Я опять подцепил какую-то зловредную мыловарку(

Printable View

07.10.2010, 10:49
alpauk

Я опять подцепил какую-то зловредную мыловарку(

На безобидном с виду форуме по stalker... Всплыло незакрываемое ОК-окошко о том, что я выиграл миллион...
На выходе: блокированы FF, RSIT, AVZ, Combofix в какой-то момент тоже убит. При загрузке пусковая панель виснет минут двадцать, потом все ок.
Сделал логи, до каких дотянулся...

Помогите, товарищи!

И посоветуйте, как от таких окошек обороняться - их просто вал какой-то(((
07.10.2010, 10:57
alpauk

вот еще касперский лог.
07.10.2010, 11:53
polword

- [B]virusinfo_cure.zip[/B] - удалите из темы

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR="Red"]Обязательно!!! Системное восстановление!!![/COLOR][/B]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\windows\system32\ljnuhx.exe','');
QuarantineFile('C:\windows\system32\c044dab0.exe','');
DeleteService('StarWindServiceAE');
DeleteFile('StarWindServiceAE.sys');
DeleteFile('C:\windows\system32\c044dab0.exe');
DeleteFile('C:\windows\system32\ljnuhx.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])
07.10.2010, 12:02
alpauk

[QUOTE=polword;717022]- [B]virusinfo_cure.zip[/B] - удалите из темы

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
[/QUOTE]

я так понимаю, что делать это придется в safe mode, а то и из-под ERD, как иначе запустить AVZ?
07.10.2010, 12:36
olejah

Выполните скрипт в avptool
07.10.2010, 13:08
alpauk

[QUOTE=Olejah;717061]Выполните скрипт в avptool[/QUOTE]

вот с ним непонятно, после установки в папке есть какой-то никуда не ведущий ярлык, никакого приложения, которое бы имело хоть какой-нибудь оконный интерфейс. И уже не первый раз ставлю...
07.10.2010, 13:10
olejah

А как был снят "касперский лог"?
07.10.2010, 15:10
alpauk

[QUOTE=Olejah;717077]А как был снят "касперский лог"?[/QUOTE]

есть там файл, log.bat, кажется. или что-то в этом духе.
08.10.2010, 01:04
thyrex

Выполняйте предложенный выше скрипт в безопасном режиме
08.10.2010, 22:05
alpauk

[QUOTE=polword;717022]- [B]virusinfo_cure.zip[/B] - удалите из темы

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- [B][COLOR=Red]Обязательно!!! Системное восстановление!!![/COLOR][/B]
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\windows\system32\ljnuhx.exe','');
QuarantineFile('C:\windows\system32\c044dab0.exe','');
DeleteService('StarWindServiceAE');
DeleteFile('StarWindServiceAE.sys');
DeleteFile('C:\windows\system32\c044dab0.exe');
DeleteFile('C:\windows\system32\ljnuhx.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE] - Файл [B][COLOR=Red]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.1-3 раздела Диагностика.([COLOR=Blue]virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log[/COLOR])[/QUOTE]

Загрузил карантин, логи AVZ, а Hijack не запускается( сделать удалось только из-под ERD
08.10.2010, 22:16
alpauk

После перезагрузки сам собой запустился AVPRemoval, я не стал отказываться, вот его лог. ФФ тоже заработал, пишу уже с этого компа...
08.10.2010, 22:21
alpauk

вот еще некоторые программы стали запускаться)))
08.10.2010, 22:30
olejah

Очень интересно, в логах АВЗ система установлена на диск [B]X:\[/B], а в логе avptool на диск [B]C:\[/B] и по содержанию логи абсолютно разные и разные в них звери. Прокомментируйте, по каким логам мне скрипт писать?
09.10.2010, 00:15
alpauk

[QUOTE=Olejah;717943]Очень интересно, в логах АВЗ система установлена на диск [B]X:\[/B], а в логе avptool на диск [B]C:\[/B] и по содержанию логи абсолютно разные и разные в них звери. Прокомментируйте, по каким логам мне скрипт писать?[/QUOTE]
X - насколько я понял, это сидюк с ERD, из-под которого я запускал добрые программы) иначе они не работали. а avp завелся с системного диска.
09.10.2010, 00:29
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в avptool[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\windows\system32\ljnuhx.exe','');
QuarantineFile('C:\windows\system32\c044dab0.exe','');
DeleteFile('C:\windows\system32\c044dab0.exe');
DeleteFile('C:\windows\system32\ljnuhx.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive('C:\quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B], из корня диска С, по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте новый лог
10.10.2010, 21:32
alpauk

[QUOTE=Olejah;717993]Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в avptool[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\windows\system32\ljnuhx.exe','');
QuarantineFile('C:\windows\system32\c044dab0.exe','');
DeleteFile('C:\windows\system32\c044dab0.exe');
DeleteFile('C:\windows\system32\ljnuhx.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE] После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive('C:\quarantine.zip');
end.[/CODE] Пришлите файл [B][COLOR=Red]quarantine.zip[/COLOR][/B], из корня диска С, по ссылке [COLOR=Red][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте новый лог[/QUOTE]

Прислал карантин и логи вот.
10.10.2010, 21:51
olejah

Теперь плохого не вижу, что с проблемой?
10.10.2010, 22:31
alpauk

При загрузке рабочего стола выскакивает окно с вот " 忠 " таким сообщением и ОК. Затем загружается рабстол, при этом пусковая панель виснет на 10-15 минут, да так, что не переключается даже раскладка клавиатуры. При этом проводник тоже зависает. ФФ начинает как обычно, потом тоже виснет. Минут через 10-15 из трея выскакивает сообщение об отключенном автообдателе и том, что надо его включить. Затем все работает как надо...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

О! я впечатлен))) [url]http://bkrs.info/slovo.php?ch=%E6%82%A3[/url]
患 - ХУАНЬ, 1) болеть, страдать; мучиться
患痢疾 страдать поносом
患眼 страдать глазами
患贫 страдать от бедности
2) быть озабоченным, беспокоиться; огорчаться; горевать; сожалеть; опасаться
10.10.2010, 22:44
olejah

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
10.10.2010, 23:15
alpauk

[QUOTE=Olejah;718774]Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL][/QUOTE]

Вот, полный.

То бишь, на его взгляд все чисто. Видимо, что-то помялось в самой системе... Это как-то возможно найти?
13.10.2010, 00:03
alpauk

Видимо, это уже был неприличный вопрос)))
13.10.2010, 09:34
thyrex

AVZ - Файл - Восстановление системы - выбрать п. 6 - Исправить
13.10.2010, 11:24
alpauk

[QUOTE=thyrex;719749]AVZ - Файл - Восстановление системы - выбрать п. 6 - Исправить[/QUOTE]
aga, propalo okoshko pered zapuskom... a Start tak i visit(((
14.10.2010, 11:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\ljnuhx.exe - [B]Backdoor.Win32.Shiz.acu[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Variant.Kazy.1502, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]