vk.com требует валидации посредством отправки СМС на номер 5537 [Trojan.Win64.Patched.bj ]

Доброго времени суток.
При попытке авторизоваться на сайте vk.com и mail.ru, авторизация отклоняется, вместо чего появляется требование "ввести код с картинки". После ввода информации с картинки следующий шаг - подтверждение привязки учетной записи к номеру мобильного телефона. После ввода номера на телефон приходит СМС с короткого номера 5537 с требованием отправить слово "Да" на этот же номер.
Была проведена проверка ПК утилитой Dr.Web, найдено и нейтрализовано три угрозы, но...
При проверке компьютера с помощью утилиты Dr.Web и Kaspersky на момент составления запроса угроз не обнаружено, а проблема всё ещё остается актуальной.
Прошу вашей помощи.

Уважаемый(ая) [B]DITZLER[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте.

Сделайте [URL="http://virusinfo.info/showthread.php?t=53070"]лог MBAM[/URL].

[QUOTE=hedgars;988373]Здравствуйте.

Сделайте [URL="http://virusinfo.info/showthread.php?t=53070"]лог MBAM[/URL].[/QUOTE]

Сделано

Прошу прощения, про меня забыли? )

Чисто, удалите MBAM.
Нет, не забыли, подождите...

[QUOTE=Vvvyg;988742]Чисто, удалите MBAM.
Нет, не забыли, подождите...[/QUOTE]
Понял, спасибо, жду.
МВАМ удалил, проблема ещё актуальна.

Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Acrobat/Reader и Adobe Flash Player.

[B]avz_log.txt пожалуйста, прикрепите к своему следующему сообщению.[/B]

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].
[URL="http://www.java.com/ru/download/help/plugin_cache.xml"]Очистите кэш Java"[/URL].

Проверьте, что с проблемрй

Всё сделано согласно инструкций.
Кэш-Java и Cookies были вычищены, а все найденые уязвимости были закрыты.
Проблема пока ещё осталась.
Прикладываю лог-файл того, что было до обновлений.

Попробуем так. Сделайте попытку войти в профиль вконтакте, и когда появится поддельная страница, не закрывая броузер, не отключая интернет, [url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url].

[QUOTE=Vvvyg;988836]Попробуем так. Сделайте попытку войти в профиль вконтакте, и когда появится поддельная страница, не закрывая броузер, не отключая интернет, [URL="http://virusinfo.info/showthread.php?t=121767"]Сделайте полный образ автозапуска uVS[/URL].[/QUOTE]

Сделано.

Броузер, как я понимаю, Internet Explorer? Что-то я его в списке процессов не увидел...
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url][code];uVS v3.77.8 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref COPY
delref %SystemDrive%\PROGRAM FILES (X86)\MAGINFO\MAGINFO\SERVICEUPDATER\UPDATER.VBS
exec "C:\PROGRAM FILES (X86)\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL
regt 14
deltmp
restart[/code]На вопросы об удалении программ соглашайтесь.
Компьютер перезагрузится.
Ещё раз очистите кэш и cookies-файлы браузеров.
Проверьте проблему.

[QUOTE=Vvvyg;988903]Броузер, как я понимаю, Internet Explorer? Что-то я его в списке процессов не увидел...
[URL="http://virusinfo.info/showthread.php?t=121769"]Выполните скрипт в uVS[/URL][code];uVS v3.77.8 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

delref COPY
delref %SystemDrive%\PROGRAM FILES (X86)\MAGINFO\MAGINFO\SERVICEUPDATER\UPDATER.VBS
exec "C:\PROGRAM FILES (X86)\MAIL.RU\GUARD\GUARDMAILRU.EXE" /UNINSTALL
regt 14
deltmp
restart[/code]На вопросы об удалении программ соглашайтесь.
Компьютер перезагрузится.
Ещё раз очистите кэш и cookies-файлы браузеров.
Проверьте проблему.[/QUOTE]

Нет, нет, использую только Оперу. Всё сделал, после вычистил кэш и cookies во всех трёх браузерах.
Проблема осталась.
Почему-то после каждой перезагрузки ПК в IE и Хроме стартовой страницей становится "http://www.mail.ru/cnt/9516", хотя я делал другие настройки.

Прилагаю лог.

[QUOTE=DITZLER;988929]Почему-то после каждой перезагрузки ПК в IE и Хроме стартовой страницей становится "http://www.mail.ru/cnt/9516", хотя я делал другие настройки.[/QUOTE]Это GuardMail.Ru своевольничает. Скриптом её должно было удалить, если ответили согласием на запрос деинсталлятора. Спутник от Mail.Ru тоже рекомендую удалить.

Выполните скрипт в uVS:[CODE];uVS v3.77.8 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %Sys32%\RPCSS.DLL[/CODE]Упакуйте содержимое папки ZOO в архив [U].zip[/U] с паролем [b]virus[/b] и отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

[QUOTE=Vvvyg;988939]Это GuardMail.Ru своевольничает. Скриптом её должно было удалить, если ответили согласием на запрос деинсталлятора. Спутник от Mail.Ru тоже рекомендую удалить.

Выполните скрипт в uVS:[CODE];uVS v3.77.8 script [http://dsrt.dyndns.org]
;Target OS: NTv6.1

zoo %Sys32%\RPCSS.DLL[/CODE]Упакуйте содержимое папки ZOO в архив [U].zip[/U] с паролем [b]virus[/b] и отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.[/QUOTE]

Сделано. Архив отправил, сохранён как 130331_191634_ZOO_51588b923590c.zip

Спасибо, ждём проверки карантина.

Сегодня была взломана страница вконтакте, доступ тут же восстановил с КПК, пароль сменил, больше с ПК на страницу не выхожу, только с гаджета. В личной информации был добавлен веб-сайт и сменилась дата рождения нс 01-04-1990 для привлечения внимания. Вот только адрес той ссылки профукал :-(((

Скачайте чистый файл rpcss.dll для Вашей системы по ссылке: [URL="http://rghost.ru/44939613"]http://rghost.ru/44939613[/URL], распакуйте в какую-нибудь папку на жёстком диске.
Загрузитесь с [url=http://virusinfo.info/showthread.php?t=121985]Live CD[/url] и замените файл [B] C:\WINDOWS\SYSTEM32\RPCSS.DL[/B] этим, предварительно только скопируйте на всякий случай исходный в другое место.

[QUOTE=Vvvyg;989110]Скачайте чистый файл rpcss.dll для Вашей системы по ссылке: [URL="http://rghost.ru/44939613"]http://rghost.ru/44939613[/URL], распакуйте в какую-нибудь папку на жёстком диске.
Загрузитесь с [url=http://virusinfo.info/showthread.php?t=121985]Live CD[/url] и замените файл [B] C:\WINDOWS\SYSTEM32\RPCSS.DL[/B] этим, предварительно только скопируйте на всякий случай исходный в другое место.[/QUOTE]

Файл заменил и сделал полный образ автозапуска uVS. Как обстоят дела? Всё верно сделал?

Файл теперь правильный. Что с проблемой? Проверяйте вход в vk.com.

[QUOTE=Vvvyg;989200]Файл теперь правильный. Что с проблемой? Проверяйте вход в vk.com.[/QUOTE]

Проблема наконец РЕШЕНА! =) Непременно отблагодарю, ребята, за такую работу!
Какие ещё будут указания? Что ещё нужно сделать? И что это за зловред такой был неуловимый? :)

Думаю, на днях его будут детектировать и лечить антивирусы. Нестандартный зловред.

Выполните скрипт в AVZ при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Acrobat/Reader и Adobe Flash Player.

Старайтесь придерживаться простых правил:

1. Операционную систему надо держать обновлённой постоянно, обновлять через Microsoft Update, лучше в автоматическом режиме.

2. Отслеживать обновления критичных к безопасности программ: браузеры в первую очередь, Adobe Reader, Adobe Flash Player, Java Runtime Environment.

3. Совет, который никто, к сожалению не выполняет, а он ключевой в обеспечении безопасности: [B]ни в коем случае не работать под администраторской учетной записью, по крайней мере, в Windows XP, а в 7-ке и Висте - не отключать UAC полностью[/B] и реагировать адекватно на вопросы "Разрешить внесение изменений на данном компьютере следующей программе неизвестного издателя?". Как компромиссный вариант - для работы в интернете использовать запуск браузеров в "песочнице" через программы типа Sandboxie (есть free версии), либо с ограниченными правами с помощью программ типа Sudo for Windows [URL="http://sourceforge.net/projects/sudowin/"]SudoWin[/URL].

4. И последнее (но не по важности) условие - выполнять простейшие правила гигиены в интернете:
- не кликать бездумно по ссылкам в форумах, одноклассниках, вконтактах etc. - это сейчас один из самых распространённых путей заражения;
- программы скачивать с сайта производителя, а не по ссылкам с варезников;
- на потенциально опасные ресурсы - хакерские, варезные, порно и т.п. лучше вовсе не заходить, Ну, или уж ходить - то на проверенные ;). Вообще, использование лицензионного софта реально ведёт к большей защищенности. Не потому, что, как любят писать в рекламе, лицензионная Windows более защищена (только от проверок отдела "К") - пиратская с ключом, проходящим проверку, и со всеми обновлениями ничуть не менее безопасна. Просто постоянный поиск ключей, кряков, патчей и т.п. часто ведёт к тому, что словите какую-нибудь дрянь. А ещё во всяческих "сборках" часто по умолчанию установлены пониженные установки безопасности системы и броузеров, отключено автоматическое обновление и т. п.

Всё доступно и понятно! ) Спасибо огромное за помощь! А спасибо, знаю, в карман не положишь! ) Молодцы, учите молодежь, пусть вас будет больше! :) с меня причитается )

ЗЫ: Уязвимостей не найдено )

Причитаемое грузите по кнопке вверху "Поддержать проект" :D

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\rpcss.dll - [B]Trojan.Win64.Patched.bj[/B][*] \\zoo\\rpcss.dll._eafdb5646cf323cfc934ef05972f8dde7c2e7cbb - [B]Trojan.Win64.Patched.bj[/B][/LIST][/LIST]