Лечение после разблокировки Windows (смс-вымогатели)

Printable View

16.07.2010, 18:57
Равлик

Лечение после разблокировки Windows (смс-вымогатели)

Добрый вечер!
Случилось несчастье и словила вирус, который блокирует систему и требует положить деньги (400 рублей) на номер +7 903 246 96 21.
Помогли найти код разблокировки. После разблокировки провела все необходимые процедуры лечения и собрала все логи. Смотрите в приложении.
Прошу проверить, всё ли чисто, если нет - подскажите, что и как дочистить.
Заранее огроменное Вам спасибо!!! Если бы не ваш сайт - вообще бы не знала, что и делать....
16.07.2010, 19:18
Равлик

Спасибо. Уже качаю!)))
16.07.2010, 19:27
DefesT

Доброго времени суток
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe[/CODE]

Отключите компьютер от интернета, а также [URL="http://virusinfo.info/showthread.php?t=57441"]отключите[/URL] [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\appmgmts.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\svcnost.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ttn61.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\port135sik.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\acpi32.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys','');
DeleteService('Ttn61');
DeleteService('port135sik');
DeleteService('acpi32');
DeleteService('ws2_32sik');
DeleteFile('C:\WINDOWS\system32\drivers\ws2_32sik.sys');
DeleteFile('C:\WINDOWS\system32\drivers\acpi32.sys');
DeleteFile('C:\WINDOWS\system32\drivers\port135sik.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ttn61.sys');
DeleteFile('C:\Program Files\Internet Explorer\svcnost.exe');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам
[QUOTE='Равлик;671258']Спасибо. Уже качаю!))) [/QUOTE]
Это Вы кому?
16.07.2010, 19:59
Равлик

Это я, видимо, сама себе)))) Да просто реклама вылезла, как выяснилось, и я за это поблагодарила)))
Чайник я пока тут)))
А вот на счет ваших подсказок - действительно СПАСИБО! Буду пытаться сделать)))

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

Уфффф... Вроде сделала карантин и послала...
Не знаю, все ли правильно сделала - чайник полный.
А новые логи делать сейчас или когда? И что с ними потом делать?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Мда... Такое ощущение, что я что-то не так сделала с тем, какие файлы надо было добавить в карантин... Уффффф...
Вы еще ничего не получали?...
16.07.2010, 20:06
DefesT

Сделайте [B]новые[/B] логи и прикрепите их к сообщению, как Вы это делали в первый раз
[QUOTE='Равлик;671268']Вы еще ничего не получали?[/QUOTE]
карантин получен, только он пустой, файлы туда не захотели залезать.
16.07.2010, 20:11
Равлик

Ага, сейчас логи новые сделаю и пошлю вам.
А что тогда делать с карантином?...
Вы заранее извините меня, если в чем-то торможу...
16.07.2010, 20:18
DefesT

[QUOTE='Равлик;671291']А что тогда делать с карантином?...[/QUOTE]
давайте о нем забудем :)
16.07.2010, 20:21
Равлик

:) с удовольствием о нем забуду
16.07.2010, 20:26
Равлик

Вложений: 1

Ну вот вроде логи...
16.07.2010, 22:01
DefesT

Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\System32\Drivers\Ttn61.sys');
BC_DeleteFile('C:\WINDOWS\System32\Drivers\Ttn61.sys');
BC_DeleteSvc('Ttn61');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Сделайте новый лог virusinfo_syscheck.zip
16.07.2010, 22:21
Равлик

А интернет отключать, когда буду скрип делать?...

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

А! Поняла))) - по аналогии с тем, что выписали выше - выключить интернет и все отключить)))) И потом делать скрип...
:blush:
16.07.2010, 22:28
Равлик

Вот...
Сделала все, как вы сказали:)
16.07.2010, 23:32
DefesT

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: (no name) - {FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} - (no file)[/CODE]
Больше зловредного не вижу.
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
В целях безопасности рекомендуется установить [B]Service Pack 3[/B] с последними обновлениями (может потребоваться активация!). Обновите Internet Explorer до [B]8[/B] версии, даже, если Вы не используете его, как браузер. Также обновите продукты Adobe и JavaRe
16.07.2010, 23:51
Равлик

СПАСИБО ВАМ ОГРОМНОЕ!!!!
Все сделаю!!!!:D
Уффф!!! Ну у вас и мозг!!!!
17.07.2010, 23:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]