Центр обеспечения безопасности требует отправки СМС

Printable View

19.11.2009, 19:31
kupura

Центр обеспечения безопасности требует отправки СМС

Появилась заставка центра обеспечения безопасности с сообщением об использовании нелицензионной копии Windows, которая блокирует рабочий стол с требованием отправить СМС для получения кода. В интернете на форумах нашел некий код, который ввел в поле этой заставки и она (о чудо!) разблокировалась. Прогнал антивирусными утилитами, они что-то понаходили, но такое впечатление, что не всё. Прошу помочь в окончательном и бесповоротном изгнании этой заразы.
19.11.2009, 20:01
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\windows7addon.exe');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe','');
DeleteService('SwPrv');
QuarantineFile('c:\windows\windows7addon.exe','');
DeleteFile('c:\windows\windows7addon.exe');
DeleteFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\2\svchost.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','SysRun');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
19.11.2009, 20:05
Шапельский Александр

Закройте/выгрузите все программы кроме AVZ .
Отключите:
- ПК от интернета/локалки;
- антивирус и файрвол.;
- восстановление системы;
- выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\2\svchost.exe','');
DeleteService('SwPrv');
QuarantineFile('is-1SPKRdrv.sys','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe,explorer.exe','');
QuarantineFile('c:\windows\windows7addon.exe','');
TerminateProcessByName('c:\windows\windows7addon.exe');
DeleteFile('c:\windows\windows7addon.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe,explorer.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-2864585142-6737886739-659468565-5714\mwau.exe');
DeleteFile('C:\DOCUME~1\86C2~1\LOCALS~1\Temp\2\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Выполнить следующий скрипт
[CODE]var j:integer; NumStr:string;
begin
for j:=0 to 999 do
begin
if j=0 then
NumStr:='CurrentControlSet' else
if j<10 then
NumStr:='ControlSet00'+IntToStr(j) else
if j<100 then
NumStr:='ControlSet0'+IntToStr(j) else
NumStr:='ControlSet'+IntToStr(j);
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
end;
if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
begin
RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
end;
end;
SaveLog(GetAVZDirectory + 'fystemRoot.log');
end.[/CODE]
После выполнить:
- включите антивирус и файрволл
- подключите ПК к интернету/локалке
- закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
20.11.2009, 19:35
kupura

Вложений: 3

Карантин закачал, логи прикладываю.
20.11.2009, 19:59
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\protect.sys','');
DeleteService('protect');
DeleteFile('C:\WINDOWS\System32\drivers\protect.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
20.11.2009, 20:30
kupura

Новые логи
20.11.2009, 21:30
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0280411055-0785049772-324856181-5370\mwau.exe','');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','SysRun');
DeleteFile('C:\RECYCLER\S-1-5-21-0280411055-0785049772-324856181-5370\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]МВАМ[/URL]
21.11.2009, 09:31
kupura

Вложений: 4

Новые логи
21.11.2009, 11:43
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] [B]все, кроме[/B]
[CODE]Заражено параметров реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.[/CODE]
21.11.2009, 12:32
kupura

Вложений: 1

Новый лог
21.11.2009, 12:34
snifer67

Сделайте лог virusinfo_syscheck
21.11.2009, 13:01
kupura

Сделал
21.11.2009, 13:08
thyrex

Обновления после SP3 все установлены?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-6811373323-9552663254-080725990-5191\mwau.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-6811373323-9552663254-080725990-5191\mwau.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новый лог
21.11.2009, 13:19
kupura

Обновления не установлены, только SP3
21.11.2009, 13:31
thyrex

[QUOTE='kupura;513408']Обновления не установлены, только SP3[/QUOTE]Срочно устанавливаем
21.11.2009, 15:13
kupura

Не могу не запускается служба автоматического обновления, говорит не найден файл. Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 19 минут[/I][/B][/color][/size]

Ну вот снова при подключении к инету вылезло пресловутое окно!?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Ну вот снова при подключении к инету вылезло пресловутое окно!?
21.11.2009, 15:21
snifer67

Делайте новые логи.
21.11.2009, 15:57
AndreyKa

[QUOTE='kupura;513453']не запускается служба автоматического обновления, говорит не найден файл. [/QUOTE]И сейчас так говорит?
Кстати, патчи можно скачать и установить вручную.
21.11.2009, 16:08
kupura

Какие патчи и где взять их перечень?
21.11.2009, 16:36
AndreyKa

[url]http://forum.oszone.net/thread-70124.html[/url]
21.11.2009, 18:00
kupura

Новые логи
Обновления установил
Заметил, что когда отключаешь элементы автозагрузки, злосчастный баннер не появляется.
21.11.2009, 18:05
snifer67

Выполните скрипт в avz(с флэшкой).
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\autorun.inf','');
QuarantineFile('H:\tmp/baks.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4405507715-3313759265-323205183-8701\mwau.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-4405507715-3313759265-323205183-8701\mwau.exe');
DeleteFile('H:\tmp/baks.exe');
DeleteFile('H:\autorun.inf');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
21.11.2009, 18:18
Шапельский Александр

Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\autorun.inf','');
QuarantineFile('H:\tmp/baks.exe','');
QuarantineFile('c:\recycler\s-1-5-21-4405507715-3313759265-323205183-8701\mwau.exe','');
TerminateProcessByName('c:\recycler\s-1-5-21-4405507715-3313759265-323205183-8701\mwau.exe');
DeleteFile('c:\recycler\s-1-5-21-4405507715-3313759265-323205183-8701\mwau.exe');
DeleteFile('H:\tmp/baks.exe');
DeleteFile('H:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
21.11.2009, 18:52
kupura

Вложений: 3

Новые логи
21.11.2009, 19:03
Шапельский Александр

Выполните скрипт
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(6);
Executerepair(11);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению
21.11.2009, 19:22
kupura

Новый лог
21.11.2009, 20:00
Шапельский Александр

[QUOTE][B][B]Обратите внимание - нестандартный диспетчер задач "TASKMAN.EXE[/B][/B][/QUOTE]
Файл, отвечающий за Диспетчер задач, не переименовывали сами?
21.11.2009, 20:54
kupura

Нет

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

И что еще можно сделать?

[size="1"][color="#666686"][B][I]Добавлено через 43 минуты[/I][/B][/color][/size]

И всё-таки, скажите пожалуйста, будут еще какие-нибудь рекомендации? Уже второй день с этой заразой бьюсь. Может пора систему переустанавливать?
21.11.2009, 21:03
AndreyKa

Побороли уже, если правда что:[QUOTE='kupura;513543']Обновления установил[/QUOTE]
[QUOTE='kupura;513627']будут еще какие-нибудь рекомендации? [/QUOTE]Отправьте в антивирусную лабораторию ESET файл mwau.exe из карантина.
21.11.2009, 21:10
kupura

Большущее спасибо за Ваш неоценимый труд!!!

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=AndreyKa;513663]Побороли уже, если правда что:
Отправьте в антивирусную лабораторию ESET файл mwau.exe из карантина.[/QUOTE]

А его прямо так с расширением dat из карантина и отправлять?
22.11.2009, 21:10
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-0280411055-0785049772-324856181-5370\mwau.exe - [B]P2P-Worm.Win32.Palevo.kgl[/B] ( DrWEB: Trojan.Packed.688, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-4405507715-3313759265-323205183-8701\mwau.exe - [B]P2P-Worm.Win32.Palevo.kgl[/B] ( DrWEB: Trojan.Packed.688, AVAST4: Win32:Malware-gen )[*] c:\recycler\s-1-5-21-6811373323-9552663254-080725990-5191\mwau.exe - [B]P2P-Worm.Win32.Palevo.kgl[/B] ( DrWEB: Trojan.Packed.688, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\sdra64.exe - [B]Trojan-Banker.Win32.Bancos.iwq[/B] ( DrWEB: Trojan.PWS.Panda.122, AVAST4: Win32:Zbot-MHI [Trj] )[*] h:\autorun.inf - [B]Trojan.Win32.AutoRun.mu[/B][*] h:\tmp/baks.exe - [B]P2P-Worm.Win32.Palevo.kgl[/B] ( DrWEB: Trojan.Packed.688, AVAST4: Win32:Malware-gen )[/LIST][/LIST]