пополнить баланс на 2000. Локер [Trojan-PSW.Win32.VKont.kq, not-a-virus:RemoteAdmin.Win32.RAdmin.ic ]

1)Лазил на сайте, выскочила реклама и паралельно открылась вкладка с непонятным сайтом. Локер сработал моментально и написано, что нужно пополнить счет на 2000.
К сожалению фото нету, но если потребуется, могу сделать.
В безопасном режиме cureit ничего не нашел, зато удалось зайти через другой пользователь. Также делал восстановление системы, локер исчез, но минут через 10 вновь появился.

2)в опере слева сверху выскакивает реклама(порно). Всегда приходится нажимать кнопку "закрыть" в рекламе.

Уважаемый(ая) [B]myaso[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Ну что, есть решения какие нибудь?

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('gsplittm');
QuarantineFile('F:\ADVANC~1\wh_hook.dll','');
QuarantineFile('F:\Program Files\ZennoLab\ZennoPoster Demo\uninstall\Installer.exe.bak','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\БРУТЫ\брут дедиков\EbriBrute\ebri.zip','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\слежка\будет\msupdate.exe','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\слежка\будет\inst.exe','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\Подозрительный софт\wm.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\Подозрительный софт\check.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\vkontakte_accounts_manager_fixed.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\приват\Spamer_Vkontakte_zero_tolerance.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\vkontakte_pass_by_emai_retriever.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\Solitario Crypter.rar','');
QuarantineFile('F:\Documents and Settings\дима\Рабочий стол\Bce DuMoHa\RxBot_Encrypt_Decrypt.zip','');
QuarantineFile('F:\WINDOWS\system32\Drivers\ST77bus.sys','');
QuarantineFile('F:\WINDOWS\System32\Drivers\aswSP.SYS','');
QuarantineFile('F:\ADVANC~1\wh_exec.exe','');
QuarantineFile('F:\DOCUME~1\F185~1\LOCALS~1\Temp\gsplittm.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])


логи делались из под проблемной учётки или здоровой ?

Сделал, локер не исчез. Карантин отправлен.
Все действия выполняю с соседней(здоровой) учетки.

Скрин локера прикрепил.

[quote="myaso;966588"]Все действия выполняю с соседней(здоровой) учетки.[/quote]
из под здоровой учётки логи AVZ бесполезны.

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]

на шаге №4 выберите проблемную учётку.

сделал.

[url]http://www.sendspace.com/file/ippkfp[/url] - ссылка на лог.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

breg
; F:\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
addsgn A7679B19B192CF9E3787F8E60C08B645254DB8D295379B877A0481984C1AF5B3DC7F33F37E55625CA75FC49FCB526DE6F49BCC7ED88FB4C40E925BD064BA8633 8 Trojan.Winlock.6412

zoo 㩃停潲牧浡䘠汩獥卜景䥴䕃䍜浯潭屮楂屮卄卒捶攮數
delref HTTP://HOME.WEBALTA.RU
delref HTTP://WEBALTA.RU/SEARCH
delref HTTP://WWW.SMAXL.NET
chklst
delvir
restart[/CODE]

после перезагрузки пришлите карантин и сделайте новый лог uVS

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ F:\PROGRAM FILES\SWEETIM\MESSENGER\SWEETIM.EXE вы устанавливали такую программу ?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

на шаге №2 при выполнение скрипта опять выберите учётку проблемного пользователя.

К сожалению, 6165564.EXE удалил вручную т.к. нужна была срочно учетка, а времени чистить не было.

SWEETIM.EXE вроде не устанавливал. Ну как я понял это какой то чат. Мне он не нужен.

Лог uVS - [url]http://www.sendspace.com/file/oj24n0[/url]
остальные прикрепил.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

breg
zoo %SystemDrive%\DOCUME~1\F185~1\LOCALS~1\TEMP\GSPLITTM.SYS
delall %SystemDrive%\DOCUME~1\F185~1\LOCALS~1\TEMP\GSPLITTM.SYS
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\6165564.EXE
zoo I:\RUNAUT~1\AUTORUN.PIF
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДИМА\РАБОЧИЙ СТОЛ\VK CHECKER LITE_\YANDEX.MONEYT\BRUTE\BRUT.EXE
delref COPY
zoo 㩃停潲牧浡䘠汩獥卜景䥴䕃䍜浯潭屮楂屮卄卒捶攮數
CLRMD
regt 13
exec MSIEXEC.EXE /X{266C7330-C0F4-49E5-8F20-A56F9F822875}
exec MSIEXEC.EXE /X{A1E4213E-06AD-4C58-8315-92F11531D960}
chklst
delvir
restart
[/CODE]

после перезагрузки пришлите карантин и сделайте новый набор логов по правилам.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

+ в карантин, что за архив вы загрузили ? там вперемешку с HackTool идут и самые настоящие трояны, в том числе и ворующие пароли :O

После выполнения скрипта все перепуталось. Буквы дисков перепутались. Винда нормально не работаетб восстановление системы не работает(rstrui.exe - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства.). Язык не переключается.

[b]myaso[/b], где новые логи ? где карантин ?
Из-за скрипта такого быть не должно, что вы ещё делали ?

Во время выполнения скрипта выскочило окно типо удалить этот элемент? Что то от виндовс. Я нажал нет. С этого момента все началось.

regist логи сделать не могу пока что. винда нормально не работает. При нажатии на любой файл правой кнопкой - перезагрузка компьютера. Больше ничего не делал это 100%. Совмещение дисков произошло после скрипта. Ф и С объединились в один. Нужно как то сделать восстановление системы. Как?


Карантина кстати нет. Есть папка ЗОО

[quote="myaso;970491"]Во время выполнения скрипта выскочило окно типо удалить этот элемент? Что то от виндовс[/quote]
скорее всего выскочило и спросило хотите ли вы деинсталировать SweetIM, раз вы его не ставили и он вам не нужен надо было согласиться.

В безопасном режиме тоже не получается сделать логи ?
[url=http://virusinfo.info/showthread.php?t=115256]логи RSIT[/url] можете сделать ?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="myaso;970491"]Карантина кстати нет. Есть папка ЗОО[/quote]
а внутри неё что-то есть ? если есть [QUOTE]то заархивруйте папку ZOO в zip архив с паролем [color=Red]virus[/color] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы. (в некоторых случаях карантина может не быть - папка ZOO_ не появилась или там только текстовые файлы)[/QUOTE]

сделал логи.
антивирус вообще не работает из за того что произошло совмещение диском. И в файлах прописаны пути Ф... а буквы поменялись. Не знаю даже что и делать.

папку ЗОО к сожалению зархивировать не получится пока что винрар не работает.
(Выбирите программу для этого файла. Я выбираю а он вообще даже не добавляет в список файл архиватора)
уВС - [url]http://www.sendspace.com/file/0handy[/url]

Даже плагин флеш скачиваю а его не открывает. Автоматически удаляется после попытки запуска.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.77.5 script [http://dsrt.dyndns.org]
;Target OS: NTv5.1

regt 12
restart[/CODE]

компьютер перезагрузится.

Ещё раз повторите логи и отпишитесь, что с проблемой.

Проблема осталась. Какие именно логи сделать? все(авз+уВС+хиджектис)?
Главный диск у меня был - Ф(английская). На диске С(английская) стояла старая ненужная винда. Может это поможет чем то.

Давайте пока сделайте только [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]
а потом посмотрим.

сделал. А никак не возможно сделать восстановление системы? Кклеанер видит название точки восстановления системы. но в нём нету возможности делать восстановление.

[b]myaso[/b], попробуйте сами сменить букву диска и вернуть как было. Подробней о том как это сделать написано здесь [url]http://support.microsoft.com/kb/307844[/url]

regist. хотелось бы востановить буквы дисков как были. А я к сожалению не все буквы помню. Дисков 6 вроде было... Еще раз задам вопрос. возможно ли как то сделать восстановление системы? рструй.ексе не работает. Возможно какие то посторонние утилиты помогут?

[b]myaso[/b], Была один раз проблема такая, через Acronis менял буквы дискам, все заработало потом! Если сможете,скачайте сами образ акрониса, запишите на диск и загрузитесь с него, затем измените буквы разделов! Если не понимаете о чем я, скажите что не понимаете, и я вам дам ссылки как это все сделать, подробно и с картинками!

[NOTICE]Главное не делайте ничего сами! В тех моментах где что-то непонятно, не стесняйтесь задавать вопросы[/NOTICE]

Дeнис. да. хорошо бы было если вы расскажите как и что делать. Можно без картинок))
Главное - где скачать акронис и чем записать на диск(раньше вроде использовал софт ультраИЗО).
В буквах вроде разобрался где какие должны быть.


В ручную через "управление компьютером" попробовал. но пишет что виндовс не удалось изменить букву диска для системного или загрузочного тома.
А на другом диске - данный том содержит файлы подкачки.

[quote="myaso;971432"]Главное - где скачать акронис[/quote]
Поищите в интернете сборку программ [B]hiren's bootcd[/B] на ней я думаю найдётся всё что Вам необходимо.

[quote="myaso;971432"]и чем записать на диск(раньше вроде использовал софт ультраИЗО).[/quote]
Нормальная программа, тем более если ею пользовались раньше, зачем менять на что-то другое, подойдёт.

[quote="myaso;971432"]пишет что виндовс не удалось изменить букву диска для системного или загрузочного тома.[/quote]
Из под Windows не получится изменить букву системного диска.

[quote="myaso;971432"]А на другом диске - данный том содержит файлы подкачки.[/quote]
Его ведь можно отключить (файл подкачки). Мой компьютер (праой кнопкой мыши) - Свойства - Дополнительно - Быстродействие - Параметры - Дополнительно - Виртуальная память - Изменить - Без файла подкачки.

[NOTICE]И главное прежде чем всё это делать, создайте образ Acronis-ом текущего состояния системы[/NOTICE]

сменил. Теперь виндовс вообще не грузиться. Логотип виндовс появляется и все.
Через ерд командер изменил в реестре путь на запуск userinit.exe и запустилось. вручную загрузил explorer.exe теперь пытаюсь делать восстановление.

Будут проблемы отпишитесь.

Вроде восстановил. Вот логи. Есть что то лишнее в них?
порно-баннеры в браузерах не исчезли.

Пофиксите в HijackThis:
[CODE]R3 - URLSearchHook: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [42] cmd.exe /c copy F:\DOCUME~1\C4C5~1\LOCALS~1\Temp\8807218aq F:\WINDOWS\system32\drivers\etc\hosts /Y && attrib +H F:\WINDOWS\system32\drivers\etc\hosts
O17 - HKLM\System\CCS\Services\Tcpip\..\{87817C25-EAF4-4073-8A04-5375FB2529A5}: NameServer = 80.82.209.180[/CODE]
Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('F:\Documents and Settings\дима\6165564.exe','');
QuarantineFile('F:\Program Files\SoftIceNT\Common\Binsiwvid.sys','');
QuarantineFile('F:\DOCUME~1\F185~1\LOCALS~1\Temp\gsplittm.sys','');
DeleteFile('F:\Documents and Settings\дима\6165564.exe');
DeleteFile('F:\DOCUME~1\C4C5~1\LOCALS~1\Temp\8807218aq');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','42');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(16);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]


SweetIM - удалите удалите через установку удаление программ.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

сделал.

Пофиксите в HijackThis:
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{87817C25-EAF4-4073-8A04-5375FB2529A5}: NameServer = 80.82.209.180[/CODE]

[URL="http://virusinfo.info/showthread.php?t=128635#post948932"][I]очистите кэш и cookies-файлы браузеров[/I][/URL]

АВЗ -> Файл -> Мастер поиска и устранения проблем -> Системные проблемы -> Пуск -> Отметьте пункт указанный выше -> Исправить отмеченные проблемы.
[QUOTE] >> Таймаут завершения служб находится за пределами допустимых значений
[/QUOTE]

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

сделал все)

кэш почистил. Реклама все равно отображается в опере. В других еще не проверял.

SweetIM - удаляли ? Если нет, удалите, если да
Пофиксите в HijackThis:
[CODE]O2 - BHO: SweetIM Toolbar Helper - {EEE6C35C-6118-11DC-9C72-001320C79847} - F:\Program Files\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll[/CODE]

Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL] + [url]http://virusinfo.info/showthread.php?t=122524[/url]

свит удалял. Осталась инсталялка которую удалить невозможно... какую то ошибку пишет. Логи сделал.

И еще, как удалить файлы из "управления вложениями" на этом форуме?

Ну так что там? А то комп уже 2 дня работает без выключения, специально программу не закрываю чтобы потом заново не сканировать.

Удалите в MBAM только указанные строки
[CODE]HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
HKLM\SOFTWARE\PUBLIC DOMAIN\BLAT (PUP.Mailer.Blat) -> Действие не было предпринято.

HKLM\SOFTWARE\PUBLIC DOMAIN\BLAT|SMTP server (PUP.Mailer.Blat) -> Параметры: smtp.yandex.ru -> Действие не было предпринято.

F:\Documents and Settings\дима\Главное меню\Программы\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Главное меню\Программы\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дима\Local Settings\Application Data\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Local Settings\Application Data\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\WINDOWS\assembly\GAC_MSIL\WebAltaSearch (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\WINDOWS\assembly\GAC_MSIL\WebAltaSearch\1.1.0.0__cae29f257fecba88 (PUP.ToolBar.WA) -> Действие не было предпринято.

F:\Documents and Settings\дима\Local Settings\Application Data\Webalta Toolbar\WebAltaSearch.dll (PUP.WebAlta) -> Действие не было предпринято.
F:\Documents and Settings\дом\Local Settings\Application Data\Webalta Toolbar\WebAltaSearch.dll (PUP.WebAlta) -> Действие не было предпринято.
F:\WINDOWS\assembly\GAC_MSIL\WebAltaSearch\1.1.0.0__cae29f257fecba88\WebAltaSearch.dll (PUP.WebAlta) -> Действие не было предпринято.
F:\Documents and Settings\дима\Главное меню\Программы\Webalta Toolbar\Удалить Webalta Toolbar.lnk (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Главное меню\Программы\Webalta Toolbar\Удалить Webalta Toolbar.lnk (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дима\Local Settings\Application Data\Webalta Toolbar\BandObjectLib.dll (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дима\Local Settings\Application Data\Webalta Toolbar\gacutil.exe (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дима\Local Settings\Application Data\Webalta Toolbar\Interop.SHDocVw.dll (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дима\Local Settings\Application Data\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Local Settings\Application Data\Webalta Toolbar\BandObjectLib.dll (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Local Settings\Application Data\Webalta Toolbar\gacutil.exe (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Local Settings\Application Data\Webalta Toolbar\Interop.SHDocVw.dll (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\Documents and Settings\дом\Local Settings\Application Data\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято.[/CODE]

[quote="myaso;972724"]как удалить файлы из "управления вложениями" на этом форуме?[/quote]
Заходите в "Кабинет" и там "Управление вложениями".

А может можно как то через AVZ выполнить эти действия? А то у меня MBAM сканируется более 9 часов. Не хотелось бы держать все время комп включенным.

Попробуйте просканировать быстрым сканированием. После удаления строк из предыдущего поста, повторите лог быстрого сканирования MBAM.

Сделал.

приятная неожиданность:
[QUOTE]Обнаруженные ключи в реестре: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\QipGuard (Spyware.Zbot) -> Действие не было предпринято.
Обнаруженные файлы: 1
F:\Documents and Settings\дима\Application Data\QipGuard\QipGuard.exe (Spyware.Zbot) -> Действие не было предпринято.
[/QUOTE]
Это добро надо удалить.