а мы все еще в районе C:\windows\system32\drivers\*.sys. На каждый файл *.sys уходит по 5-7 минут. Индикатор HDD постоянно горит, как будто бы идут непрерывные дисковые операции. Пока ничего не найдено за исключением пары вирусов в кэше Eset (c:\program files\eset\cache) и Trojan.StartPage.1505 в каталоге c:\documents and settings\All Users\Application Data\Spybot – Search & Destroy\Snapshots2.
Вот еще. При перезагрузках комп завершает работу раза в 2 дольше обычного. Может это Spybot – Search & Destroy и его лучше uninstall уже?

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].

Готово. При закрытии MBAM почему-то сказал что идет сканирование, хотя все вроде было закончено .

Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\WINDOWS\system32\shell31.dll','');
end. [/code]Компьютер перезагрузится

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы


[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные ключи в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FieryAds (Adware.FieryAds) -> No action taken.

Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\braviax (Trojan.Downloader) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\braviax (Trojan.Downloader) -> No action taken.

Зараженные папки:
C:\Program Files\Microsoft Common (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\Директор\Application Data\fieryads.dat (Adware.FieryAds) -> No action taken.
C:\Documents and Settings\Директор\Application Data\wiaserva.log (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\shell31.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Директор\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> No action taken.[/CODE]

После выполнения скрипта комп НЕ перезагрузился автоматически. Сохранил в архив карантин AVZ, а затем перезагрузил вручную.
После перезагрузки выполнил инструкции по удалению в МВАМ. Лог прикреплен. Карантин где положено.
К сожалению симптомы пока все остались:
- комп долго уходит на перезагрузку
- в "безопасный режим" грузиться примерно 10 минут.

Попробуйте удалить SpyBot

Вот еще нашел в Spybot – Search & Destroy чего он удалил (ну то есть с моего согласия):
- Bredolab.fb
- Virtumonde.sdn
- Microsoft.Windows.AppFirewallBypass
- PornoBHO.ru
- TargetMarketingAgency

Сейчас попробую его (Spybot – Search & Destroy ) удалить

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Увы! Не помогло ... Неужели [B]format C:[/B] !?

Может быть еще раз AVZтом?

Сделайте комплект логов. И, если не затруднит, подробнее опишите суть проблемы.

Поймал порно-баннер с просьбой отправить СМС на номер 8353.
Через сервис разблокировки на сайте Касперского получил код. Баннер исчез.
Остались ощущения присутствия какой то дряни, складывающиеся из следующих признаков:
[I]- комп долго уходит на перезагрузку
- в "безопасный режим" грузиться примерно 10 минут
- при запуске Drweb в безопасном режиме за 10 часов прошел не более 30% проверки. При этом на каждый файл C:\windows\system32\drivers\*.sys уходит по 5-7 минут. Индикатор HDD постоянно горит, как будто бы идут непрерывные дисковые операции.[/I]

Прогнал в «обычном режиме» Drweb CureIt. Нашел и удалил trojan.startpage.1505.

Запустил Spybot – Search & Destroy. Нашел и удалил:
- Bredolab.fb
- Virtumonde.sdn
- Microsoft.Windows.AppFirewallBypass
- PornoBHO.ru
- TargetMarketingAgency

Загрузился с Drweb LiveCD и просканировал. Ничего не обнаружено.

Далее обратился к Вам. Выполнил все предписания. Однако все вышеуказанные проблемы:
[I]- комп долго уходит на перезагрузку;
- в "безопасный режим" грузиться примерно 10 минут;
- при запуске Drweb в безопасном режиме за 10 часов проходит не более 30% проверки. При этом на каждый файл C:\windows\system32\drivers\*.sys уходит по 5-7 минут. Индикатор HDD постоянно горит, как будто бы идут непрерывные дисковые операции[/I]
остались :(

Ну хоть бы вердикт какой?

[QUOTE='chips;621852']Остались ощущения присутствия какой то дряни, складывающиеся из следующих признаков:
- комп долго уходит на перезагрузку
- в "безопасный режим" грузиться примерно 10 минут
- при запуске Drweb в безопасном режиме за 10 часов прошел не более 30% проверки. При этом на каждый файл C:\windows\system32\drivers\*.sys уходит по 5-7 минут. Индикатор HDD постоянно горит, как будто бы идут непрерывные дисковые операции.[/QUOTE]
[B]Предполагаю[/B], что Ваши проблемы могут быть из-за этих вот программ:
- SuperSpeed Software;
- StrongDisk Pro--[QUOTE]Основные функции данной утилиты:

* возможность разделения диска на логические устройства без потери данных;

* возможность изменения размеров разделов без потери данных; возможность изменения размера кластеров, преобразования из FAT16 в FAT32 и обратно;

* встроенные утилиты для управления разделами и низкоуровневого редактирования содержимого жестких дисков;

* поддержка до 100 операционных систем на одном компьютере;

* возможность загрузки операционной системы с любого раздела, с любого жесткого диска;

* поддержка нескольких операционных систем на одном FAT-разделе;

* проверка на наличие бутовых вирусов.[/QUOTE]
Временно отключите/удалите эти программы и понаблюдайте за ПК

Дело в том, что этот софт стоит уже ...ндцать лет и не приводил к таким последствиям.
Если я Вас правильно понял - в логах все чисто?
Видимо все-таки что-то слетело в реестре и придется делать format C: :((
В любом случае спасибо за помощь.

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 46 минут[/I][/B][/color][/size]

Сейчас вспомнил!!! Точно такая же проблема была и здесь [URL="http://virusinfo.info/showthread.php?t=53833"]http://virusinfo.info/showthread.php?t=53833[/URL]. Я ведь тогда ее победил. Но КАК? Вот этого не могу вспомнить!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]