Баннер на номер 3381 (M201717655)

Здравствуйте! Тоже подхватил троянца. В общем, если и удается запустить какую-то программу, то в первые секунды работы системы. После этого скорее всего к программе приклеивается "ярлык", потому что в следующий раз вирус запускается сразу при запуске именно этой программы. Самый "живучий" оказался Спайбот, что-то находит, удаляет, результат = все на месте, не работает обновление. При запуске AVZ компьютер уходит в перезагрузку (собственно, что дальше там я не смотрел, сразу жал Резет). Антивирус стоял Avira, запрещен запуск. Cureit запускал с Безопасного, видимо он его еще не знает или виснет на нем в System32 на каких-то файлах с расширением sys уже в самом конце ^^. Почитал Ваши правила и рекоммендации. Сейчас качаю Kav_Rescue (~50%, еще качать 1,5 часа с моей скоростью), потом буду AVPTools. Может есть вариант получения кода для разблокировки? Поделитесь, пожалуйста!
Забыл дополнить что коды с сайтов Др. Вэбера и Касперского я пробовал, не помогают.

Звоните [url]http://virusinfo.info/showthread.php?t=78765[/url]

После разблокировки приступайте к разделу Диагностика правил

Звонил на бесплатный - или не хотят трубку брать, или перегружены. На платный, к сожалению, денег нет. Частично проблема решилась с помощью Kaspersky Rescue Disk 10.0: программы запускаются; исчезли сообщения об ошибках; с помощью gpedit.msc восстановил доступ к реестру. Из оставшегося: Avira все также в ауте, пишет что заблокирована администратором; почему-то постоянно перегружается модем DSL-2520U (Пароль, поставленный на него мной, отчего-то не подошел. Пришлось сбрасывать на заводские). Хотя, последнее, может, к теме и не относится... Запустил AVZ (где у него логи так и не нашел), Hijack и ComboFix (логи прикрепляю). Kaspersky Rescue Disk нашел Trojan.Win32.AutoRun.oc и HEUR:Trojan.Win32.Generic. Скорее всего последний и был причиной - слишком в многие места забрался.

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\S4YUFVs.exe,\\?\globalroot\systemroot\system32\oNS0Gta.exe,
O20 - Winlogon Notify: winueb32 - winueb32.dll (file missing)
[/CODE]

AVZ- запускается? Если да, то сделайте логи.

В HijackThis таких строк не нашел. Прикрепляю лог AVZ.

это не тот лог. Читайте [URL="http://virusinfo.info/pravila_old.html"]правила [/URL]внимательно.
нужны логи virusinfo_syscure.zip и virusinfo_syscheck.zip

Все понял, исправляюсь...
Файл virusinfo_cure.zip "весит" 19 с лишним метров. Его тоже отсылать и как?
Мдя, после того как захотел отправить последний на файлообменник у меня снова блокировались диспетчер задач и редактор реестра. Что делать?

Отправляю логи заново.
Этого ->
1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\S4YUFVs.exe,\\?\globalroot\systemroot\system32\oNS0Gta.exe,
O20 - Winlogon Notify: winueb32 - winueb32.dll (file missing)
- > сделать не могу, т.к. в HijackThis нет таких строк. См. приложенный [URL="http://virusinfo.info/attachment.php?attachmentid=239805&stc=1&d=1274456274"]hijackthis.log.[/URL]

[QUOTE='Sergebambel;641280']Файл virusinfo_cure.zip "весит" 19 с лишним метров. Его тоже отсылать и как?[/QUOTE] Это отправьте по "красной" ссылке вверху темы.

[QUOTE=PavelA;641526]Это отправьте по "красной" ссылке вверху темы.[/QUOTE]

Эм, я вообще тот, старый грохнул, извиняюсь. Отослал новый, поменьше.

Вот логи с соеднего компьютера, объеденены в сетку. Не мог ли вирус с него перелезть на мой?

Значит на нем сработала все-таки Avira, опредлелила вирус "TR/Ransom.PornoBlocker.EO Trojan". В результате он в полном здравии и поныне. Скорее всего базы на нем были актуальнее. Но последствия могли же остаться?

И еще один нестандартный вопрос: может стоит запретить допуск к темам незарегистрированным пользователям? У меня постоянно "висит" 1 Гость. Может это тот самый производитель вируса, учится на ошибках?

Вот и подтверждение: как только написал - сразу исчез :)

И все-таки, ребят, мне интересно кто сейчас, в данный момент в 17-04, висит в этом топике? Неужели не сможете это определить? Если ты меня "слышишь", производитель этого троянца - иди пожалуйста "№?:;:%:? с чистой совестью. Понял?

С Авирой я все-таки разобрался благодаря этой страничке [url]http://www.solnechnogorsk.net/forum/forum17/thread91011.html[/url] Правда в трее она так и не появилась. Запустил, обновил, начал сканирование: обнаружилось уже 4 угрозы, числящиеся на 1-м компьютере. Может быть больше :) Если нужно, то отошлю карантин.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\Soft\G-414141ERER-1233211231-12313242131-555\FEB.exe','');
QuarantineFile('C:\CRaZy\TRaiN\STReLjaSTVo.exe','');
QuarantineFile('C:\Program Files\Adobe\adrouter.dll','');
QuarantineFile('C:\S-1-5-21-1482476501-1644491937-682003330-1013\Mars1.exe','');
DeleteFile('C:\S-1-5-21-1482476501-1644491937-682003330-1013\Mars1.exe');
DeleteFile('C:\Program Files\Adobe\adrouter.dll');
DeleteFile('C:\CRaZy\TRaiN\STReLjaSTVo.exe');
DeleteFile('c:\Soft\G-414141ERER-1233211231-12313242131-555\FEB.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','InternetServics1');
DelCLSID('{E2085722-3AC0-4411-A14B-906AFE1A75C4}');
DelCLSID('{63KLC5K0-4OPM-00WE-AAX8-17EF1D187263}');
DelCLSID('{35TGC6Z0-4FuO-31XF-AVC2-21CX1Z6Og23}');
DeleteFileMask('C:\CRaZy', '*.*', true);
DeleteDirectory('C:\CRaZy');
DeleteFileMask('c:\Soft', '*.*', true);
DeleteDirectory('c:\Soft');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Карантин отослал ранее. Отсылаю логи AVZ и HijackThis.

[QUOTE='Sergebambel;642018']Карантин отослал ранее.[/QUOTE]После выполнения скрипта отсылали?

В логах ничего плохого

Установите [url="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/url] или удалите старый

Отослал после выполнения, весит 19 с лишним уже. Не уверен что дошел, подтвердите плиз! Акробат был нерабочий, просто числился, удалил остатки.

[QUOTE='Sergebambel;642051']Отослал после выполнения[/QUOTE]Нужен карантин после выполнения скрипта из сообщения №19

Тот карантин, что получился после выполнения скрипта и перезагрузки (сообщение №13?) переслал заново. Про него я и писал. Дата составления карантина 21.05.2010 18:44.

Вердикт уже вынесен
[QUOTE='thyrex;642032']В логах ничего плохого[/QUOTE]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]