смс-вымогатель, остаточное лечение

Поймал данную гадость. По совету друга ввел код с сайта деблокера и винда открылась, но были заблочены Regedit и диспетчер задач. Сканирование AVP из данной учетной записи эффекта не дало. Чтоб не использовать LiveCD, подключил старый жесткий с системой и грузился с него. Проверка ничего не изменила. Разблокировка утилитой AVZ диспетчера и редактора реестра эффекта не дала-их окна закрывались сразу после открытия. После, AVZ нашла некоторые подозрительные процессы и удалила их. Все вернулось на круги своя, но по совету с вашего форума хотел бы пройти остаточное лечение. Спасибо, если кто-то откликнется.

1. Пожалуйста, выполните скрипт AVZ:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('Ati2evxx.dll', 'CHQ=N');
QuarantineFile('atioglxx.dll', 'CHQ=N');
QuarantineFile('d347bus.sys', 'CHQ=N');
QuarantineFile('lmaquzw.sys', 'CHQ=N');
QuarantineFile('npkcrypt.sys', 'CHQ=N');
QuarantineFile('uitwo.sys', 'CHQ=N');
QuarantineFile('VFILT.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\pgsmbus.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\pgsmmdfl.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\pgsmmdm.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\siside.sys', 'CHQ=N');
QuarantineFile('C:\Program Files\Agnitum\Outpost Firewall\kernel\FILTNT.SYS', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\Ati2evxx.exe', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\drivers\sisidex.sys', 'CHQ=G');
BC_QrFile('C:\Program Files\Agnitum\Outpost Firewall\kernel\FILTNT.SYS');
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить [URL]http://virusinfo.info/index.php?page=uploadclean[/URL]

выполните скрипт
[code]
begin
QuarantineFile('C:\WINDOWS\System32\ipbootp.dll','');
QuarantineFile('C:\Program Files\Permeo\Security Driver\cwindom.dll','');
QuarantineFile('C:\Program Files\Permeo\Security Driver\cssl.dll','');
QuarantineFile('C:\Program Files\Permeo\Security Driver\csecureid.dll','');
QuarantineFile('C:\Program Files\Permeo\Security Driver\cldap.dll','');
end.
[/code]
пришлите карантин согласно приложения 3 правил
такой [url]http://www.gmer.net/[/url] лог сделайте

Карантин выслан. Первый файл не в карантине-ошибка прямого чтения. Остаьлные файлы относятся к безобидному проксификатору, но в принципе могли быть модифицированы. Жду дальнейших указаний.

Лог от Gmera

сохраните содеожимое в блокноте как 1.bat в папке со gmer запустите ... повторите логи
[code]
xthmeh1g.exe -del service ibfsp
xthmeh1g.exe -del service rvffaxuup
xthmeh1g.exe -del file "C:\WINDOWS\system32\xdzktyl.dll"
xthmeh1g.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ibfsp"
xthmeh1g.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rvffaxuup"
xthmeh1g.exe -del reg " HKLM\SYSTEM\ControlSet002\Services\ibfsp"
xthmeh1g.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rvffaxuup"
xthmeh1g -reboot
[/code]

Батник выполнил. Лог от Gmera прилагается.

Я извиняюсь за настойчивость, но в последнее время начал замечать за компом повышенную тормознутость. На сколько я могу судить, куски от вируса еще здесь, правда не понятно на сколько они работоспособны. Если мне не о чем беспокоится, то так и напишите. Если я что-то сделал не так, напишите, что я ламер, и со мной никто возится не будет, и я спокойно начну искать другие варианты. Спасибо.

далеко не куски все на месте ... запускайте заново ...

Зпаустил батник еще раз, причем из SafeMode. Ругался на некоторые файлы под предлогом их отсутствия. Но судя по отчетам этих файлов действительно небыло. Итоги запуска в логе Gmer.

Лог чист. Что с проблемой?

Трудно сказать, я не специалист. Явные проявления, как то блокировка винды, диспетчера задач, и регедита устранились уже после правки с помошью AVZ. Батник добил какие-то библиотеки. Теперь AVZ ругается на перехват каких-то 14 функций, говорит, что код перехватчика блокирован и все исправлено, просит перезагрузки. После перегруза та же ругань. Как еще посканить систему я не знаю. Субьективно мне кажется, что система тормозит слегка, правда тестов я никаких не делал, все на ощущениях. Если есть мысли по поисук недобитков, готов все выполнить. Если нет, быдем считать, что поциэнт здоров.

[QUOTE='raintear;597166']Теперь AVZ ругается на перехват каких-то 14 функций, говорит, что код перехватчика блокирован и все исправлено, просит перезагрузки. После перегруза та же ругань.[/QUOTE]На это внимание не обращайте

Установите SP3 (может потребоваться активация) + все новые заплатки
Установите Internet Explorer 8
Установите Adobe Acrobat 9.3 или удалите старый
Обновите [URL="http://www.java.com/ru/download/manual.jsp"]JavaRE[/URL]

Яву обновил, а Акробата удалил. Эксплорер и сервиспак ищу.
Пока я этим занимался в системе обнаружился еще один вымогатель. НА этот раз он представился порнобаннером и попросил отослать смс, чтоб его окно не висело поверх остальных. Поскольку Винда оставалась работоспособной, ведь вымогатель был всего лишь в виде окна в центре экрана, мне удалось обновить антивирус и отключить автозагрузку виря. Антивирус что-то удалил, но возможно не полностью. Правила я читал, и по идее надо писать новую заявку, но поскольку система та же, и с предыдущим вирусом еще не все понятно, я счел возможным написать снова сюда. Файлы сканирования прилагаются.
П.С. Систему так же лечил с помошью ливсиди от Доктора Веба.

Лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] делайте
Снова Кидо подцепили

Лог сделал. Вот только я не пойму, где я так мог нахватать этого добра. Если можно, объясните процесс поражения компа этой гадостью, или посоветуйте где искать.

Ложная тревога. А все потому, что лог [B]virusinfo_syscure.zip[/B] выложили старый. Будьте, пожалуйста, внимательны

Прошу прощения, по дате проверил только syscheck. Только смущает меня еще вт что. В меню автозагрузки в msconfig присутствуют элементы, либо совсем без названия, либо вместо названия иероглифы, то же самое с их командой, однако ключ в реестре есть. Плюс к тому в меню пуск-Программы появилась папка "Автозагрузка-" помимо собственно автозагрузки. После перезагрузки опять появляется, но там пусто. Есть ли повод для беспокойства? Кроме описанных вроде больше ничего не беспокоит.

Давайте еще так проверимся [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

Проверил, результат прилагается.

Выполните скрипт в AVZ
[code]begin
QuarantineFile('c:\windows\system32\msgsvc.dll','');
end. [/code]
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::

Driver::
rvffaxuup
ibfsp
lmaquzw
uitwo

NetSvc::
rvffaxuup
ibfsp

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

Попытался выполнить скрипт-AVZ пишет ,что выполнено успешно, однако карантинный файл не создается, Просмотр карантина чист. Пока я пытался все это сделать система подвисла на секунду, а потом все экзешники перестали запускаться под предлогом отсутствия прав. Ребут исправил проблему. Однако файл карантина не удалось созжать даже в Safe Mode. Выполнил скрипт ComboFix. Результат прилагается.
П.С. теперь еще появилсаь такая проблема, что периодически зависает соединение с интернетом. Фактически оно есть, но при этом полностью бесполезно, ибо пакеты не передаются.

[B]c:\windows\system32\msgsvc.dll[/B] замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

[B]c:\windows\system32\NeroCheck.exe[/B] проверьте на на [url="http://www.virustotal.com/ru"]virustotal[/url]
Ссылку на результат проверки сообщите

Библиотеку заменил, только не с вашего дистрибутива а со своего, с голой винды.
Файл проверил, ссылка на проверку [url]http://www.virustotal.com/ru/analisis/243201b64f4b60d55cdb1a3bf4b9aa60bc22eb8aca88e95042ee48ac5df5f397-1268309390[/url]

Что с проблемой после замены файла?

[QUOTE='raintear;601908']Библиотеку заменил, только не с вашего дистрибутива а со своего[/QUOTE]А мы свой дистрибутив и не предлагали :)

Антивир ругался на какой то вирус, сказал что удалил, правда повода верить ему у меня нет. (со слов сестры, сам за машиной небыл). Последенее что видел я лично, это ругань на файл system32\x который был создан процессом svchost но это было до замены. На данный момент проблем пока не налюдается. Завтра посканирую систему с ливсиди разных производителей. Отпишу позже.

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

Установите [URL="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/URL] (может потребоваться активация) + все новые заплатки
Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/URL]
Установите [URL="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/URL] или удалите старый
Обновите [URL="http://www.java.com/ru/download/manual.jsp"]JavaRE[/URL]

Проблима не исчезла. Интернет по прежнему работает минут 15, потом связь теряется, хотя подключение остается. НО этим подключением управлять уже не получается, даже свойства не посмотреть. Комбофикс ругается опять на ту же библиотеку.

Попробуйте сначала установить указанные обновления

Обновления поставил, теперь папка WINDOWS занимает у меня 4,5 гига. Как удалить весь этот усор? И да, к стати, а как вирей дальше искать будем. Точнее как проверить, есть ли вири по прежнему, или таки сдохли?

[QUOTE='raintear;603527']теперь папка WINDOWS занимает у меня 4,5 гига.[/QUOTE]У меня больше и что из этого?

Что с Интернетом?

Интернет за сегодня не упал ни разу. Других проявлений вирусни тоже не наблюдается.

Стало быть обновление помогло

Возможно и помогло, только вот у меня теперь компьютер живет своей жизнью. Картинка рабочего стола меняется при перезагрузке, ярлыки пропадают с рабочего стола, изменения, которые я делаю в системе не сохраняются. Комп видимо лучше теперь знает, что мне надо =(

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]