Вирус требовал СМС от лица Kaspersky Lab

[volonter2004]

Здравствуйте.
День первый - неизвестная программа запросила доступ к сети. Доступ был мной заблокирван.

День второй- та же программа(не помню название) вывела на экран сообщение(не записал текст) и перезагрузила компьютер.
После перезагрузки,при открытии учетной записи вирус потребовала отправить смс на номер 6008 с текстом #win1t5675. смс было отправлено - в ответ был получен код: 5748839. После ввдения кода система загрузилась.

После загрузки системы был доступен только диск "С", остальные диски отображались как съемные. Открыть их напрямую их не представлялось возможным. Но через Проводник удалось просмотреть, что в корневом каталоге каждого диска установлены файлы md.exe. Удалить их не удалось т.к. "они используются другим приложением". Диспетчер задач не открывается "отключен администратором", а когда открывается - сразу закрывается. Regedit так же закрывается через пол секунды после открытия.
Заранее спасибо. Очень расчитываю на вашу помощь.

[gjf]

- Вставьте все заражённые флешки, но не открывайте их в Проводнике, пока Вам не будет это разрешено.
- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрвол.
- Выполните скрипт AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 CreateQurantineArchive('C:\quarantine.zip');
 QuarantineFile('G:\md.exe','');
 QuarantineFile('G:\autorun.inf','');
 QuarantineFile('D:\DOCUME~1\DE97~1\LOCALS~1\Temp\UqnuqJB8.sys','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\alulq4f7.SYS','');
 QuarantineFile('D:\WINDOWS\System32\Drivers\abaguyn2.SYS','');
 QuarantineFile('d:\windows\system32\user32.exe','');
 QuarantineFile('d:\program files\markany\contentsafer\maagent.exe','');
 QuarantineFile('d:\docume~1\de97~1\locals~1\temp\rarsfx0\7a4e4l.exe','');
 QuarantineFile('d:\docume~1\de97~1\locals~1\temp\rarsfx0\6ggx2.exe','');
 DeleteFile('d:\docume~1\de97~1\locals~1\temp\rarsfx0\6ggx2.exe');
 DeleteFile('d:\docume~1\de97~1\locals~1\temp\rarsfx0\7a4e4l.exe');
 DeleteFile('e:\md.exe');
 DeleteFile('d:\md.exe');
 DeleteFile('с:\md.exe');
 DeleteFile('d:\windows\system32\user32.exe');
 DeleteFile('E:\md.exe');
 DeleteFile('D:\DOCUME~1\DE97~1\LOCALS~1\Temp\UqnuqJB8.sys');
 DeleteFile('E:\autorun.inf');
 DeleteFile('D:\autorun.inf');
 DeleteFile('G:\autorun.inf');
 DeleteFile('G:\md.exe');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(16); {восстановление ключа запуска explorer}
 SetAVZPMStatus(true);
 BC_Activate;
 RebootWindows(true);
end.

Система перезагрузится.
После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи согласно Правил (Диагностика)
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин (он находится на диске С вот здесь: C:\quarantine.zip) согласно Правил (Приложение 3).
- Прикрепите новые логи к новому сообщению в этой ветке.

Добавлено через 2 минуты

P.S. Обратите внимание: у Вас при сканировании были запущены CureIt и антивирус Eset. Их лучше выгрузить во время сканирования и лечения.

И ещё вопрос: службу автоматического обновления Windows Вы сами отключали?

[volonter2004]

Скрипт сработал. Диски отображаются корректно. Панель задачь по прежнему не доступна

Файлы в карантине отсутствовали.

[volonter2004]

И ещё вопрос: службу автоматического обновления Windows Вы сами отключали?

Не помню.

[gjf]

Выполните скрипт AVZ:

begin
SetAVZGuardStatus(True);
SetServiceStart('wuauserv', 2)
 ExecuteRepair(6); {удаление всех политик ограничения текущего пользователя}
 ExecuteRepair(11); {разблокировка диспетчера задач}
 ExecuteRepair(17); {разблокировка редактора реестра}
 SetAVZPMStatus(false);
 BC_Activate;
 RebootWindows(false);
end.

Система перезагрузится.
Сделайте лог с помощью GMER.
gmer.log

[volonter2004]

Скрипт не выполняется - "сбой в задаче <avz scan>"

[gjf]

Лог Gmer'a где?

[volonter2004]

Лог gmer

p.s.: на компьютере установлено две ОС. после удаления вируса на одной системе и загрузки другой, жесткие дисик были заражены повторно

[gjf]

Вы сделали лог в соответствии с рекомендациями? Галочку поставили напротив диска, на котором установлена рабочая ОС?

Если заражение повторилось - делайте опять сканирование и логи.

[volonter2004]

Проблема решилась через AVZ "файл-востановление системы-разблокировать панель задач". Повторный запуск скрипта в основной ОС на дсике С удалил вирус с компьютера. Спасибо за помощь