Надоедливый порно-баннер с требованием отослать смс....

Printable View

26.11.2009, 19:13
Western

Надоедливый порно-баннер с требованием отослать смс....

Добрый день.
Заразился ПК. источник заражения - неизвестен.
после загрузки ОС, с интервалом в 3-5 мин. выскакивает баннер.
[CODE]для отключения рекламы Вам необходимо указать код разблокировки m20920007 [/CODE]
Ни диспетчер задач, ни реестр системы загрузить не удается...
При попытке запустить какое то приложение - сражу же вылазить этот баннер. По этой причине запустить AVZ - не получается. Получилось только: hijackthis (лог прикрепляю)
Подключал HDD к другому ПК. про-сканировал и по удалял все возможные вируса (около 30 шт.) Также прикрепляю логи virusinfo_syscure.zip, virusinfo_syscheck.zip которые сделаны на другой машине с подключенным "больным" HDD.

Каким способом можно запустить AVZ на зараженной системе?
из доступных инструментов, покамись нашел msconfig, gpedit.msc

Заранее Благодарен.!!
26.11.2009, 19:46
Шапельский Александр

Пофиксить в Hijack следующие строки:
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\system32\bcnJS.dll[/CODE]
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\bcnJS.dll','');
QuarantineFile('C:\WINDOWS\system32\MGE\BIL.EXE','');
QuarantineFile('C:\WINDOWS\system32\MGE\CILRS232.EXE','');
QuarantineFile('C:\WINDOWS\system32\MGE\CILUSB.EXE','');
QuarantineFile('C:\WINDOWS\system32\MGE\PCtl.exe','');
QuarantineFile('C:\WINDOWS\system32\MGE\RunSC.exe','');
DeleteService('MGE Service module');
QuarantineFile('C:\WINDOWS\Pointdev\IACmdSRV.exe','');
DeleteService('IACmdSRV');
QuarantineFile('C:\WINDOWS\system32\Drivers\FBIKB_NT.Sys','');
DeleteService('FBIKB_NT');
QuarantineFile('G:\autorun.inf','');
TerminateProcessByName('c:\windows\system32\mge\runsc.exe');
QuarantineFile('c:\windows\system32\mge\runsc.exe','');
TerminateProcessByName('c:\windows\system32\mge\pctl.exe');
QuarantineFile('c:\windows\system32\mge\pctl.exe','');
TerminateProcessByName('c:\windows\system32\mge\cilusb.exe');
QuarantineFile('c:\windows\system32\mge\cilusb.exe','');
TerminateProcessByName('c:\windows\system32\mge\cilrs232.exe');
QuarantineFile('c:\windows\system32\mge\cilrs232.exe','');
QuarantineFile('c:\windows\system32\mge\bil.exe','');
TerminateProcessByName('c:\windows\system32\mge\bil.exe');
DeleteFile('c:\windows\system32\mge\bil.exe');
DeleteFile('c:\windows\system32\mge\cilrs232.exe');
DeleteFile('c:\windows\system32\mge\cilusb.exe');
DeleteFile('c:\windows\system32\mge\pctl.exe');
DeleteFile('c:\windows\system32\mge\runsc.exe');
DeleteFile('G:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\Drivers\FBIKB_NT.Sys');
DeleteFile('C:\WINDOWS\Pointdev\IACmdSRV.exe');
DeleteFile('C:\WINDOWS\system32\MGE\RunSC.exe');
DeleteFile('C:\WINDOWS\system32\MGE\PCtl.exe');
DeleteFile('C:\WINDOWS\system32\MGE\CILUSB.EXE');
DeleteFile('C:\WINDOWS\system32\MGE\CILRS232.EXE');
DeleteFile('C:\WINDOWS\system32\MGE\BIL.EXE');
DeleteFile('C:\WINDOWS\system32\bcnJS.dll');
DeleteFilemask('C:\WINDOWS\system32\MGE','*.*',true);
Deletedirectory('C:\WINDOWS\system32\MGE');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(11);
Executerepair(17);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
26.11.2009, 20:43
Western

Спасибо. Баннера не видно. Логи повторные
Жду Вашего ответа.. Работа стоит :(
26.11.2009, 20:50
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-1062836496-9965917343-443063100-3146\hdav.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-1062836496-9965917343-443063100-3146\hdav.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
26.11.2009, 21:29
Western

Готово...!!!
Что какой будет диагноз?!
26.11.2009, 21:43
Шапельский Александр

Это Ваше [B]D:\DB\Rem_KIR.bat ?
[/B]
26.11.2009, 21:55
Western

D:\DB\Rem_KIR.bat
[CODE]C:\sybase\Any9\win32\dbremote.exe -c "eng=T_KIR;dbn=KIR;uid=TIB_KIR;pwd=kir;CS=CP866" -t -l 500K -m 10M -b -k -o kir.txt -x 40M [/CODE]

ПК - главного бухгалтера... Поэтому даже не знаю, че это за файлики....
26.11.2009, 22:09
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\sybase\Any9\win32\dbremote.exe ','');
QuarantineFile('D:\DB\Rem_KIR.bat','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
26.11.2009, 22:27
Western

[B]shapel[/B],
Готово..!!
26.11.2009, 22:38
Шапельский Александр

Карантин пуст, еще раз выполните последний скрипт.
26.11.2009, 22:46
Western

[B]shapel[/B],
переделал и отослал.

один ньюанс:
после выполнения скрипта - происходит перезагрузка. После которой загружется фон рабочего стола без ярлыков, но с курсором. на комбинацию клавиш ctrl+alt+del - не реагирует.
Жать ребуут?
26.11.2009, 22:51
pig

Ну, как бы больше ничего и не остаётся...
26.11.2009, 22:52
Шапельский Александр

[QUOTE='Western;517825']после выполнения скрипта - происходит перезагрузка. После которой загружется фон рабочего стола без ярлыков, но с курсором. на комбинацию клавиш ctrl+alt+del - не реагирует.
Жать ребуут? [/QUOTE]
Уточните, перезагрузка постоянная, после выполнения скрипта?
26.11.2009, 22:58
Western

после выполнения скрипта - происходит перезагрузка.
[B]RebootWindows(true);[/B]
После чего Windows до конца не подгружается. Висит заставка рабочего стола и усе..При этом локальное подключение к этому ПК - было активно (благодаря чему я и сделал карантин и отослал Вам его)
вот через 10 минут сам ушел на перезагрузку, без каких либо моих манипуляций.
Загрузился нормально. только выдало окно об установке нового оборудования.... Но в диспетчере устройств - никакого нового оборудования не отобразилось.
События приложения и системы - ничего не пишет...
26.11.2009, 23:03
Шапельский Александр

Карантин успешный! Ждем вердикта вирусного аналитика.
26.11.2009, 23:05
thyrex

+ к [B]shapel[/B]

[QUOTE='Western;517825']на комбинацию клавиш ctrl+alt+del - не реагирует.[/QUOTE]
Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Помогло? Если нет, проверьте наличие файла taskmgr.exe в папке system32

Проверьтесь этим [url]http://support.kaspersky.ru/viruses/solutions?qid=208636926[/url]
Лог работы выложите
26.11.2009, 23:43
Western

[B]thyrex[/B],
помогло, загрузилось нормально.
Наличие taskmgr.exe в папке system32 - присуствует.
[B]TDSSKiller[/B] - запустил, все чисто.

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Вроде бы все работает!!!
Сейчас установил Drweb Space
также установлю USBGuard
Надеюсь, что проблема не вернется.

все огромное спасибо...!!!!!
26.11.2009, 23:47
Шапельский Александр

Не пропадайте:) Если файлы, которые послали на анализ зловреды, их надо будет удалить! А пока, их не трогайте!!! Вдруг легитимные.
26.11.2009, 23:56
Western

[B]shapel[/B],
Еще раз спасибо. :beer:
Завтра буду снова обращатся за помощью. теперь уже со своим ПК.
Боюсь, подхватил какую то заразу....:(
27.11.2009, 14:08
Шапельский Александр

Файлы, посланные на анализ - чистые!
28.11.2009, 14:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\bcnjs.dll - [B]Trojan.Win32.Agent.dcou[/B] ( DrWEB: BackDoor.Siggen.3863, BitDefender: Trojan.Generic.2819874, NOD32: Win32/Agent.QJR trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] g:\autorun.inf - [B]Trojan.Win32.AutoRun.nz[/B] ( BitDefender: Trojan.AutorunINF.Gen )[/LIST][/LIST]