Printable View
Поймал UK Police вирус, или Ukash вирус. Теперь во весь экран баннер с рожей их королевы и угрозой сдать меня в полицию, если не переведу им 100 фунтов стерлингов. Лечение NOD32, PandaSecurity и Касперским ничего не дали. Прошу помощи. Заранее спасибо.
Уважаемый(ая) [B]hawkmoth[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Пофиксите в HiJack
[CODE]F2 - REG:system.ini: Shell=explor[/CODE]Сделайте новый лог
Пофиксить - это после скана отметить соответствующую строчку и нажать "Fix checked"? Сделал, вот новый лог.
Запустите HiJack от имени Администратора по правой кнопке мыши и повторите выполнение фикса
Сделал.
Что с проблемой? Если осталась, вопрос: запускаете AVZ в проблемной учетке?
Проблема осталась. Да, запускаю AVZ в проблемной учетке, после того, как отключаю в msconfig'е все элементы автозагрузки (тогда окно не появляется, и можно спокойно работать)
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Сделал.
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\DellD\AppData\Local\Temp\fcoaitbywcjqtwtwkap.bfg','');
QuarantineFile('C:\Users\DellD\AppData\Local\Temp\qvrglakwiqnpxsulhni.bfg','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Содержимое этих файлов
[QUOTE]C:\ProgramData\eavopgcatteyngllmrk.bat
C:\ProgramData\vbqinkgoqynxcyqfcio.bat
C:\ProgramData\inhlusxpnqiwkalgrvq.bat
C:\ProgramData\pakwtwtqjcwybtiaocf.bat[/QUOTE]процитируйте, открыв их в Блокноте
Не нашел указанные файлы.
У меня нет на диске C:\ папки 'ProgramData'.
Карантин отправил.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Нашел.
eavopgcatteyngllmrk.bat:
[CODE]START "ok" rundll32.exe C:\PROGRA~3\krmllgnyettacgpovae.bfg,OKL00 /B[/CODE]
vbqinkgoqynxcyqfcio.bat:
[CODE]START "ok" rundll32.exe C:\PROGRA~3\oicfqycxnyqogkniqbv.bfg,OKL00 /B[/CODE]
inhlusxpnqiwkalgrvq.bat:
[CODE]START "ok" rundll32.exe C:\PROGRA~3\qvrglakwiqnpxsulhni.bfg,OKL00 /B[/CODE]
pakwtwtqjcwybtiaocf.bat:
[CODE]START "ok" rundll32.exe C:\PROGRA~3\fcoaitbywcjqtwtwkap.bfg,OKL00 /B[/CODE]
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DeleteFile('C:\Users\DellD\AppData\Local\Temp\fcoaitbywcjqtwtwkap.bfg','32');
DeleteFile('C:\Users\DellD\AppData\Local\Temp\qvrglakwiqnpxsulhni.bfg','32');
DeleteFile('C:\ProgramData\eavopgcatteyngllmrk.bat','32');
DeleteFile('C:\ProgramData\vbqinkgoqynxcyqfcio.bat','32');
DeleteFile('C:\ProgramData\inhlusxpnqiwkalgrvq.bat','32');
DeleteFile('C:\ProgramData\pakwtwtqjcwybtiaocf.bat','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Сделайте новые логи + сообщите, что с проблемой
Сделал.
Проблема как таковая исчезла.
Но при запуске появились окна ошибок с такими сообщениями:
[COLOR="#A52A2A"]Возникла ошибка при запуске
C:\Users\Username\AppData\Local\Temp\qvrglakwiqnpxsulhni.bfg
Не найден указанный модуль.
Возникла ошибка при запуске
C:\Users\Username\AppData\Local\Temp\fcoaitbywcjqtwtwkap.bfg
Не найден указанный модуль.[/COLOR]
Логи прикрепляю.
Выполните скрипт в AVZ
[code]begin
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupfolder\C:^Users^DellD^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^inhlusxpnqiwkalgrvq.lnk');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupfolder\C:^Users^DellD^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^pakwtwtqjcwybtiaocf.lnk');
RegKeyDel('HKLM', 'software\microsoft\shared tools\msconfig\startupreg\MicrosoftUpdate');
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Что с проблемой?
Скрипт выполнил.
Вирус не донимает, но теперь при запуске каждый раз выскакивают окна (скрин прикрепляю).
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Сделал.
Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::
File::
c:\users\DellD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\inhlusxpnqiwkalgrvq.lnk
c:\users\DellD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\pakwtwtqjcwybtiaocf.lnk
c:\programdata\eavopgcatteyngllmrk.reg
c:\programdata\vbqinkgoqynxcyqfcio.reg
c:\programdata\inhlusxpnqiwkalgrvq.reg
c:\programdata\pakwtwtqjcwybtiaocf.reg
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Сделал.