[Trojan-Ransom] winlocker подчистка хвостов.

[Semmy]

Доброго времени суток!

Угораздило меня каким-то образом поймать вымогателя.

Сам вымогатель был выявлен довольно быстро располагался он по пути C:\PROGRAM FILES\MOZILLA FIREFOX\, а назывался NULL0.893773517739841.exe после его удаления сам баннер появляться перестал, но, например, при переходе в браузере на сайт virusinfo, как и на многие другие - браузер просто вылетал. AVZ запускался, но вылетал через долю секунды после запуска. Прогнал AVPTool, и CureIt тоже. Что-то вроде удалил, но ничего не изменилось.

Шаг 1 Проследовал инструкциям отсюда
AVZ стал запускаться и даже сканировать, но вылетает при выполнении шага 1 инструкции. Такое ощущение, что натыкается на какой-то битый файл или что-то такое. В целом, хоть какой-то лог мне получить удалось, когда загрузился с флешки с образа WinPE_uVS.iso и просканировал оттуда с помощью AVZ, но без обновления базы. поэтому прикрепляю, что получилось..

Шаг 2 сканируется успешно, поэтому virusinfo_syscheck.zip прикрепляю.

Шаг 3 тоже успешно, прикрепляю лог HijackThis

Заранее спасибо, с уважением, Semmy.

[polword]

-Профиксите в HijackThis

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Windows\apppatch\usuovkt.dat,

- Сделайте логи в нормальном режиме по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)

[Semmy]

-Профиксите в HijackThis

F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\Windows\apppatch\usuovkt.dat,

- Сделайте логи в нормальном режиме по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)

В HijackThis выделил ткнул как в инструкции fix, перезагрузился avz опять в самом конце сканирования завис. Запустил опять hijackthis и увидел, что можно опять пофиксить то, что уже пофиксил... пофиксил еще раз.. опять перезагрузился, опять обновил базы авз, отключился от интернета, в конце сканирования avz опять повис. Виснет постоянно.


Обнаружил, что AVZ виснет при сканировании директории с установленным SPSS а именно папки lang/zh_tw. Эту директорию пока вырезал и перенес на отдельный диск... виснет еще где-то... сношу spss...

Ура! После сноса SPSS AVZ перестал виснуть и наконец-то стало возможным проделать шаг 1 из диагностики. Прикрепил всё заново. Перезагружаю, фиксю F2, после перезагрузки его опять видно в скане и опять можно фиксить....

[Semmy]

P.S. может быть не удаётся пофиксить, потому что нет этого файла (C:\Windows\apppatch\usuovkt.dat)?

[Semmy]

Провёл сканирование с помощью mbam. Прилагаю лог.. В основном там всякие кейгены и кряки...

[polword]

Отключите Системное восстановление!!! как- посмотреть можно тут
- Выполните скрипт в AVZ

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('C:\Windows\apppatch\usuovkt.dat','');
 DeleteFile('C:\Windows\apppatch\usuovkt.dat');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Semmy]

Хм.. системное восстановление было отключено, но, раз такое дело, я включил его и заново выключил, после чего произвёл выше описанные действия. HiJack больше не показывает этот "F2". Прилагаю логи и карантин.

Всё чисто теперь?

[Bratez]

Плохого больше не видно.

[Semmy]

Плохого больше не видно.

Большое спасибо за Ваш труд!

Один вопросик остался.. Стоит ли попытаться куда-то написать или отослать содержимое той самой злосчастной директории с установленным SPSS из-за которого слетал AVZ? Кстати при сканировании отдельно этой папки AVZ издавал кучу звуков на подобии системной ошибки, но таки просканировал её.

[Bratez]

Стоит ли попытаться куда-то написать или отослать содержимое той самой злосчастной директории с установленным SPSS из-за которого слетал AVZ?

Не думаю. Скорее всего, там просто были ошибки файловой системы.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены