Trojan.Winlock.2695

[jemson]

Собственно проблема примерно такого вида:

Только заголовок чуть иной.
После полдня мучений удалось закрыть блокирующий процесс, который находится в папке system32/unlock(2).exe. Отключил загрузку запустился.
Проверил нодом, нашло три подозрительных файла, но не unlock(2).exe, перед этим подкинул винт и проверил касперским, опять же три других файла, а unlock(2).exe нет.
Поставил AVZ, ничего не найдено.

Прикладываю файлы.

Спасибо!

[polword]

-Профиксите в HijackThis

R3 - URLSearchHook: (no name) -  - (no file)
O1 - Hosts: 193.23.126.25 www.megafon.ru
O1 - Hosts: 193.23.126.25 m.vkontakte.ru
O1 - Hosts: 193.23.126.25 www.altavista.com
O1 - Hosts: 193.23.126.25 cmcbilling.ru
O1 - Hosts: 193.23.126.25 www.mail.ru
O1 - Hosts: 193.23.126.25 otvet.mail.ru
O1 - Hosts: 193.23.126.25 0.vkontakte.ru
O1 - Hosts: 193.23.126.25 www.0.vkontakte.ru
O1 - Hosts: 193.23.126.25 0.vk.com
O1 - Hosts: 193.23.126.25 www.0.vk.com
O1 - Hosts: 193.23.126.25 www.spbgu.ru
O1 - Hosts: 193.23.126.25 m.vk.com
O1 - Hosts: 193.23.126.25 i.vkontakte.ru
O1 - Hosts: 193.23.126.25 odnoklassniki.ua
O1 - Hosts: 193.23.126.25 www.odnoklassniki.ua
O1 - Hosts: 193.23.126.25 www.odnoklassniki.ru
O1 - Hosts: 193.23.126.25 www.paystream.ru
O1 - Hosts: 193.23.126.25 arbitrage.webmoney.ru
O1 - Hosts: 193.23.126.25 vk.com
O1 - Hosts: 193.23.126.25 www.vk.com
O1 - Hosts: 193.23.126.25 yahoo.com
O1 - Hosts: 193.23.126.25 odkl.ua
O1 - Hosts: 193.23.126.25 ya.com
O1 - Hosts: 193.23.126.25 www.goldfon.ru
O1 - Hosts: 193.23.126.25 www.pda.vkontakte.ru
O1 - Hosts: 193.23.126.25 www.gmail.com
O1 - Hosts: 193.23.126.25 aport.ru
O1 - Hosts: 193.23.126.25 www.poisk.ru
O1 - Hosts: 193.23.126.25 odnoklassniki.ua
O1 - Hosts: 193.23.126.25 www.odkl.ua
O1 - Hosts: 193.23.126.25 searchengines.ru
O1 - Hosts: 193.23.126.25 gmail.com
O1 - Hosts: 193.23.126.25 Life-Vkontakte.com
O1 - Hosts: 193.23.126.25 yandex.ua
O1 - Hosts: 193.23.126.25 www.durov.vkontakte.ru
O1 - Hosts: 193.23.126.25 megafon.ru
O1 - Hosts: 193.23.126.25 www.ya.com
O1 - Hosts: 193.23.126.25 poisk.ru
O1 - Hosts: 193.23.126.25 altavista.com
O1 - Hosts: 193.23.126.25 payhelp.ru
O1 - Hosts: 193.23.126.25 pda.vkontakte.ru
O1 - Hosts: 193.23.126.25 otvety.google.ru
O1 - Hosts: 193.23.126.25 www.otvety.google.ru
O1 - Hosts: 193.23.126.25 www.cmcbilling.ru
O1 - Hosts: 193.23.126.25 paystream.ru
O1 - Hosts: 193.23.126.25 vkontakte.ru
O1 - Hosts: 193.23.126.25 www.yahoo.com
O1 - Hosts: 193.23.126.25 odnoklassniki.ru
O1 - Hosts: 193.23.126.25 www.arbitrage.webmoney.ru
O1 - Hosts: 193.23.126.25 a1agregator.ru
O1 - Hosts: 193.23.126.25 www.a1agregator.ru
O1 - Hosts: 193.23.126.25 www.rambler.ru
O1 - Hosts: 193.23.126.25 durov.ru
O1 - Hosts: 193.23.126.25 www.icq.com
O1 - Hosts: 193.23.126.25 qip.ru
O1 - Hosts: 193.23.126.25 www.qip.ru
O1 - Hosts: 193.23.126.25 www.m.vk.com
O1 - Hosts: 193.23.126.25 goldfon.ru
O1 - Hosts: 193.23.126.25 www.payhelp.ru
O1 - Hosts: 193.23.126.25 inbox.ru
O1 - Hosts: 193.23.126.25 www.inbox.ru
O1 - Hosts: 193.23.126.25 megafon.ru
O1 - Hosts: 193.23.126.25 www.megafon.ru
O1 - Hosts: 193.23.126.25 www.searchengines.ru
O1 - Hosts: 193.23.126.25 webmoney.ru
O1 - Hosts: 193.23.126.25 spbgu.ru
O1 - Hosts: 193.23.126.25 www.m.vkontakte.ru
O1 - Hosts: 193.23.126.25 www.i.vk.com
O1 - Hosts: 193.23.126.25 i.vk.com
O1 - Hosts: 193.23.126.25 m.odnoklassniki.ru
O1 - Hosts: 193.23.126.25 www.m.odnoklassniki.ru
O1 - Hosts: 193.23.126.25 www.Life-Vkontakte.com
O1 - Hosts: 193.23.126.25 mail.ru
O1 - Hosts: 193.23.126.25 www.aport.ru
O1 - Hosts: 193.23.126.25 gogo.ru
O1 - Hosts: 193.23.126.25 www.i.vkontakte.ru
O1 - Hosts: 193.23.126.25 www.vkontakte.ru
O1 - Hosts: 193.23.126.25 www.yandex.com
O1 - Hosts: 193.23.126.25 yandex.com
O1 - Hosts: 193.23.126.25 paystream.ru
O1 - Hosts: 193.23.126.25 www.gogo.ru
O1 - Hosts: 193.23.126.25 drweb.ru
O1 - Hosts: 193.23.126.25 www.drweb.ru
O1 - Hosts: 193.23.126.25 games.yandex.ru
O1 - Hosts: 193.23.126.25 www.games.yandex.ru
O1 - Hosts: 193.23.126.25 www.paystream.ru
O1 - Hosts: 193.23.126.25 odkl.ru
O1 - Hosts: 193.23.126.25 www.odkl.ru
O1 - Hosts: 193.23.126.25 m.odkl.ru
O1 - Hosts: 193.23.126.25 www.m.odkl.ru
O1 - Hosts: 193.23.126.25 www.otvet.mail.ru
O1 - Hosts: 193.23.126.25 ya.ru
O1 - Hosts: 193.23.126.25 www.ya.ru
O1 - Hosts: 193.23.126.25 www.mail.ru
O1 - Hosts: 193.23.126.25 otvet.mail.ru
O1 - Hosts: 193.23.126.25 a1help.ru
O1 - Hosts: 193.23.126.25 www.a1help.ru
O1 - Hosts: 193.23.126.25 mts.ru
O1 - Hosts: 193.23.126.25 www.mts.ru
O1 - Hosts: 193.23.126.25 icq.com
O1 - Hosts: 193.23.126.25 rambler.ru

- Сделайте повторный лог hijackthis.log

[jemson]

Проверил утилитой от Касперского, нашла еще пару файлов и наконец этот unlock(2).exe. Не знаю радоватся или не стоит еще. Ведь не перезагружался еще.

-Профиксите в HijackThis

Профиксил, но только первую строчку остальных нет, подозреваю что утилита всё таки удалила их.
Перезагрузку еще не делал? Может стоило перезагрузить и потом уже сделать лог?

Файл прикладываю.

Спасибо!

[polword]

перезагрузитесь.
отпишитесь о проблеме, если таковая будет наблюдаться

[jemson]

Проблема ушла, файлов в каталогах нет, но смущает то что в автозагрузке он висит:


Спасибо!

[regist]

jemson, пришлите файл unlock(2).exe согласно приложению 3 правил раздела,
если он у вас сохранился.

но смущает то что в автозагрузке он висит:

можете удалить его оттуда через меню программы CCleaner.
Кстати, какой там у него ключ реестра? (на скрине не видно полностью).

Выполните в AVZ скрипт ScanVuln.txt. Пройдитесь по ссылкам из файла avz_log.txt из под-папки log. и установите обновления.
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[jemson]

пришлите файл unlock(2).exe согласно приложению 3 правил раздела,
если он у вас сохранился.

Посмотрю, если остался, сделаю.

можете удалить его оттуда через меню программы CCleaner.

Удалил через YourUninstaller, теперь ничего лишнего.

Кстати, какой там у него ключ реестра? (на скрине не видно полностью).

На картинке полностью путь, дальше там только три точки.

Спасибо!

[regist]

На картинке полностью путь, дальше там только три точки.

необходимо было раздвинуть столбик (зажать кнопкой мыши праваю границу столбика и перятянуть в бок).

Удалил через YourUninstaller, теперь ничего лишнего.

тогда уже поздно смотреть.
ЗЫ. если файлик unlock(2).exe найдётся, напишите путь по которому он располагается.

[jemson]

ЗЫ. если файлик unlock(2).exe найдётся, напишите путь по которому он располагается.

Я и так помню c:\WINDOWS\system32\unlock(2).exe
Помогла утилита Kaspersky Virus Removal Tool.
Заблокировать процесс дабы запустить утилиту удалось через Win+E, но перед этим нужжно ввести какой либо код и подождать пока появится окно о том что код неверен. Как то так, может кому либо пригодится, ибо остальные комбинации, с залипанием например не помогали.

Всем спасибо и не ловите вирусов.