Порнобанер черный смс на номер 3381

Проблема аналогична [URL]http://virusinfo.info/archive/index.php/t-61526.html[/URL] черный полупрозрачный банер с двумя порнокартинками просит отправить смс с текстом 1860101784388 на номер 3381. При запуске приложений комп выключается. Хайджеком замаскированым успел создать лог.

запустите [B]Gmer[/B], вкладка "> > >" рядом с Rootrin/Malware, затем вкладка [B]Registry[/B], найдите в ветке
[QUOTE]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
[/QUOTE]
параметр
[QUOTE]AppInit_DLLs[/QUOTE]

Содержимое этого параметра напишите в своем сообщении

C:\Documents and Settings\Администратор\Local Settings\Temp\nlhpal.dll
Обнулил значение его еще до вашего ответа, загрузившись с LiveCD. Помогло AVZ запускается, но Касперский 6.0 после востановления не запускается - пишет "Невозожно открыть днную программу из-за политики ограничения програмного обеспечения...". Кнопка "Диспечера задач" недоступна.

логи сделайте по правилам

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Пришлите файл [B]C:\Documents and Settings\Администратор\Local Settings\Temp\nlhpal.dll[/B] запакованным в архив ZIP с паролем: [COLOR="Red"]virus[/COLOR] по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы, если вы его еще не удалили

Ок. Файл тоже отправлю.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('I:\autorun.inf','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('w:\tinfo.exe','');
QuarantineFile('C:\Program Files\Common Files\System\WebCheck.dll','');
DeleteFile('C:\Program Files\Common Files\System\WebCheck.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','WebCheck');
DeleteFile('G:\autorun.inf');
DeleteFile('I:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(16);
ExecuteRepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Спасибо огромное!!! Всё заработало! Вот новые логи. Может, что не правильно сделал, но я успел уже обновления установить ХР и Эксплорер 8ой. Карантин отправил до обновлений.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;

Ok.

в логе чисто

Отлично! Спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\common files\system\webcheck.dll - [B]Trojan-PSW.Win32.WebMoner.to[/B] ( DrWEB: Trojan.Mifesto, BitDefender: Trojan.Generic.4066241 )[*] \nlhpal.dll - [B]Worm.Win32.NeKav.cy[/B] ( DrWEB: Trojan.Packed.20343, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]