в браузере предложение заплатить через смс

1)при попытке зайти на сайт какого-либо поисковика, загружается окно в стиле "вконтакте" с дополнительным полем для ввода активационного кода и с текстовым предложением заплатить посредством смс.
2)компьютер в безопасный режим не входит (синий экран и перезагруз). 3)плодятся процессы servises.exe и еще один (не записал) - с этим справился сканированием AVPTool в обычном режиме + установленный антивирус Anti-Virus Kaspersky 6 - нашлось в общей сложности 7 разновидностей троянов и червей.

при сканировании HijackThis предложил посмотреть в ..\etc\hosts - там оказались перенаправления - потер все кроме localhost (вроде проблема 1 тоже решена)

проблема 2 не решена, помоготе, прилагаю логи avz и HijackThis.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрволл.
- [URL="http://virusinfo.info/showthread.php?t=4905"]Системное восстановление[/URL].
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]R3 - URLSearchHook: (no name) - - (no file)[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('mailKmd');
DelBHO('95289393-33EA-4F8D-B952-483415B9C955');
QuarantineFile('digiwet.dll','');
QuarantineFile('mailKmd.sys','');
DeleteFile('mailKmd.sys');
DeleteFile('digiwet.dll');
DeleteFile('C:\Documents and Settings\atlon\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('mailKmd');
BC_Activate;
ClearHostsFile;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

все сделал, карантин закачал. при первой перезагрузке подвис - пришлось жестко перезагрузить.
не смог зайти на этот сайт virusinfo.info и на viruslist.ru! на остальные вроде заходит нормально.
карантин выслал, повторные логи прилагаю.

А как Вы логи закачали, если не могли зайти?
[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог с помощью GMER.[/URL]

с другого компа

Делайте логи GMERa и шлите.

не удалось протестировать с помощью этой проги - видимо что-то блокирует запуск (антивирус отключал), а в безопасный режим по прежнему не входит

Сделайте повторный лог с помощью [URL="http://ifolder.ru/12581248"]полиморфного AVZ[/URL] md5: 2091925798b7909e010e3f7e328c5f0d только согласно пункта 2 [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscheck.zip

свежий лог

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(10);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Что с загрузкой в безопасном режиме?

выполнил, в безопасный режим почти загрузился, но выпало окно
lsass.exe - Системная ошибка
Неправильный формат конечной точки
после нажатия "ок" - перезагрузка.

Загрузитесь в нормальном режиме. В меню Пуск выберите "Выполнить..." и введите "cmd". В открывшемся окне введите следующую команду и нажмите Enter;
[CODE]sfc /scannow[/CODE]

все сделал... опять синий экран при загрузке в безопасном режиме
и в нормальном режиме на сайты антивирусов не заходит.

Повторите логи сканирования и лечения полиморфиком.

[QUOTE=drgdr;421553]опять синий экран при загрузке в безопасном режиме[/QUOTE]Что написано на синем экране? Фото или точный текст запостите.
1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. Перегрузить систему
Попробуйте зайти в безопасном режиме.

В дополнение, программа AVZ - файл - выполнить скрипт - выполните скрипт: [code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ixnvw.dll','');
BC_QrFile('C:\WINDOWS\system32\ixnvw.dll');
BC_Activate;
RebootWindows(true);
end.[/code]После перезагрузки, если карантин будет не пустой, загрузите его по ссылке [url]http://virusinfo.info/upload_virus.php?tid=48488[/url] , как написано в прил.3 правил.

не помогло - синий экран.
фото прилагаю

Где логи, которые просил выполнить я? Вы выполнили скрипт, который порекомендовал Numb?

все сделал, карантин выслал.

Карантин - это хорошо. Но я также просил:
[QUOTE=gjf;421573]Повторите логи сканирования и лечения полиморфиком.[/QUOTE]

[QUOTE=drgdr;421798]фото прилагаю[/QUOTE]Почитайте тут: [url]http://support.microsoft.com/?scid=kb%3Bru%3B324103&x=16&y=6[/url] и тут: [url]http://forum.kaspersky.com/lofiversion/index.php/t22180.html[/url]

Выполните [URL=http://www.kaspersky.ru/support/wks6mp3/error?qid=208636215]удаление остатков KIDO[/URL].

[QUOTE=gjf;421853]Карантин - это хорошо. Но я также просил:[/QUOTE]
выполнить-то выполнил, только как сохранить или в какую папку сохраняются логи?

Давайте по пунктам.
1. Скачайте этот файл: [url]http://data2.kaspersky.com:8080/special/KK_v3.4.7.zip[/url]
2. Распакуйте архив и запустите KK.exe
3. После выполнения утилиты перезагрузите систему.
4. Скачайте, если ещё не скачали, [URL="http://ifolder.ru/12581248"]полиморфный AVZ[/URL] md5: 2091925798b7909e010e3f7e328c5f0d
5. Распакуйте содержимое архива в любую папку.
6. [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
7. Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
8. Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]. Читайте Правила внимательно - там всё есть.
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
9. Включите Антивирус и Файрволл
10. Прикрепите новые логи к новому сообщению в этой ветке.

все сделал по пунктам. логи прилагаю.

Кидо жив. С безопасным режимом все также проблема?

да, все также :(

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

заплатки от майкрософта ставил перед запуском kk. во время сканирования он говорил что что-то нашел,удалил...

Если попробовать переименовать gmer, он не запускается?

о, запустился! говорит нашел что-то похожее на руткит и предложил полную проверку.

Соглашайтесь и логи выложите здесь.

лог приложил

Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe.
И запустите cleanup.bat.
После перезагрузки сделайте новый лог gmer.
[B]ВНИМАНИЕ![/B] Если для запуска gmer Вам пришлось переименовать файл gmer.exe во что-то другое, замените gmer.exe в начале каждой строчки прилагаемого ниже текста на то, во что Вы переименовали этот файл.
[CODE]gmer.exe -killall
gmer.exe -del service AppService
gmer.exe -del file "C:\WINDOWS\system32\ixnvw.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@DisplayName"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@Type"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@Start"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@ErrorControl"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@ImagePath"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@ObjectName"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService@Description"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\AppService\Parameters@ServiceDll"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@DisplayName"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@Type"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@Start"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@ErrorControl"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@ImagePath"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@ObjectName"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService@Description"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\AppService\Parameters@ServiceDll"
gmer.exe -reboot[/CODE]

сделал.
везде где удаляется в регистре выскакивает ошибка:
DeleteKey: Параметр задан неверно
и подвис при перезагрузке...

Еще раз лог gmer сделайте

сделал. лог прилагаю.

Хорошо. Теперь сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

готово

Хорошо. Вроде как Кидо добили.
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрволл.[/B]
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]R3 - URLSearchHook: QIPBHO Class - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Documents and Settings\atlon\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll (file missing)[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\atlon\LOCALS~1\Temp\asliahmy.sys','');
DeleteFile('C:\DOCUME~1\atlon\LOCALS~1\Temp\asliahmy.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Google Online Search Service');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
[b]- Обновите базы AVZ![/b]
- Сделайте повторные логи согласно пункта 1 [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
virusinfo_syscure.zip
- На всякий случай скачайте [URL="http://www2.gmer.net/mbr/mbr.exe"]вот такую утилиту[/URL] и запустите её. После запуска в папке с утилитой найдете файл mbr.log. Прикрепите его к следующему сообщению.
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи к новому сообщению в этой ветке.

пишу с бывшего (?) зараженного компа - на вирусинфо пускает. карантин прислал, логи прилагаю.

Миссия выполнена [img]http://fc01.deviantart.com/fs12/i/2006/274/c/4/_cowboy__by_sereneworx.gif[/img]
Вы можете отблагодарить хелперов, которые Вам помогли, добавив им отзыв, а также и весь проект VirusInfo вот [URL="http://virusinfo.info/showthread.php?t=3519"]тут.[/URL]
Рекомендуется изменить все используемые пароли, поскольку теоретически зловред мог их отправить злоумышленникам, а также установить все последние [URL="http://www.windowsupdate.com/"]обновления системы Windows[/URL] и используемых программ. Также, рекомендуется провести полную проверку системы антивирусом.

[COLOR="Red"]В обязательном порядке[/COLOR] установить Сервис Пак 3 (возможно потребуется активация) . Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

P.S. Может Вам будет интересно, но мы с Вами обнаружили новую модификацию Kido. Называться будет Trojan-Downloader.Win32.Kido.bj