Printable View
После загрузки винды вылазит окно, типа вы нарушилы права проги uBest Net speed pro и просит ввести смс с кодом М21720009 на номер 8353. ни какая программа не запускается, даже в безопасном режиме.
проверил и доктором Dr.Web CureIt!® и утилитой AVZ, ни тот ни друй не нашел ни какого вируса.... что делать, помогите???? :(:(
Почитайте еще раз [url]http://virusinfo.info/pravila.html[/url]
я это все прочитал, но я проверял зараженную систему из другой, так как в зараженной вирус не дает выполнить приложения,а при входе в папку AVZ вообще перезагружается сразу. как быть в этом случае? ведь из новой системы нет смысла собирать данные о зараженной, так?
HijackThis тоже не получается запустить?
кое как удалось сделать лог, так как вирус не дает создать файл hijackthis.log
Пофиксите
[CODE]O20 - AppInit_DLLs: C:\WINSP3\system32\tgqzo.dll[/CODE]
[size="1"][color="#666686"][B][I]Добавлено через 34 секунды[/I][/B][/color][/size]
Затем логи по правилам
пофиксил как вы сказали, но результат тот же :( тоже окно с кодом и ничего не запускается....
да и при повторном сканировании HijackThis строка уже такого вида
O20 - AppInit_DLLs: C:\WINSP3\system32\hou.dll
Безопасный режим работает? Если да, то загрузитесь. Почистите все файлы во всех временных папках (Temp, Temporay Internet Files) у всех аккаунтов. Потом пробуйте загрузиться в обычном режиме. Делайте логи.
удалил все временные папки как сказали.... вирус все еще присутствует. вот лог
что делать дальше?
Переименуйте этот файл C:\WINSP3\system32\[B]h.dll[/B]
Пофиксите
[CODE]F2 - REG:system.ini: UserInit=C:\WINSP3\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe[/CODE]
Перезагрузите ПК
переименовал, вроде окно не появляется, пофиксил строку.... перезагруз
лог
Логи АВЗ сделайте, надо добить зловреда!
ок, сделал все логи. высылаю.
что дальше?
Пофиксить в Hijack следующие строки:
[CODE]O20 - AppInit_DLLs: C:\WINSP3\system32\mbefj.dll
F2 - REG:system.ini: UserInit=C:\WINSP3\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe
[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
DelCLSID('67KLN5J0-4OPM-33WE-AAX5-24KC2A3453431');
DelCLSID('67XOR2B0-3GMC-89VV-JIJ1-32KL2R3233771');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{93344865-74BD-4873-BE65-56539D41A65C}');
QuarantineFile('C:\WINSP3\Downloaded Program Files\Earn2Life.dll','');
QuarantineFile('c:\C\Settings\cl.exe','');
QuarantineFile('c:\NEXT\FILES\NEXT.exe','');
QuarantineFile('C:\WINSP3\system32\AVLibrary.dll','');
QuarantineFile('C:\Program Files\Everstrike Software\Lock Folder XP 3.5\LF30XP.sys','');
QuarantineFile('C:\WINSP3\system32\mbefj1.dll','');
DeleteFile('C:\WINSP3\system32\mbefj1.dll');
DeleteFile('C:\WINSP3\system32\AVLibrary.dll');
DeleteFile('c:\NEXT\FILES\NEXT.exe');
DeleteFile('c:\C\Settings\cl.exe');
DeleteFile('C:\WINSP3\Downloaded Program Files\Earn2Life.dll');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(14);
Executerepair(11);
Executerepair(17);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
а файл mbefj.dll надо обратно переименовывать?
я его переименовал в mbefj1.dll чтобы окно убралось
Не надо, я подправил скрипт. Он отработает.
ок, отослал карантин, вот логи.
да, теперь после загрузки системы автоматически загружется интернет ехплореер с сайтом [url]http://butirat.com/job.php?num=2298187490&rev=53[/url]
это что???? в автозагрузке пусто.... как отключить?
Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\winsp3\system32\winagent.exe','');
DeleteFile('c:\winsp3\system32\winagent.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Internet Agent');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
RebootWindows(true);
end.[/code]
ПК перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи.
все вроде бы нормально.
логи
Чисто.
Установите Internet Explorer 8
спасибо за помощь.
кстати у меня 8 и стоит, только сейчас на сайты не заходит и два окна загружается
[QUOTE=Andrey1302;524355]спасибо за помощь.
кстати у меня 8 и стоит[/QUOTE]
А это [QUOTE]Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: I[B]nternet Explorer v6.00[/B] (6.00.2900.2180)[/QUOTE]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\winsp3\system32\mbef1j.dll - [B]Trojan-Ransom.Win32.SMSer.tl[/B] ( DrWEB: Trojan.Winlock.521, AVAST4: Win32:Malware-gen )[/LIST][/LIST]