пополнить счет абонента Билайн 8-964-371-15-68

Printable View

07.01.2011, 13:34
click

пополнить счет абонента Билайн 8-964-371-15-68

Требует попполнить счет пополнить счет абонента Билайн 8-964-371-15-68 на 400 р. на выданном терминалом чеке вы найдете код разблокировки

Смена даты и загрузка в безопасном режиме не помогают. В систему зайти не могу чтобы выполнить необходимые тесты для получения логов
07.01.2011, 13:38
thyrex

1. Скачайте образ [B]ERD Commander[/B], запишите на болванку и загрузитесь с созданного диска
2. Пуск - Выполнить - [B]erdregedit[/B]
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/code]
[B]параметр[/B]
[code]userinit[/code]
[B]параметр[/B]
[code]shell[/code]
Значения этих параметров напишите в своем сообщении
07.01.2011, 14:31
click

[QUOTE=thyrex;752364]1. Скачайте образ [B]ERD Commander[/B], запишите на болванку и загрузитесь с созданного диска
[/QUOTE]

erd commander систему не увидел поэтму загрузился с другого live-CD
итак:
[code]userinit C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\dc9ee5df.exe,C:\WINDOWS\system32\jovkkf.exe,[/code][code] shell C:\DOCUME~1\1B8C~1\LOCALS~1\Temp\0.961984016975997.exe[/code]
в этой же ветке есть еще неизвестный ключ реестра
[code]usrint C:\WINDOWS\system32\jovkkf.exe[/code]
07.01.2011, 14:37
thyrex

Исправляйте на такое
[CODE]userinit [B]C:\WINDOWS\system32\userinit.exe,[/B]
shell [B]explorer.exe[/B][/CODE]

Перезагружайтесь и приступайте к выполнению правил
07.01.2011, 17:57
click

Вложений: 1

[QUOTE=thyrex;752386]Перезагружайтесь и приступайте к выполнению правил[/QUOTE]
Прошу прощения за то что так долго делал логи
07.01.2011, 19:03
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
O1 - Hosts: 78.36.173.137 srv02
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
[/CODE]
2.Отключите[B][COLOR="Red"] Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile(' C:\DOCUME~1\1B8C~1\LOCALS~1\Temp\0.961984016975997.exe','');
QuarantineFile('C:\WINDOWS\system32\dc9ee5df.exe','');
QuarantineFile('C:\WINDOWS\system32\jovkkf.exe','');
DeleteFile(' C:\DOCUME~1\1B8C~1\LOCALS~1\Temp\0.961984016975997.exe');
DeleteFile('C:\WINDOWS\system32\jovkkf.exe');
DeleteFile('C:\WINDOWS\system32\dc9ee5df.exe');
QuarantineFile('C:\WINDOWS\system32\rescue32.exe','');
QuarantineFile('C:\Documents and Settings\Евгеня Петровна\Главное меню\Программы\Автозагрузка\chkntfs.exe','');
QuarantineFile('c:\windows\system\lsass.exe','');
DeleteFile('c:\windows\system\lsass.exe');
DeleteService('darkness');
DeleteFile('C:\Documents and Settings\Евгеня Петровна\Главное меню\Программы\Автозагрузка\chkntfs.exe');
DeleteFile('C:\WINDOWS\system32\rescue32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Rescue');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
07.01.2011, 19:59
click

[QUOTE=polword;752488]1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR=blue]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])[/QUOTE]
Вот кажется все сделал:rolleyes:
07.01.2011, 21:01
polword

[B][COLOR="Red"][SIZE="4"]Отключите[/SIZE][/COLOR][/B][B][COLOR="Red"] Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IM3ORRI1\vxs3oflpw7exd[2].htm');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IM3ORRI1\w22sdzdxym[1].htm');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\IM3ORRI1\w22sdzdxym[2].htm');
DeleteFile('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\T34Q37H9\a9o63p1uf8[1].htm');
DeleteFile('C:\WINDOWS\system32\rescue32.exe');
DeleteFileMask('C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];
07.01.2011, 21:45
thyrex

А также

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
08.01.2011, 11:00
click

[QUOTE=polword;752536][B][COLOR=Red][SIZE=4]Отключите[/SIZE][/COLOR][/B][B][COLOR=Red] Системное восстановление!!![/COLOR][/B][/QUOTE]
Отключил я его, служба остановлена и отключена, еще перед самыми первыми логами.:rolleyes:
логи чуть позжее тк комп который лечил не у меня дома.
08.01.2011, 14:32
click

готово
08.01.2011, 15:10
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [code]Заражённые ключи в реестре:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DARKNESS (Trojan.Backdoor) -> No action taken.

Заражённые папки:
c:\program files\common files\wm\keys (Trojan.KeyLog) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar (Trojan.Agent) -> No action taken.

Заражённые файлы:
c:\documents and settings\евгеня петровна\application data\zfdxthholmt3yvaeemtallbqqquemlt2\csrss.exe (Spyware.Passwords) -> No action taken.
c:\documents and settings\евгеня петровна\local settings\temporary internet files\Content.IE5\S4ICFOOW\dontrun[1].exe (Spyware.Passwords) -> No action taken.
c:\WINDOWS\pss\chkntfs.exestartup (Spyware.Passwords.XGen) -> No action taken.
c:\WINDOWS\system32\2'uѓ”лёєшлlѓ (Spyware.Passwords.XGen) -> No action taken.
c:\WINDOWS\system32\2wpѓ”{iєђ{s‚ (Spyware.Passwords.XGen) -> No action taken.
c:\WINDOWS\system32\2wvѓ”лћє`™_ѓ (Spyware.Passwords.XGen) -> No action taken.
c:\WINDOWS\system32\hg (Backdoor.Bot) -> No action taken.
c:\WINDOWS\system32\Hўўв°5V (Backdoor.Bot) -> No action taken.
c:\WINDOWS\system32\@ (Backdoor.Bot) -> No action taken.
c:\program files\common files\keylog.txt (Malware.Trace) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\after.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\dir.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\dot.gif (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\htmlayout.dll (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\key (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\logo.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\logo2.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\myriadwebpro-condensed.ttf (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-h-scroll-next.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-h-scroll-prev.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-scroll-back.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-scroll-base.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-scroll-slider.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-v-scroll-next.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sb-v-scroll-prev.png (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\scroll.css (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\sview (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\winxrar.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\winxrarview.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\евгеня петровна\application data\winxrar\xsendexe.tmp (Trojan.Agent) -> No action taken.[/code]
09.01.2011, 13:25
click

стойкий блокер попался, терь сменился номер и сумму уже поменьше требовает
09.01.2011, 13:32
thyrex

Лог МВАМ после удаления где?

Никаких следов блокера в этих логах не видно
10.01.2011, 13:32
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\евгеня петровна\\главное меню\\программы\\автозагрузка\\chkntfs.exe - [B]Trojan.Win32.Oficla.awj[/B] ( DrWEB: Trojan.Packed.21143, BitDefender: Gen:Variant.Kazy.1666, AVAST4: Win32:Crypt-HTA [Trj] )[*] c:\\docume~1\\1b8c~1\\locals~1\\temp\\0.961984016975997.exe - [B]Trojan-Ransom.Win32.Gimemo.kg[/B] ( DrWEB: Trojan.Winlock.2741, BitDefender: Gen:Heur.VIZ.2, NOD32: Win32/LockScreen.YL trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system\\lsass.exe - [B]Trojan.Win32.Swisyn.alxe[/B] ( DrWEB: Trojan.DownLoader1.8764, BitDefender: Trojan.Generic.4884216, NOD32: Win32/Delf.PQK trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\dc9ee5df.exe - [B]Trojan.Win32.Pakes.oha[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Heur.FKP.1, NOD32: Win32/Spy.Shiz.NAI trojan, AVAST4: Win32:MalOb-DS [Cryp] )[*] c:\\windows\\system32\\jovkkf.exe - [B]Trojan.Win32.Pakes.ohb[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4716631, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-DS [Cryp] )[*] c:\\windows\\system32\\rescue32.exe - [B]Backdoor.Win32.IRCNite.blt[/B] ( DrWEB: Trojan.DownLoader1.29293, BitDefender: Gen:Variant.Kazy.1638, AVAST4: Win32:Zbot-MVW [Trj] )[/LIST][/LIST]