Активация Windows, ntos.exe...

[Толик]

При запуске выдаёт два окна с ошибками. Что-то там невозможно найти...LAUNCH~1.EXE и PcSync2.exe
Спустя время (2,3,4 ... или 10 минут) Появляется окошко
Нелицензионная Windows отправьте сообщение...
Окошко прибивается из диспетчера задач Windows при длительном зажатии 'трёх кнопок', иначе диспетчер сразу исчезает. Вроде были жалобы, что и баннер какой-то всплывает с чем-то. Не увидел его.

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\Documents and Settings\КАПИТАН\Application Data\ipmkx.exe','');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[Толик]

Карантин
Файл сохранён как 090622_200612_2001-01-07_4a3fabf473497.zip
Размер файла 560872
MD5 5f65cf6791770ee75aecccb7daad072b

[Wild Spirit]

Сканирование запущено в 07.01.2001 22:03:01

Установите правильную системную дату. Сейчас 2009-ый год

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.

- Пофиксите в HijackThis

R3 - URLSearchHook: - -  - (no file)

- Выполните скрипт

begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
 QuarantineFile('E:\ДАНЯ\MediaCoder\SysInfo.sys','');
 QuarantineFile('c:\documents and settings\КАПИТАН\application data\ipmkx.exe','');
 DeleteFile('c:\documents and settings\КАПИТАН\application data\ipmkx.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закачайте карантин по ссылке Прислать запрошенный карантин (http://virusinfo.info/upload_virus.php?tid=48435) вверху темы (Приложение 3 правил).
- Повторите лог virusinfo_syscheck.zip и hijackthis.log.

[Толик]

Карантин
Файл сохранён как 090624_182034_virus_4a423632569a5.zip
Размер файла 17377
MD5 a2a8b3a21d285ab451297dfb703ab83c

Выполнил скрипт и думал, что избавились наконец-то от 'блокировки' Windows.
После перезагрузки снова появилось окно "вышлите смс".
Сделал лог syscheck, просмотрел и в логе увидел

C:\Documents and Settings\КАПИТАН\Application Data\vcjac.exe

Выполнил скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\КАПИТАН\Application Data\vcjac.exe','');
 DeleteFile('c:\documents and settings\КАПИТАН\application data\vcjac.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Карантин после этого скрипта (не думаю, что новое что-то, наверняка лишь имя файла изменилось)
Файл сохранён как 090624_182957_2001-01-09_4a42386558a83.zip
Размер файла 6962
MD5 d5d8b8e38b21bad9a435f6568cc5b793

Не фиксится. Появляется вновь.

R3 - URLSearchHook: - -  - (no file)

[Толик]

А это логи до того, как пытался удалить vcjac.exe

[AndreyKa]

Изменилось не только имя. Это более свежий зловред.
Проведите процедуру, описанную в первом сообщении тут: http://virusinfo.info/showthread.php?t=3519
Проблема решена?

[Толик]

Проблемы решены. Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\капитан\application data\ipmkx.exe - Trojan-Ransom.Win32.SMSer.dc ( DrWEB: Trojan.Winlock.119 )
  2. c:\documents and settings\капитан\application data\vcjac.exe - Trojan-Ransom.Win32.SMSer.dq ( DrWEB: Trojan.Winlock.125 )
  3. c:\windows\system32\ntos.exe - Trojan-Dropper.Win32.Wlord.gen ( BitDefender: Gen:Trojan.Heur.Dropper.22A15E5E5E )