Windows Security Alert

**MoloT** · 23.10.2007, 14:34

Добрый день,
проблема такова:
Каждые 5 минут выскакивает окно:
"Windows Security Alert
Warning! Potential Spyware Operation!
Your computer is making unauthorized copies of your system and
Internet files. Run full scan now to pervent any unathorised acces
to your files! Click YES to download spyware remover ..."
и варианты ответов Да и Нет.
Не удается зайти: в панель управления, в свойства рабочего стола...
Не удается выполнить 8 пункт правил, после запуска этой процедуры
компьютер начинает перезагрузку.
Отправляю некоторые логи.
Жду Вашего ответа, Спасибо.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Зайцев Олег** · 23.10.2007, 14:57

Для начала выполните скрипт:

Код:

begin
 QuarantineFile('C:\WINDOWS\system32\t3.dll','');
 QuarantineFile('C:\WINDOWS\system32\vtr.dll','');
 QuarantineFile('sulimo.dat','');
 QuarantineFile('C:\WINDOWS\system32\WinAvXX.exe','');
 QuarantineFile('C:\WINDOWS\system32\KB_963491.exe','');
 QuarantineFile('C:\Documents and Settings\MoloT\Главное меню\Программы\Автозагрузка\system.exe','');
 QuarantineFile('C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\Автозагрузка\autorun.exe','');
 QuarantineFile('c:\windows\system32\printer.exe','');
 BC_DeleteFile('c:\windows\system32\printer.exe');
 DeleteFile('c:\windows\system32\printer.exe');
 DeleteFile('C:\Documents and Settings\All Users.WINDOWS\Главное меню\Программы\Автозагрузка\autorun.exe');
 DeleteFile('C:\Documents and Settings\MoloT\Главное меню\Программы\Автозагрузка\system.exe');
 DeleteFile('C:\WINDOWS\system32\WinAvXX.exe');
 BC_ImportDeletedList;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

И пришлите содержимое карантина по правилам

**MoloT** · 23.10.2007, 15:15

Выполнил скрипт
но все равно не получается создать лог virusinfo_syscure.zip
компьютер внезапно перезагружается в процессе выполнения процедуры.
Высылаю логи.
Жду ответа, Спасибо.

**Bratez** · 23.10.2007, 16:18

1. Скачайте программу WinSockXPFix:
http://www.tacktech.com/pub/winsockfix/WinsockFix.zip

2. Пофиксите в hijackThis:

Код:

O20 - AppInit_DLLs: sulimo.dat

3. Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\Common Files\AVSystemCare\bm.exe','');
 QuarantineFile('C:\WINDOWS\system32\vtr.dll','');
 QuarantineFile('sulimo.dat','');
 QuarantineFile('C:\WINDOWS\system32\KB_963491.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\Qolf46.sys','');
 QuarantineFile('C:\WINDOWS\system32\t3.dll','');
 DeleteFile('C:\WINDOWS\system32\t3.dll');
 DeleteFile('C:\WINDOWS\system32\drivers\Qolf46.sys');
 DeleteFile('C:\WINDOWS\system32\KB_963491.exe');
 DeleteFile('sulimo.dat');
 DeleteFile('C:\WINDOWS\system32\vtr.dll');
DelSPIByFileName('t3.dll',true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

4. После скрипта может нарушится работа сетевых подключений. Для восстановления выполните в AVZ Файл - Восстановление системы - п.14 - Выполнить, перезагрузиться.
Если не поможет - используйте скачанную программу, предварительно записав сетевые настройки (она их сбрасывает).
Также могут быть сильные тормоза при запуске системы, ничего страшного, от этого тоже вылечит WinSockFix.

Добавлено через 54 секунды

5. Пришлите все содержимое карантина согласно приложению 3 правил.

6. Сделайте новые логи.

**MoloT** · 24.10.2007, 09:56

Окно "Windows Security Alert" больше не выскакивает.
До сих пор не могу войти в свойства рабочего стола,
панель управления: "Операция отменена в следствие действующих
для компьютера ограничений. Обратитесь к администратору сети".
Все сделал, но при выполнении скрипта комп перезагрузился, не выведя окно скрипт выполнен.
Подозреваю файл WinAvXX.exe.
Такая же штука случилась и в п. 8 правил, т.е.
не могу создать лог virusinfo_syscure.zip.
Высылаю логи.
Жду ответа, Спасибо.

**MoloT** · 24.10.2007, 10:09

При выполнении п. 8 правил комп начинает перезагрузку после
надписи в протоколе "Найдено процедур: 39".

**AndreyKa** · 24.10.2007, 11:05

Карантин посылать пробовали?
Ничего к нам не приходило.

**PavelA** · 24.10.2007, 11:22

В защищ. режиме, отключив а/вирус.
Профиксить:

Код:

O4 - HKLM\..\Run: [Winmplayer] "C:\WINDOWS\system32\KB_963491.exe"
O4 - HKLM\..\Run: [Salestart] "C:\Program Files\Common Files\AVSystemCare\bm.exe" dm=http://avsystemcare.com; ad=http://avsystemcare.com
O4 - HKLM\..\Run: [rtasks] C:\Program Files\AVSystemCare\rtasks.exe

в AVZ файл -- восст. системы -- п.6,8,11,17 отметить и выполнить.

Выполнить скрипт Bratez из №4

**MoloT** · 24.10.2007, 11:24

Не могу отключить востановление системы.
У меня нет прав: "Операция отменена в следствие действующих
для компьютера ограничений. Обратитесь к администратору сети".
Далее приступаю к выполнению пункта 8 правил.
Меня выкидывает из системы. Идет перезагрузка. После того как
Windows загрузился выскакивает окно Система востановлена после серьезной ошибки. Затем выполняю следующие два пункта.
Высылаю логи.
Жду ответа.

**MoloT** · 24.10.2007, 11:55

Спасибо, доступ к свойствам открыл через AVZ п.6,8,11,17.
Отключил восстановление системы.
Но при выполнении скрипта Bratez комп перезагружается.
Так же перезагружется и при выполнении п. 8 правил.
Высылаю логи.
Спасибо, жду ответа.

**PavelA** · 24.10.2007, 12:03

Карантин надо загрузить через http://virusinfo.info/upload_virus.php?tid=13455

Попробуй выполнить п.8 в защищ режиме.
Сделай лог http://virusinfo.info/showthread.php?t=10387 там же.

**MoloT** · 24.10.2007, 13:08

Я отправил карантин.
Как войти в защищ режим.

**PavelA** · 24.10.2007, 13:14

Сообщение от MoloT

Я отправил карантин.
Как войти в защищ режим.

защищ режим - Safe Mode.
При загрузке давить F8.

после скриптов он и должен перезагружаться.

в карантин попало очень мало файлов. нужны файлы из сообщения №8.
Искать через AVZ и добавлять в карантин.

**MoloT** · 24.10.2007, 13:15

Спасибо, сейчас попробую.

**PavelA** · 24.10.2007, 13:22

C:\WINDOWS\system32\t3.dll - Trojan.Proxy.2355(Др.Веб), Касперский не знает.
C:\WINDOWS\system32\vtr.dll - Trojan Horse(Симантек)

Запомнить настройки сети. Скачать, если еще не скачали winsockxpfix.
Выполнить скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\system32\t3.dll');
 BC_DeleteFile('C:\WINDOWS\system32\t3.dll');
 DeleteFile('C:\WINDOWS\system32\vtr.dll');
 BC_DeleteFile('C:\WINDOWS\system32\vtr.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки запустить winsockxpfix. Затем снова настроить сеть.

**MoloT** · 24.10.2007, 13:57

Спасибо я выполнил п. 8 защищ режиме.
Высылаю логи.
У меня NOD32.
Жду ответа.

**PavelA** · 24.10.2007, 14:03

Выполни скрипт из №15. Прочти внимательно указания перед ним.

Про вирус я написал о том, кто его знает на virustotal.com

**MoloT** · 24.10.2007, 14:31

Спасибо. Скрипт сделал.
Высылаю логи.

**MoloT** · 24.10.2007, 14:59

Не получается прикрепить 1-й лог.
Попробую создать его заново.
На virustotal.com мне надо отправить virus.zip?

**PavelA** · 24.10.2007, 15:06

Профиксить:
O2 - BHO: IEHlprObj Class - {ABCDECF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\vtr.dll (file missing)

Добавлено через 3 минуты

Не надо ничего отправлять на вирустотал. Можно при желании послать на newvirus

kaspersky.com