Баннер при загрузке Win XP

При загрузке рабочего стола (в любом режиме (безопасный, с поддержкой командной строки....)) появляется баннер "перечислите 400 рублей на счёт телефона 9817539670 и т. д....". При проведении диагностики AVZ начинает поиск, появляется папка LOG (пустая!), но окна AVZ тут же пропадают. При повторении загрузки AVZ - тоже самое. HijackThis не запускается (из папки 1.zip - тоже), говорит якобы отсутствует файл MSVBVM60.DLL. Пробовал утилитой uvs - нашёл несколько файлов, в том числе 22cc6c32.exe. Файл удаляется, пишется в лог, но при перезагрузке появляется вновь. Сейчас работаю с рабочего компа, безуспешно (нет прав доступа к форматированию носителя:rtfm:) пробовал создать LiveCD на домашней флэшке - MS Forefront Protection 2010 увидел 2 трояна - Ransom df и Vundo. Помогите, пожалуйста, избавиться от этой заразы

Уважаемый(ая) [B]Peretc[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].

1. Скопировать на флешку файлы userinit.exe и taskmgr.exe (чистые с дистрибутива или скопировать с системы, аналогичной заблокированной)
2. Загрузиться с Live CD
3. Удалить файлы: C:\documents and settings\all users\application data\22cc6c32.exe, userinit.exe и taskmgr.exe (в папках system32 и system32\dllcache)
4. Скопировать c флешки файлы userinit.exe и taskmgr.exe в C:\WINDOWS\system32
5. Исправляете параметры: [B]shell[/B], где должно быть указано [B]explorer.exe[/B] и [B]userinit[/B], где должно быть указано [B]C:\WINDOWS\system32\userinit.exe,[/B] (включая запятую)

Пробуете стартовать в проблемной системе

Если загрузка пройдет успешно, не торопитесь уходить. Вполне возможно, что будут остатки, которые нужно будет добивать

[QUOTE=thyrex;799327]1. Скопировать на флешку файлы userinit.exe и taskmgr.exe (чистые с дистрибутива или скопировать с системы, аналогичной заблокированной)
2. Загрузиться с Live CD
3. Удалить файлы: C:\documents and settings\all users\application data\22cc6c32.exe, userinit.exe и taskmgr.exe (в папках system32 и system32\dllcache)
4. Скопировать c флешки файлы userinit.exe и taskmgr.exe в C:\WINDOWS\system32
5. Исправляете параметры: [B]shell[/B], где должно быть указано [B]explorer.exe[/B] и [B]userinit[/B], где должно быть указано [B]C:\WINDOWS\system32\userinit.exe,[/B] (включая запятую)

Пробуете стартовать в проблемной системе

Если загрузка пройдет успешно, не торопитесь уходить. Вполне возможно, что будут остатки, которые нужно будет добивать[/QUOTE]


Выполнил все указания, перезагрузился - нет эффекта:(. 22cc6c32 появился опять. Вручную убрал файл NETPROTOCOL.EXE (на него ругался MS Forefront Protection 2010) и 22cc6c32, поправил реестр, перезагрузился, баннер пропал, винда загрузилась до выбора пользователя (но логин только мой, "Администратора" нет) и дальше никак - при выборе пользователя сообщение "загрузка личных параметров" и сразу же через секунду "завершение сеанса" и опять выбор пользователя с одной кнопкой. userinit и taskmgr опять повреждены:( (даже на флэшке, на радостях не подстраховался и забыл её вытащить). Сейчас заново скопировал userinit и taskmgr, но заняться процессом смогу только 23 июня.

Здравствуйте!
Поменял userinit и taskmgr, поменял параметры, вошёл в систему нормально. Mozilla не грузится, говорит, что процесс уже загружен, для повторения необходима перезагрузка. IE работает, с него и пишу. AVZ запускал, но лога irusinfo_syscheck.zip там нет, только virusinfo_cure.zip и virusinfo_syscure.zip. Отправляю оба и hijackthis.log. Посмотрите, пожалуйста.

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
SetServiceStart('Network Adapter Events', 4);
DeleteService('Network Adapter Events');
TerminateProcessByName('c:\windows\system32\mswpjlbr.exe');
QuarantineFile('c:\windows\system32\mswpjlbr.exe','');
DeleteFile('c:\windows\system32\mswpjlbr.exe');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sfc');
BC_Activate;
ExecuteREpair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

MBAM скачать не получается - почему-то страница недоступна... Карантин выслал.

[QUOTE='Peretc;801427']MBAM скачать не получается[/QUOTE]Попробуйте [url="http://www.besttechie.net/mbam/mbam-setup.exe"]Malwarebytes' Anti-Malware[/url] или с [URL="http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe"]зеркала[/URL]

Высылаю новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Никак, обе страницы недоступны..... :-(((((((((

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Логи почему-то не прицепились...

c:\WINDOWS\system32\sfcfiles.dll запакуйте с паролем virus и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Закачал.

Сегодня на работе скачал МВАМ, 29-го буду пробовать.

c:\WINDOWS\system32\sfcfiles.dll замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url] или скопируйте с аналогичной системы

Постарайтесь сделать лог МВАМ

Наконец-то появилась возможность продолжить лечение. Высылаю лог.

[B]Peretc[/B], здравствуйте,
1. [COLOR="Red"][B]Обязательно!!! Отключить системное восстановление!!![/B][/COLOR] как - [URL="http://virusinfo.info/pravila.html"]посмотреть можно здесь[/URL] (по окончанию лечения включите);
- Выгрузите антивирус и/или Файрвол;
- [URL="http://virusinfo.info/showpost.php?p=88804&postcount=1"]Выполните скрипт в AVZ[/URL] ("Файл - Выполнить скрипт" или в англ.версии "File - Custom scripts"). Скопируйте текст кода и вставьте в окно, нажмите "Выполнить (Run)":
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP299\A0343870.exe','');
QuarantineFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0402920.exe','');
QuarantineFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0450870.exe','');
QuarantineFile('d:\Logs\userinit.exe','');
QuarantineFile('f:\WINDOWS\system32\dllcache\iissync.exe','');
DeleteFile('d:\Logs\userinit.exe');
DeleteFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0450870.exe');
DeleteFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP314\A0402920.exe');
DeleteFile('c:\system volume information\_restore{caf5f150-0192-4dcd-8321-9d3d7a8ca0c7}\RP299\A0343870.exe');
BC_ImportAll;
BC_Activate;
ExecuteWizard('TSW',2,3,true);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
2. После перезагрузки выполните такой скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine1.zip');
end.[/CODE]
3. Файл [B][COLOR="Red"]quarantine1.zip[/COLOR][/B] из корня папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы;

Карантин загрузил.

:( По-моему про меня забыли...:worried:

Много воды утекло с тех пор... ;)
Пора сделать новые логи.

[QUOTE=Bratez;811053]Много воды утекло с тех пор... ;)
Пора сделать новые логи.[/QUOTE]

В силу обстоятельств не могу часто бывать на сайте, поэтому все рекомендации делаю с опозданием...
Высылаю новые логи - посмотрите, пожалуйста.

Настройка прокси соответствует действительности? -
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.20.0.1:1[/CODE]
Если нет - пофиксите это в HijackThis.
Более ничего подозрительного не нахожу.
Какие проблемы остались?

[QUOTE=Bratez;812085]Настройка прокси соответствует действительности? -
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 172.20.0.1:1[/CODE]
Если нет - пофиксите это в HijackThis.
Более ничего подозрительного не нахожу.
Какие проблемы остались?[/QUOTE]

Видимых проблем нет. Единственное, что я не понял - настройки прокси... Дело в том, что настройки правильные, только с свойствах IE не стоит галочка "использовать прокси-сервер для поключения LAN". В техподдержке провайдера ничего вразумительного по этому поводу не сказали, кроме "вам это не надо - прокси не используется". Это правильно?

Выполните фикс в HiJack

[QUOTE=thyrex;812290]Выполните фикс в HiJack[/QUOTE]
Пофиксил.
Проблема осталась такаго плана - Mozilla Firefox не запускается, говорит, что процесс уже запущен (в диспетчере программ его нет!). Пробовал переустановить, эффект тот же...
Кроме того при установке firewall от Comodo выскакивает сообщение "нет доступа к службе инсталляции".
Это можно побороть?

Пожалуйста, не забывайте про меня...

[QUOTE=Peretc;812061]В силу обстоятельств не могу часто бывать на сайте, поэтому все рекомендации делаю с опозданием...
Высылаю новые логи - посмотрите, пожалуйста.[/QUOTE]
Про меня опять забыли...:(

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mswpjlbr.exe - [B]Trojan.Win32.Menti.gigw[/B] ( DrWEB: Trojan.Siggen2.28690, BitDefender: Gen:Variant.Kazy.21530, AVAST4: Win32:MalOb-IJ [Cryp] )[*] d:\\logs\\userinit.exe - [B]Trojan-Ransom.Win32.PornoAsset.kp[/B] ( DrWEB: Trojan.Fakealert.21623, BitDefender: Trojan.Generic.KDV.237101, AVAST4: Win32:MalOb-IJ [Cryp] )[*] \\sfcfiles.dll - [B]Trojan.Win32.Patched.lq[/B] ( DrWEB: Trojan.WinSpy.1050, BitDefender: Gen:Variant.Kazy.20567, AVAST4: Win32:WinSpy-HR [Trj] )[/LIST][/LIST]