Вконтакте

Printable View

17.11.2010, 14:27
Хамилька

Вконтакте

Здраствуйте, у меня при заходе на сайт ВКонтакте, требует отправить смс.
На сайты антивирусов непускает, антивирусы не обновляет, Хайджек и АВЗ не запускает, в файле hosts всё в порядке.

У меня оновной - Касперский. С помощью утилиты Др.Веб проверил комп, но ничего не обнаружил.
17.11.2010, 14:32
olejah

Здраствуйте, необходимо выполнить [URL="http://virusinfo.info/pravila.html"]правила[/URL]
17.11.2010, 14:48
Хамилька

Исходя из правил, всё что я смог сделать - это проверить компьютер с помощью утилиты CureIt!
17.11.2010, 14:49
olejah

Попробуйте сделать лог [URL="http://virusinfo.info/showthread.php?t=58309"]ComboFix[/URL]
17.11.2010, 15:42
Хамилька

готово
17.11.2010, 15:48
olejah

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.

[CODE]KillAll::

File::
c:\windows\system32\gzmexfp.exe

Driver::

NetSvc::

Folder::
c:\program files\Common Files\671A6E03a

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Userinit"="c:\windows\system32\userinit.exe,"

FileLook::

DirLook::[/CODE]

После сохранения переместите [B]CFScript.txt[/B] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
17.11.2010, 15:59
Хамилька

не формирует отчет
17.11.2010, 16:04
olejah

Повторите ещё раз. После этого попробуйте запустить АВЗ.
17.11.2010, 16:07
Хамилька

АВЗ не запускается
17.11.2010, 16:20
olejah

С реестром работать умеете?
17.11.2010, 16:23
Хамилька

скорее нет чем да
17.11.2010, 16:32
olejah

1.скачайте [B]Live CD[/B] с возможностью поиска и исправления в реестре. Например, [B]ERD Commander[/B].
2.Загрузитесь с этого диска.
3.Кнопка Пуск - Выполнить - [B]erdregedit[/B]
4.Посмотрите в реестре:
[B]ветка[/B]

[CODE]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon[/CODE]

[B]параметр[/B]

[CODE]userinit[/CODE]

Содержимое этого параметра напишите в своем сообщении
17.11.2010, 17:09
Хамилька

не могли бы вы мне дать ссылку на скачивание, а то я уже скачал 2 ненужных архива

А ЛайфСД от доктора вэба подойдёт?
17.11.2010, 17:14
olejah

В принципе это можно сделать и без LiveCD, Пуск - Выполнить - Введите regedit и найдите эту вертку и параметр, напишите содержимое параметра в своём сообщении.
17.11.2010, 17:20
Хамилька

вот
REG_SZ
C:\WINDOWS\Sistem32\userinit.exe,C:\WINDOWS\sistem32\gzmexfp.exe,
17.11.2010, 17:23
olejah

Теперь внимание
- Исправляем содержимое, оставляем только [B]C:\WINDOWS\Sistem32\userinit.exe,[/B] (включая запятую)

- Ищем файл [B]C:\WINDOWS\sistem 32\gzmexfp.exe[/B] и удаляем его.

- Запускаем АВЗ и делаем логи по правилам.
17.11.2010, 17:31
Хамилька

Исправил содержимое, удалил файл
авз не запустилось, а в реестре снова экзешник прописан
но экзешник в систем32 уже нет
17.11.2010, 17:44
olejah

Исправьте опять содержимое, перезагрузитесь и проверьте не изменилось ли оно.
17.11.2010, 17:53
Хамилька

всё также, ничего не изменилось
17.11.2010, 17:56
olejah

C:\WINDOWS\Sistem32\userinit.exe,C:\WINDOWS\sistem 32\gzmexfp.exe, - такое сейчас содержимое?
17.11.2010, 17:57
Хамилька

да
17.11.2010, 17:59
olejah

Пробуем так -

1. Переименуйте папку AVZ, задайте ей несмысловое имя типа X54S или распространенное типа Soft, Game и т.п.

2. Переименуйте avz.exe в что-то типа test.exe, game.pif, program.com

3. Запускайте AVZ с ключом: avz.exe ag=y
17.11.2010, 18:40
Хамилька

готово
17.11.2010, 18:47
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]R3 - URLSearchHook: (no name) - - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\gzmexfp.exe','');
QuarantineFile('C:\WINDOWS\system32\idmmbc.dll','');
QuarantineFile('G:\autorun.inf','');
DeleteFile('C:\WINDOWS\system32\gzmexfp.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи
17.11.2010, 19:20
Хамилька

готово
17.11.2010, 19:48
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('G:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите лог [B]virusinfo_syscheck.zip [/B]
17.11.2010, 20:12
Хамилька

готово
17.11.2010, 20:19
olejah

Плохого не увидел.
17.11.2010, 20:21
Хамилька

а доступ к сайту по прежнему с смс
17.11.2010, 20:29
olejah

ДНС знакомы? - [CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{516C0DB4-A8E4-4F7A-AE11-9F1B256FCE27}: NameServer = [B]195.226.220.30,195.226.220.31[/B]
O17 - HKLM\System\CCS\Services\Tcpip\..\{E2D7CE5C-DE43-41E7-B2ED-AF6C7BF475CB}: NameServer = [B]195.226.220.30,195.226.220.31[/B]
O17 - HKLM\System\CCS\Services\Tcpip\..\{F6B1C15C-4F23-4D42-A9E6-BD2DC2BCB185}: NameServer = [B]195.226.220.30,195.226.220.31[/B]
[/CODE]
17.11.2010, 20:34
Хамилька

к сожалению не знакомы
17.11.2010, 20:40
olejah

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{516C0DB4-A8E4-4F7A-AE11-9F1B256FCE27}: NameServer = 195.226.220.30,195.226.220.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{E2D7CE5C-DE43-41E7-B2ED-AF6C7BF475CB}: NameServer = 195.226.220.30,195.226.220.31
O17 - HKLM\System\CCS\Services\Tcpip\..\{F6B1C15C-4F23-4D42-A9E6-BD2DC2BCB185}: NameServer = 195.226.220.30,195.226.220.31[/CODE]
17.11.2010, 20:52
Хамилька

теперь всё в порядке)
Большое спасибо)
17.11.2010, 20:53
olejah

Рекомендуется

- Установить все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установить [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.
18.11.2010, 20:53
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]