Возвращение смс Download Master

Суток не прошло. :(
Модифицировался вирусок.
Теперь он Выбрасывает сообщение (в безопасном режиме) - [I]Касперский обнаружил следующие вирусы...[/I]
И предлагает зачистить файлы в системных папках.
Затем уже следует окно с СМС.
В обычном режиме предложения с СМС не выскакивает, но при любой попытки запустить исполняемый файл выбрасывает окно

[I]Касперский обнаружил следующие вирусы...


[/I]Прогнал Касперским [I]Лайф_СД никакого результата[/I][I].
[/I]Вопрос, в какую папку Касперский Лайф СД сохраняет антивирусную базу, карантин и свои отчеты. Похоже вирус глушит и Касперского.

Сейчас попробую AVP Tool (через загрузочный Live_CD ), но боюсь, что и он не справится, потому что базу будет разворачивать в ту же папку.

Если не получится, попробуйте получить код разблокировки здесь:
[url]http://virusinfo.info/deblocker/[/url]
Если после этого вымогатель исчезнет, попробуйте сделать логи по правилам.

AVP нашел в TEMP четыре Exploit После этого исчезли заставки но при попытке запуска любой программы комп перезагружается. Даже при запуске вашей game.pif.

Может как-то почистить реестр с помощью Live_CD, где-нибудь можно почитать, как пользоваться редактором реестра в Live_CD?

explorer.exe запускается?
Если да, переименуйте game.pif в explorer.exe и попробуйте сделать логи.

[QUOTE=Nikkollo;549997]explorer.exe запускается?
Если да, переименуйте game.pif в explorer.exe и попробуйте сделать логи.[/QUOTE]
При попытке запуска explorer.exe комп вышел из системы без перезагрузки зашел под под теме же пользователем и в этот раз [B]explorer.exe[/B] запустился, выполнил п.3 и сделал лог [B]hijackthis[/B] После чего перезагрузил коп, думаю, что это была ошибка. Теперь [B]explorer.exe [/B]тоже не запускается. Так что п.2 Стандартных скрптов сделать не могу. При выполнении п.3. AVZ нашел вирус и отправил его в карантин, могу выслать.

Да, загрузите карантин по красной ссылке вверху темы "Прислать запрошенный карантин", как описано в Приложении 3 к правилам.

[QUOTE=Nikkollo;550043]Да, загрузите карантин по красной ссылке вверху темы "Прислать запрошенный карантин", как описано в Приложении 3 к правилам.[/QUOTE]
Загрузил.

Выполняйте все в переименованном AVZ:

Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\cursors\stopwtch.ani:exaSnrGYA9hVdzzQSh3K:$DATA','');
QuarantineFile('M:\PdtGuide.exe','');
QuarantineFile('G:\DISTR\poweroff53-06betar.exe','');
QuarantineFile('C:\WINDOWS\Cursors\stopwtch.ani','');
DeleteFile('c:\windows\cursors\stopwtch.ani:exaSnrGYA9hVdzzQSh3K:$DATA');
BC_ImportAll;
ExecuteWizard('TSW', 2, 2, true);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Повторите пункт "Диагностика" правил и приложите получившиеся логи в теме.

[QUOTE=Nikkollo;550051]Выполняйте все в переименованном AVZ:.[/QUOTE]
Комп перезагружается при попытке выполнения [B]explorer.exe

[/B]Под каким именем запускать?

Может под Лайф_СД и в ручную удалить?

попробуйте notepad.exe, iexplore.exe.
Если работает, переименуйте в имя этого файла и выполните скрипт, выложенный выше.

[QUOTE=Nikkollo;550067]попробуйте notepad.exe, iexplore.exe.
Если работает, переименуйте в имя этого файла и выполните скрипт, выложенный выше.[/QUOTE]
Запустить запускается, но выбрасывает окно с сообщением, что [B]eKAV[/B] обнаружил вирусы и предлагает зачистить их. Через минуту выскакивает предложение отправить СМС, но попытка использовать [url]http://virusinfo.info/deblocker/[/url][COLOR=red] [/COLOR]выдает текст - [COLOR=red]4298\n5739[/COLOR] однако этот код не работает.

При попытке запустится под именем [B]explorer.exe [/B]компутер перезагружается

Сейчас делаю попытку почистить опять с Лайф_СД Касперского

[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]

Лайв_СД Касперсокого ничего не нашел.

[size="1"][color="#666686"][B][I]Добавлено через 54 минуты[/I][/B][/color][/size]

[QUOTE=tigr62;550136]

При попытке запустится под именем [B]explorer.exe [/B]компутер перезагружается [/QUOTE]

При попытках загрузить под именем notepad, выбрасывает окно с СМС. При попытках войти в папку не с полиморфным AVZ, перезагружается комп. Пытался переименовать обратно в game.pif, тоже перезагрузка.


Можно ли зачистить с использованием ЛАЙВ_СД?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 10 минут[/I][/B][/color][/size]

проделал следующие шаги

1. Перименовал файл в 123.exe и поместил его в папку с названием 01
2.. При запуске мелькнуло окно eKAV-antivirus, Переименовал файл в [B]E[/B]xplorer.exe. Компьютер вышел из системы с объявлением - "Закрытие сетевых подключений". Но не презагрузился!!!!
3. Зашел опять, под тем же пользователем. И запустил [B]E[/B]xplorer.exe еще раз. AVZ запустился выполнил первый скрипт. Но комп не перезагрузился. Перезагрузил в ручную. Второй раз такой фокус не проходит. Единственное, что заметил, что если ему подсовывать нестандартные имена файлов, то есть возможность запустить [B]E[/B]xplorer.exe один раз.

Папки с карантином созданы,. Как мне их запаковать и с каким паролем, чтобы Вам переслать?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 6 минут[/I][/B][/color][/size]

[QUOTE=tigr62;550136]
Папки с карантином созданы,. Как мне их запаковать и с каким паролем, чтобы Вам переслать?[/QUOTE]
Отправил карантин. Случайно запустил и выполнил скрипт упаковки.

Ура! Танцы с бубном, таки помогли. :rolleyes:

Высылаю логи
Не работает только Восстановление Системы. Диспетчер задач заработал.

[QUOTE=tigr62;550299]Ура! Танцы с бубном, таки помогли. :rolleyes:

Высылаю логи
Не работает только Восстановление Системы. Диспетчер задач заработал.[/QUOTE]
ЗЫ:
Оказывалось - "ещё не вечер".

После удаления Нортон_Секюрити и перестал работать диспетчер задач. Поставил не перезагружаясь Eset_Smrt_Security, проверил систему обнаружил 69 Kryptik.BPB.
Сделал новые логи.

Выполните скрипт в AVZ:
[code]
begin
QuarantineFile('C:\WINDOWS\Cursors\stopwtch.ani:exaSnrGYA9hVdzzQSh3K','');
QuarantineFile('C:\WINDOWS\Cursors\stopwtch.ani','');
BC_ImportALL;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=65654[/url]).

[QUOTE=Bratez;550345]Выполните скрипт в AVZ:
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [URL]http://virusinfo.info/upload_virus.php?tid=65654[/URL]).[/QUOTE]
Диспетчер задач работает, Восстановление системы , тоже.

Карантин отправил.
В карантине сейчас четыре файла, Видимо и те, которые ночью скриптом бил. У двух файлов (как я думаю последних) размер нулевой.

Высылаю логи.

Спасибо!

Карантин оказался пустым

Пуск - Выполнить - regedit

Щелкая по плюсикам, доберитесь в ветку
[code]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/code]
Найдите в правой части параметр [b]AppInit_DLLs[/b] и удалите в нем упоминания о [b]C:\WINDOWS\Cursors\stopwtch.ani:exaSnrGYA9hVdzzQSh3K[/b]

[QUOTE=thyrex;550434]Найдите в правой части параметр [B]AppInit_DLLs[/B] и удалите в нем упоминания о [B]C:\WINDOWS\Cursors\stopwtch.ani:exaSnrGYA9hVdzzQSh3K[/B][/QUOTE]
Удалил. Перезагрузил комп. Параметр [B]AppInit_DLLs[/B] после перезагрузки пуст.

Проблема решена?

[url]http://virusinfo.info/showthread.php?p=549951#post549951[/url]
ЗЫ: Обнаружил, что не работает Языковая панель. В региональных настройках (Панель управления) кнопка серая. Включить не могу, но раскладка (рус/лат) меняется.

[QUOTE=thyrex;550493]Проблема решена?[/QUOTE]
Всё работает! Спасибо всем!

ЗЫ: И всё же зловред, какой-то уж злой под новый год всех долбит.

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 41 минуту[/I][/B][/color][/size]

[QUOTE=tigr62;550495]Всё работает! Спасибо всем!

ЗЫ: И всё же зловред, какой-то уж злой под новый год всех долбит.[/QUOTE]
ЗЫ: Обнаружил, что не работает Языковая панель. В региональных настройках (Панель управления) кнопка серая. Включить не могу, но раскладка (рус/лат) меняется