Блокиратор Winndows Depatrment of Justice MoneyPak [Trojan.Win32.Patched.pp ]

Обычно я сам справляюсь, но тут вынужден просить о помощи, так как потерял надежду избавиться от этого баннера без переустановки винды. У меня Windows 7 64 Ultimate. При загрузке системы вылезает баннер от якобы системы безопасности США и просит уплатить 300 долларов куда-то там. Никаких номеров телефона нет. Просто окошко для ввода кода внизу. Это просто флеш-баннер, он не сворачивается, я слышу, что фоном загружается и работает Скайп, я появляюсь у других в сети - значит, он не блокирует инет. Первым делом я тут же воспользовался утилитой Kaspersky Rescue Disc 10, создал загрузочную флешку, успешно с нее загрузился, просканировал компьютер полностью. Каспер нашел 2 каких-то угрозы, но после рестарта баннер так и не исчез.
Далее я полез в реестр через тот же самый rescue disk 10. До этого пытался рестартить винду в безопасном режиме, но она выпадала в синий экран, что для меня было полной неожиданностью! В реестре ничего подозрительного не нашел, никаких странных значений, никаких shell, как написано во многих руководствах.
[FONT=Verdana]HKEY_USERS\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon [/FONT]
[FONT=Verdana]HKEY_USERS\​​SOFTWARE\​Microsoft\​Windows\​CurrentVersion\​Run [COLOR=#ff0000] [/COLOR]в этих разделах ничего подозрительного!
Помогите, пожалуйста! Никакими процедурами не могу заставить этот экран убраться, видимо он маскируется под системный файл. Я к тому же через диспетчер файлов почистил папки temp и startup - тоже не помогло, в них не было никаких экзешников. Как мне отловить и увидеть этот процесс? Какие еще есть способы, кроме [/FONT]Kaspersky Rescue Disc 10? Еще использовал сканер Hitman, он даже запустился поверх баннера и отсканировал комп, но ничего не нашел, баннер так и висит! Сколько уже видео просмотрено на ютубе и форумов перерыто, надеюсь на вашу помощь!
[IMG]http://www.2-spyware.com/images/parasites/snapshot/your-computer-has-been-blocked_1.jpg[/IMG]

Уважаемый(ая) [B]Bruzon[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Где экспорт веток реестра?

Простите, вот они. Значение userinit - C:\windows\system32\userinit.exe
shell explorer.exe

Еще заметил что при перезагрузке винды с экраном она ругнулась на незавершенный процесс Police Report - видимо, это и есть тот самый блокиратор.

Экспорт делали с помощью Kaspersky Registry Editor?
Содержимое папки windows\system32\tasks сообщите

Да, с помощью Kaspersky Registry Editor.
В папке tasks следующее:
папка Microsoft
папка WPD

файлы:
{1FEE514-FFBB-4A80-A797-C76DEAC5153B}
Adobe Flash player Updater
AdobeAAMUpdater
CCleanerSkipUAC
GoogleUpdateTaskMachineCore
GoogleUpdateTaskMachineUA
Red Giant Link

А в папке ProgramData нет никаких неизвестных файлов?

Там только ntuser.dat-файлы и ament.ini файл - экзешников нет.
Баннер вылез когда я серфил в опере. Причем, после этого случая опера закрашилась так, что пришлось ее удалить через анинсталл. Баннер тоже пропал сам как-то. То есть при первом его появлении я мог комбинацией alt+TAB переключаться между окнами программ. Потом я поставил новую оперу 64 бит, работает она нормально. Но после перезагрузки компа баннер вылез уже окончательно и бесповоротно, никак не обойти.

Сделайте полный образ автозапуска uVS ([url]http://virusinfo.info/showthread.php?t=121985[/url])

Сделал. Пытаюсь сохранить образ автозапуска в текстовый файл.

Где лог UVs, который я просил сделать? :?

я прикрепил к сообщению выше, это то или не то?

Выполните скрипт в UVs ([url]http://virusinfo.info/showthread.php?t=122012[/url])

[CODE]
;uVS v3.80.1 script [http://dsrt.dyndns.org]
;Target OS: NTv6.2

zoo %Sys32%\COMPMGMTLAUNCHER.EXE
zoo %Sys32%\GATHERNETWORKINFO.VBS
zoo %Sys32%\USERINIT.EXE
zoo %SystemRoot%\SYSWOW64\USERINIT.EXE
zoo %SystemRoot%\EXPLORER.EXE
zoo %Sys32%\WINLOGON.EXE
czoo
deltmp
[/CODE]

После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2011-06-30_22-04-27.7z)

Архив ZOO_2011-06-30_22-04-27.7z пришлите согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы.

Скопировал скрипт в текстовый файл, открыл как по инструкции через uVS, он пишет мне "Текст скрипта содержит ошибки, либо не содержит команд uVS, выполнение таких скриптов запрещено!"
Скопировал все точно, я проверял. Сохранил как текстовый документ в формате txt.
Проверку скрипта делал, пишет "неизвестная команда в строке 1"

[b]Bruzon[/b], скачайте [URL="http://rghost.ru/47579960"]отсюда[/URL] текстовый файл со скриптом и выполните скрипт uVS из этого файла.

После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите папку ZOO, заархивируйте её в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

Загрузил карантин. Первый скрипт не выполнялся, потому что в нем не было строки
OFFSGNSAVE.
Спасибо! Я теперь могу пробовать загрузить систему?

Попробовал загрузить.
Баннер появляется ненадолго, затем исчезает, остается голый рабочий стол, виден только гаджет погоды. На нажатия мыши не реагирует, диспетчер задач вызывается, но не виден. Панели управления тоже нет. В общем, эффект такой, будто бы он есть.

Файлы только брались в карантин. Они чистые

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Попробуйте еще сделать экспорт веток HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run и аналогичную ветку в разделе HKEY_USERS\<Имя проблемной учетки>

Вот я попал... Эти ребята, что делают эти баннеры совершенствуют свои навыки, маскируют червей. И главное что я попал на эту новинку, никогда ведь ничего серьезного не ловил. А тут работать надо, а ноут под влиянием неуловимого червя. Причем, все работает - системные процессы, скайп автоматом запускается - я появляюсь в сети у друзей, но увы.
Как же быть? Сносить винду или восстанавливать с диска? Поможет ли? Как же он запускается с системой, но нигде не проявляет себя? Еще заметил, что процесс называется Police Report - я как то раз нажал "выйти из системы" и она ругнулась на то, что невозможно выйти из-за незавершенного процесса "Police Report". Это название никак не поможет найти зверя?

Блин, теперь перестал запускаться Kaspersky Rescue Disk 10 через флешку! Полный вперед, он же у меня работал! Теперь при загрузки с флеш-девайса мелькает надпись какая то и начинает винда грузиться. Чем мне экспорт реестра-то сделать?

[quote="Bruzon;1020529"]невозможно выйти из-за незавершенного процесса "Police Report"[/quote]Увы, нет

[quote="Bruzon;1020529"]Чем мне экспорт реестра-то сделать?[/quote]Сделайте загрузочный диск

[b]Bruzon[/b], выполните в uVS ещё скрипт из [URL="http://rghost.ru/47584706"]этого файла[/URL], если банера после перезагрузки нет, то сделайте стандартные логи по правилам. Если не получится попытайтесь в безопасном режиме.

После выполнения скрипта баннер остался, попытка загрузиться с безопасном режиме заканчивается неудачей - мелькает синий экран и начинается перезагрузка.

Перезагрузка идет в любом из вариантов загрузки в безопасном режиме?

+ попробуйте выполнить [URL="http://rghost.ru/47585434"]этот скрипт[/URL], а после него перегрузиться в безопасный режим.

Да, в любом из трех вариантов выпадает синий экран и перезагрузка. Происходит в момент загрузки драйвера CLASSPNP.SYS, всегда на нем слетает. Сейчас попробую новый скрипт.

При выполнении нового скрипта внизу было сообщение "не удалось скопировать затребованный ключ из копии реестра"
Безопасный режим так же не грузится.

[quote="Bruzon;1020340"]Я к тому же через диспетчер файлов почистил папки temp и startup - тоже не помогло, в них не было никаких экзешников.[/quote]
1)Скачайте [URL="http://z-oleg.com/avz4.zip"]AVZ[/URL] и распакуйте его в отдельную папку.
2) Обновите базы (Файл - Обновление баз).
3) Скопируйте папку с AVZ к себе на жёсткий диск и создайте для него ярлык в папке Автозагрузка. В свойствах ярлыках в поле [I]Объект[/I] в конце припишите ключ NewDsk=Y в итоге должно получиться наподобие
[CODE]C:\путь к AVZ\avz4\avz.exe NewDsk=Y[/CODE]
4) Попробуйте загрузиться в обычном режиме и сделать логи с помощью AVZ.

Я так понял, надо перенести папку avz4 со здорового компа на больной и прописать на больном свойства в ярлык. А с помощью какой утилиты это проще сделать? В uVS не пойму как это сделать.

[quote="Bruzon;1020863"]А с помощью какой утилиты это проще сделать?[/quote]
вы раньше писали, что делали аналогичные операции
[QUOTE][quote="Bruzon;1020340"]Я к тому же [B]через диспетчер файлов[/B] почистил папки temp и startup - тоже не помогло,[/quote]
[/QUOTE]
через сам uVS сделать будет проблематично, а вот через FAR который идёт в комлекте с ним если вы скачали образ диска с uVS это сделать можно. Или какой диск вы использовали для загрузки при создание лога uVS ?

[quote="regist;1020870"]вы раньше писали, что делали аналогичные операции[/quote]С помощью KRD автор темы это делал :)

У меня почему-то Kaspersky Rescue Disk перестал запускаться, не подхватывается загрузка с флешки. Я раньше через него все и делал, теперь просто не могу загрузить, сколько бы я раз не форматировал флешку и не записывал заново с помощью утилиты rescue2usb. Скачал загрузочную ХР, а она с флешки не запускается, выдает ошибку потери hal.dll

Что мешает сделать загрузочный диск вместо флешки?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Кстати, папки Temp [B]все[/B] возможные просматривали?

Удалось-таки найти LiveCD работоспособный, прогоняю все AVZ-ом.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Вот лог сканирования диска С на зараженном компе.

Прочтите в правилах, какие логи AVZ нам нужны

Прошу простить, голова ночью туго соображала. Вот нужные логи от AVZ и HijackThis

C:\Users\Igor\Desktop\twitch.exe - файл на Рабочем столе Вам известен?

вообще twitch это плагин для видеомонтажа, но он не должен быть на раб. столе и я его там не замечал. Его место в папках Adobe PremierPro. Может быть, он скрытый там, или проделка вируса? Надо удалить его?

Нет, не трогайте

Попробуйте сделать такие логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]

Логи вышеуказанных программ

C:\Users\Igor\libnspr4.dll проверьте на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные ниже записи[/b] [code]Обнаруженные ключи в реестре: 1
HKCU\Software\Microsoft\Windows\CurrentVersion\MSrtn (Trojan.Agent) -> Действие не было предпринято.

Объекты реестра обнаружены: 1
HKCR\regfile\shell\open\command| (Broken.OpenCommand) -> Плохо: ("regedit.exe" "%1") Хорошо: (regedit.exe "%1") -> Действие не было предпринято.

Обнаруженные папки: 1
C:\ProgramData\srtserv (Worm.AutoRun) -> Действие не было предпринято.

Обнаруженные файлы: 32
C:\ProgramData\srtserv\task.dat (Worm.AutoRun) -> Действие не было предпринято.
C:\ProgramData\srtserv\set.dat (Worm.AutoRun) -> Действие не было предпринято.[/code]

[URL="https://www.virustotal.com/ru/file/81ed76156df0de1caae6730a091f29978493881b54a2d6fbfb43c47153b6fadd/analysis/"]https://www.virustotal.com/ru/file/81ed76156df0de1caae6730a091f29978493881b54a2d6fbfb43c47153b6fadd/analysis/[/URL]
Ссылка на результат проверки dll.

А указанные объекты удалить пока не могу, заново делаю сканирование МВАМ, потому как перед сканированием RSIT мне пришлось закрыть МВАМ, как указано в инструкции.

Работаю с больного компа хитрым способом - через AVZ открыл браузер хром, через пункт "проверить длл", он сразу открывает браузер по умолчанию. А в качестве проводника использую тот же хром - закачиваю файл, жму "показать в папке" и он мне открывает папку))) Окно баннера при этом не видно, но оно есть, потому как отсутствует рабочая панел и все значки рабочего стола, между прогами переключаюсь альт-табом.

Когда закончите с МВАМ

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]