Winlock

[choky]

Здравствуйте.. Я только 4то поймал вирус - баннер.. Удалить его полу4илось собственными силами. (он "сидел" тут -> C:\Documents and Settings\Admin\ файл - 0.18319078674185885.exe)

P.S. Этот файл в безопастном режиме кинул в корзину.. захожу 4ерез обы4ный режим - баннера нет.

[Acidorum]

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\program files\internet explorer\instal.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\yUN844y.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\f7zOH3q.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\NHLZoXU.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\ELFMsc4.exe','');
QuarantineFile('C:\WINDOWS\system32\xlfywo*.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\rakmdb*.exe','');
QuarantineFile('C:\WINDOWS\system32\nodtsjt.exe','');
QuarantineFile('C:\WINDOWS\system32\nnuims.exe','');
QuarantineFile('C:\WINDOWS\system32\nkvqhz*.exe','');
QuarantineFile('C:\WINDOWS\system32\lnrzygu.exe','');
QuarantineFile('C:\WINDOWS\system32\gtmoys*.exe','');
QuarantineFile('C:\WINDOWS\system32\gexaicf.exe','');
QuarantineFile('C:\WINDOWS\system32\dsbrem.exe','');
QuarantineFile('C:\WINDOWS\system32\czgchnq.exe','');
QuarantineFile('C:\WINDOWS\system32\9cbf7644.exe','');
QuarantineFile('C:\WINDOWS\system32\862154d.exe','');
QuarantineFile('C:\WINDOWS\system32\83bbf3e2.exe','');
QuarantineFile('C:\WINDOWS\system32\439cdf09.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\M4O76T0V\calc[1].exe','');
DeleteFile('c:\program files\internet explorer\instal.exe');
DeleteFile('C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\M4O76T0V\calc[1].exe');
DeleteFile('C:\WINDOWS\system32\439cdf09.exe');
DeleteFile('C:\WINDOWS\system32\83bbf3e2.exe');
DeleteFile('C:\WINDOWS\system32\862154d.exe');
DeleteFile('C:\WINDOWS\system32\9cbf7644.exe');
DeleteFile('C:\WINDOWS\system32\czgchnq.exe');
DeleteFile('C:\WINDOWS\system32\dsbrem.exe');
DeleteFile('C:\WINDOWS\system32\gexaicf.exe');
DeleteFileMask('C:\WINDOWS\system32', 'gtmoys*.exe', true);
DeleteFile('C:\WINDOWS\system32\jfekql.exe');
DeleteFile('C:\WINDOWS\system32\lnrzygu.exe');
DeleteFileMask('C:\WINDOWS\system32', 'nkvqhz*.exe', true);
DeleteFile('C:\WINDOWS\system32\nnuims.exe');
DeleteFile('C:\WINDOWS\system32\nodtsjt.exe');
DeleteFileMask('C:\WINDOWS\system32', 'rakmdb*.exe', true);
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFileMask('C:\WINDOWS\system32', 'xlfywo*.exe', true);
DeleteFile('\\?\globalroot\systemroot\system32\ELFMsc4.exe');
DeleteFile('\\?\globalroot\systemroot\system32\NHLZoXU.exe');
DeleteFile('\\?\globalroot\systemroot\system32\f7zOH3q.exe');
DeleteFile('\\?\globalroot\systemroot\system32\yUN844y.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','system');
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable('SystemRoot')+'\system32\userinit.exe,');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteRepair(20);
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Затем выполните ещё один скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "Прислать запрошенный карантин" наверху темы).
Сделайте повторные логи.
Смените все пароли.
Файл 0.18319078674185885.exe запакуйте в архив с паролем virus и пришлите так же, как и карантин.

[choky]

Логи...

Можете сказать, 4то этот файл тут делает? (см. скриншот)
Сам файл так же прилагаю..

[choky]

4ерез некоторое время после загрузки сисмемы отрубается инет и локалка(см 1112.jpg)..
Так же меняется тема винды(обы4ная моя тема - 1114.jpg - меняется на 1113.jpg)

[choky]

Вирус отрубил некоторые драйверы, 4то видно на скринах 1116.JPG и 1115.JPG..

При попытке воспроизведения музыки, например, в ulead videostudio вылетает ошибка (1119.JPG)
При попытке переустановки драйверов также вылетает ошибка (1120.JPG)

[Bratez]

Можете сказать, 4то этот файл тут делает? (см. скриншот)

Файл безопасный, но лежит не на своем месте. Можно удалить. Только убедитесь,что он есть в system32.

Добавлено через 1 минуту

4ерез некоторое время после загрузки сисмемы отрубается инет и локалка

Установите все доступные обновления безопасности на Windows.

Добавлено через 34 секунды

Проверьте наличие файла \Windows\system32\sfcfiles.dll.

[choky]

Файл userinit.exe удалил.
Обновления ска4иваются..
Файла \Windows\system32\sfcfiles.dll не было Скачал, кинул в папку.. теперь винда грузится намного быстрее...
Но ошибка при установке драйвера осталась

Добавлено через 28 минут

Установите все доступные обновления безопасности на Windows.

Обновления скачались.. но они не ставятся... пишет: "Отказано в доступе" (в безопастном режиме так же)

[thyrex]

Сделайте лог полного сканирования МВАМ

[choky]

Над проблемой возился целый день.. надоело.. снес винду и заново поставил..

Тему можно закрыть..

P.S. обновления безопасности поставил с помощью одной классной бесплатной программки (advanced system care 4), но они не помогли.. проблема оставалась

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 3
• Обработано файлов: 44
• В ходе лечения вредоносные программы в карантинах не обнаружены