Вирус через flash player

**Lena Subbotinova** · 15.06.2011, 22:24

Вконтакте прислали ссылку на видео, якобы там моя знакомая. После перехода по ссылке мне предложили обновить flash player. Я скачала файл, запустила но ничего не произошло. Через некоторое время ноут вырубился. Я включила его заново, но вход произошел под именем Admin. Под другой учетной записью войти не могу. В виндовсе не могу воспользоваться даже поиском, антивируска убита. Ни управление учетными записями, ни восстановление системы не запускаются.
Очень надеюсь на вашу помощь

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 15.06.2011, 22:25

Уважаемый(ая) Lena Subbotinova, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 15.06.2011, 22:43

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\sysdriver32_.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\9778437.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\9090927.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\8700545.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\8143947.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\5227383.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\9310925.exe','');
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\8373791.exe','');
 SetServiceStart('wxpdrivers', 4);
 DeleteService('wxpdrivers');
 SetServiceStart('srviecheck', 4);
 DeleteService('srviecheck');
 TerminateProcessByName('c:\windows\systemup.exe');
 QuarantineFile('c:\windows\systemup.exe','');
 TerminateProcessByName('c:\windows\sysdriver32.exe');
 QuarantineFile('c:\windows\sysdriver32.exe','');
 TerminateProcessByName('c:\windows\update.1\svchost.exe');
 QuarantineFile('c:\windows\update.1\svchost.exe','');
 TerminateProcessByName('c:\windows\update.2\svchost.exe');
 QuarantineFile('c:\windows\update.2\svchost.exe','');
 TerminateProcessByName('c:\windows\services32.exe');
 QuarantineFile('c:\windows\services32.exe','');
 TerminateProcessByName('c:\windows\l1rezerv.exe');
 QuarantineFile('c:\windows\l1rezerv.exe','');
 DeleteFile('c:\windows\l1rezerv.exe');
 DeleteFile('c:\windows\services32.exe');
 DeleteFile('c:\windows\update.2\svchost.exe');
 DeleteFile('c:\windows\update.1\svchost.exe');
 DeleteFile('c:\windows\sysdriver32.exe');
 DeleteFile('c:\windows\systemup.exe');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\8373791.exe');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\9310925.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','9310925.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','8373791.exe');
 DeleteFile('C:\WINDOWS\TEMP\5227383.exe');
 DeleteFile('C:\WINDOWS\TEMP\8143947.exe');
 DeleteFile('C:\WINDOWS\TEMP\8700545.exe');
 DeleteFile('C:\WINDOWS\TEMP\9090927.exe');
 DeleteFile('C:\WINDOWS\TEMP\9778437.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','5227383.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','8143947.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','8700545.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','9090927.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','9778437.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','l1rezerv.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wxpdrv');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32.exe');
 DeleteFile('C:\WINDOWS\sysdriver32_.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysdriver32_.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','systemup');
 DeleteFile('services32.exe');
 DeleteFile('C:\Program Files\mediabar toolbar\rubarbroker.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13); 
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

**Lena Subbotinova** · 16.06.2011, 00:51

Скрипт выполнила
Карантин выслала
Вот новые логи и лог полного сканирования МВАМ

**Acidorum** · 16.06.2011, 01:00

Здравствуйте!
Удалите в MBAM:

Код:

Зараженные ключи в реестре:
HKEY_CURRENT_USER\Software\winxarj (Hoax.ArchSMS) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\StimulProfit (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SRVSYSDRIVER32 (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysdriver32.exe (Trojan.Agent) -> Value: sysdriver32.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysdriver32_.exe (Trojan.Agent) -> Value: sysdriver32_.exe -> No action taken.

Зараженные файлы:
c:\documents and settings\Admin\application data\thinstall\adobe photoshop cs3\1000000b00002i\rundll32.exe (Trojan.Agent) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP1\A0000261.exe (Trojan.Downloader) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP1\A0000262.exe (Trojan.Downloader) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP2\A0000333.exe (Trojan.Downloader) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP2\A0000334.exe (Trojan.Dropper) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP2\A0000335.exe (Spyware.Password) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP2\A0000336.exe (Trojan.Dropper) -> No action taken.
c:\system volume information\_restore{196c8d03-12d2-4c38-9055-83c9afc809b6}\RP2\A0000338.exe (Spyware.Password) -> No action taken.
c:\WINDOWS\Temp\126343.exe (Spyware.Password) -> No action taken.
c:\WINDOWS\Temp\2220154.exe (Trojan.Downloader) -> No action taken.
d:\RECYCLER\s-1-5-21-1123561945-630328440-1801674531-500\Dd56.exe (Trojan.FakeSMS) -> No action taken.
d:\RECYCLER\s-1-5-21-1123561945-630328440-1801674531-500\Dd80\quarantine\2011-06-13\avz00003.dta (Trojan.Dropper) -> No action taken.
d:\RECYCLER\s-1-5-21-1123561945-630328440-1801674531-500\Dd80\quarantine\2011-06-13\avz00004.dta (Trojan.Downloader) -> No action taken.
d:\RECYCLER\s-1-5-21-1123561945-630328440-1801674531-500\Dd80\quarantine\2011-06-13\avz00005.dta (Trojan.Downloader) -> No action taken.
d:\RECYCLER\s-1-5-21-1123561945-630328440-1801674531-500\Dd80\quarantine\2011-06-13\avz00006.dta (Trojan.Dropper) -> No action taken.
c:\documents and settings\Admin\local settings\Temp\utt191.tmp.exe (Trojan.Pakes) -> No action taken.

Сделайте повторный лог MBAM.

**Lena Subbotinova** · 16.06.2011, 15:23

Повторный лог MBAM

**Lena Subbotinova** · 17.06.2011, 14:00

Так что же мне дальше делать?

**Bratez** · 17.06.2011, 15:07

Плохого не видно.
Что с проблемой?

**Lena Subbotinova** · 17.06.2011, 15:13

Тоже самое. Все программы работают но виндой я управлять не могу.

**polword** · 17.06.2011, 20:07

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\Program Files\mediabar Toolbar\RubarUpdateService.exe','');
 DeleteService('Rubar Update Service');
 DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
 DelBHO('{23DD83B5-BDDC-49CE-B77B-514819C6D551}');
 QuarantineFile('C:\Program Files\mediabar Toolbar\rubar.dll','');
 DeleteFile('C:\Program Files\mediabar Toolbar\rubar.dll');
 DeleteFile('C:\Program Files\mediabar Toolbar\RubarUpdateService.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 ExecuteRepair(6);
 ExecuteRepair(8);
 RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторный лог virusinfo_syscheck.zip;

**Lena Subbotinova** · 17.06.2011, 21:07

Карантин выслала

**polword** · 20.06.2011, 10:25

ОтключитеСистемное восстановление!!! как- посмотреть можно тут
- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\WINDOWS\TEMP\8747560.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','9185283.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','8747560.exe');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

**Lena Subbotinova** · 20.06.2011, 15:48

Карантин выслала

**polword** · 20.06.2011, 15:56

1.Профиксите в HijackThis

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxl.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxl.net
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)

2.Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\5995218.exe','');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','5995218.exe');
 DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\5995218.exe');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

**Lena Subbotinova** · 20.06.2011, 16:16

Карантин выслала

**polword** · 20.06.2011, 18:34

Обновите систему
- Поставте все последние обновления системы Windows - тут
- Обновите Java .
- поставте Adobe Reader 10 или удалите старый.

**Lena Subbotinova** · 21.06.2011, 12:57

Все сделала

**thyrex** · 21.06.2011, 20:19

Что с проблемой?

**Lena Subbotinova** · 21.06.2011, 20:24

Все тоже самое. Наверное винду буду переустанавливать.

**thyrex** · 21.06.2011, 20:35

Сделайте лог ComboFix

Вирус через flash player (заявка № 103724)

Опции темы

Вирус через flash player

Антивирусная помощь

Антивирусная помощь

Антивирусная помощь

Похожие темы

Adobe Flash Player

Вирус VK flash-player

"Flash Player" вирус.

Flash Player

Под видом установщика flash player на компьютер проник вирус

Ваши права в разделе