Тот же долбанный порно баннер 3381

Printable View

18.05.2010, 14:34
bunimovich

Тот же долбанный порно баннер 3381

Не могу вообще ничего сделать. Кроме эксплорера не запускается ничего. Поэтому ни логов ни чего-то другого сделать не могу. Не даёт зайти ни в один каталог глубже одной папки. Тут же перегружает комп. Никакие переименования, ни чистки не помогли. Подскажите хоть с чего начать-то лечение?

зы
Подозреваю миниигрушки, скаченные с новокаки. Уже во второй раз.
18.05.2010, 14:42
DefesT

Попробуйте подобрать код здесь - [url]http://support.kaspersky.ru/viruses/deblocker[/url] или [url]http://www.drweb.com/unlocker/index[/url]
Полиморфный АВЗ тоже не запускается?
Попробуйте код - [B]279346830[/B]
18.05.2010, 14:48
bunimovich

вообще не работает ни одна программа. тут же перегруз. пробовал переименовать на бат не помогло. работает только msconfig и эксплорер. из доса зайти не могу потому, что ntfs. пишу с ноута.
18.05.2010, 14:54
DefesT

Код пробовали ввести? Через msconfig посмотрите что в автозагрузке висит.
18.05.2010, 15:02
bunimovich

всё что можно вырубил, оставил только необходимые. вирус похоже сидит в sysgif32, но я его их автозагрузки убрал.
время ожидание ввода следующего кода увеличивается по экспоненте. Сейчас жду результата по второму коду уже 200 секунд... баннер белый с синими полосами сверху и снизу и девка в двух экземплярах с голой грудью.
ссылка на сайт xnxx.com, для просмотра эровидео перейдите по ссылке pornohab.com
ЗЫ
Код ввёл, не помогло. Зашёл на Касперского попробовал два кода... не помогло.
18.05.2010, 15:41
thyrex

[QUOTE='bunimovich;639119']msconfig и эксплорер[/QUOTE]А если переименовать AVZ в msconfig.exe он запустится?
18.05.2010, 16:05
bunimovich

я сейчас переставил винт с системой на старый комп и пробую на нём давить всё что создано непонятно чем за последние два дня... так что проверить не могу. но думаю, что вирь гасит проги не по имени. хиджак запускается начинает работать, но после проверки перегружается комп и зависает на строчке сохранение параметров, так что приходится его принудительно перегружать кнопкой.

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

Чистка на другом компе не помогла. Передавил все темпы и тд, опять та же хрень... не помогло. Где он сидит по опыту?
18.05.2010, 16:08
DefesT

номер 3381, а текст скажите какой?
18.05.2010, 16:21
bunimovich

Рекламный модуль для просмотра Эро-видео сайта pornohab.com
Это на верхней синей полосе
Потом на белом прямоугольнике:
Для просмотра Эровидео перейдите по ссылке: xnxx.com
Установив рекламный модуль вы... блаблабла
Чтобы закрыть рекламный модуль ранее 48 часов с моментав установки:
Отправьте смс с текстом М201017271 на номер 3381

Два кода последних тут из тем не подошли.
18.05.2010, 16:31
thyrex

Пробовали?
[QUOTE='thyrex;639169']А если переименовать AVZ в msconfig.exe он запустится?[/QUOTE]
18.05.2010, 16:48
bunimovich

Тоже не проходит. НЕ открывается и после переименования...
Не даёт экзешникам запускаться

ЗЫ
Поможет ли такая штука... если винт переставить на другой комп и проверить авз? Имеет смысл?
18.05.2010, 16:51
DefesT

пробуйте - [B]73J2844S[/B]
18.05.2010, 17:05
bunimovich

УРАААААА!!!! Сработал этот код! Теперь как мне эту гадость вычистить? Логи и авз пускать?
18.05.2010, 17:12
DefesT

Сделайте комплект логов
18.05.2010, 17:26
bunimovich

мы прочистили комп руками при помощи anvir taskmanager, он показывает на подозрительные процессы и сервисы, всё необычное и непонятное покиляли. Также потёрли всё из temp'ов и кэшей. Теперь, вроде, нормально грузится. Логи, конечно, можно прислать, но, скорее всего, толку от них будет мало.
Самый странный файл назывался msscrn.exe, маскировался под микрософт (но в свойствах файла всё равно какие-то калямаляки),сидел в сервисах, потом куда-то убежал. НИ экзешника, ни процесса не видно.
Ещё странность -- при перезагрузке ПЕРЕД "приветствие" вываливается пустое окно с парочкой кракозябр и кнопкой ОК. Видимо, пытается загрузиться какой-то сервис, но ввиду оторванных конечностей, не может.
18.05.2010, 18:17
bunimovich

Вот логи. Пока вроде всё ок. Надеюсь, по-крайней мере...
18.05.2010, 19:11
DefesT

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - (no file)
O2 - BHO: (no name) - {9961627E-4059-41B4-8E0E-A7D6B3854ADF} - (no file)
O2 - BHO: (no name) - {E5A1691B-D188-4419-AD02-90002030B8EE} - (no file)
O2 - BHO: (no name) - {F156768E-81EF-470C-9057-481BA8380DBA} - (no file)[/CODE]
Обновите базы AVZ!
Отключите компьютер от интернета, а также [URL="http://virusinfo.info/showthread.php?t=57441"]отключите[/URL] [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\EuGdiDrv.sys','');
QuarantineFile('C:\WINDOWS\system32\epmntdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ssmdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\srnh.lto','');
QuarantineFile('C:\Program Files\Common Files\System\WebCheck.dll','');
DeleteFile('C:\Program Files\Common Files\System\WebCheck.dll');
DeleteFile('C:\WINDOWS\system32\srnh.lto');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам (virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log)
18.05.2010, 22:24
bunimovich

Высылаю новые логи, карантин тоже загрузил...
19.05.2010, 07:37
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\2VIFAV43\file[2].exe');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\2VIFAV43\file[1].exe');
DeleteFileMask('C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;
19.05.2010, 08:08
bunimovich

Сделано...
19.05.2010, 08:19
polword

В логе чисто.

Осталось обновить систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
20.05.2010, 18:38
bunimovich

Спасибо!
21.05.2010, 18:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\2vifav43\file[1].exe - [B]Backdoor.Win32.Knokk.cz[/B] ( DrWEB: BackDoor.Tasker.20 )[*] c:\windows\system32\config\systemprofile\local settings\temporary internet files\content.ie5\2vifav43\file[2].exe - [B]Backdoor.Win32.Knokk.cz[/B] ( DrWEB: BackDoor.Tasker.20 )[*] c:\windows\system32\srnh.lto - [B]Trojan.Win32.Agent2.cqzi[/B] ( DrWEB: Trojan.DownLoad1.59108, BitDefender: Gen:Variant.Oficla.2, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]