Вирус в компьютере! [Trojan.Win32.Cidox.aeyc ]

**flasher573** · 16.03.2013, 09:56

В любом браузере, где есть страница с авторизацией, выдает:

"На вашу страницу в течение 24 часов было сделано более 10 неудачных попыток авторизации (вы или кто-то другой ввели неверный пароль 12 раз). Аккаунт временно заблокирован для предотвращения взлома. Чтобы подтвердить, что Вы действительно являетесь владельцем страницы, пожалуйста, укажите номер вашего мобильного телефона, к которому привязана страница. Если ранее страница не была привязана к номеру Вашего мобильного телефона, то она будет привязана к номеру, который вы введете ниже.

Номер телефона: (пример: 79991122333)
Далее
Входящее SMS с кодом абсолютно бесплатна и необходимо исключительно для подтверждения принадлежности вам введенного номера мобильного телефона.Отвечать на SMS не нужно. Вводя код вы подтверждаете подписку на медиа-контент (музыку, видео, приложения и файлы)."

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 16.03.2013, 09:59

Уважаемый(ая) flasher573, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Nikkollo** · 16.03.2013, 12:15

Выполните скрипт в AVZ (как выполнить):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\DOCUME~1\Admin\APPLIC~1\DSite\UPDATE~1\UPDATE~1.EXE','');
 DeleteFile('C:\WINDOWS\system32\zpznkxg.dll');
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:

Код:

 begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 end.

Загрузите quarantine.zip из папки AVZ по красной ссылке в шапке этой темы "Прислать запрошенный карантин".

Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" правил) и приложите в теме.

Сделайте заново логи RSIT (как сделать)и приложите.

**flasher573** · 16.03.2013, 12:46

Спасибо большое!!

Все заработало.

**Nikkollo** · 16.03.2013, 16:36

Мусор в реестре остался.
Сделайте лог HijackThis (пункт 3 раздела "Диагностика" правил) и приложите в теме.

**flasher573** · 16.03.2013, 18:12

вот логи

**Nikkollo** · 16.03.2013, 21:47

Пофиксите в HijackThis только указанные строки (как пофиксить):

Код:

O2 - BHO: StartNow Toolbar Helper - {6E13D095-45C3-4271-9475-F3B48227DD9F} - (no file)
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: (no name) - {5911488E-9D1E-40ec-8CBB-06B231CC153F} - (no file)
O20 - AppInit_DLLs: C:\WINDOWS\system32\zpznkxg.dll

Сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" правил) и приложите в теме.

Выполните скрипт в AVZ отсюда (скопируйте там весь текст):
http://dataforce.ru/~kad/ScanVuln.txt
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.

**flasher573** · 16.03.2013, 23:34

вот исправил 7 уязвимостей.

**Nikkollo** · 16.03.2013, 23:48

Угу, мусор почистился. Но появилась вебальта...
Пофиксите в HijackThis только указанные строки (как пофиксить):

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)

По ярлыку браузера, которым его запускаете, правой кнопкой мыши - Свойства - закладка Ярлык - поле Объект.
Там проветьте, чтобы кроме пути к исполняемому файлу браузера в кавычках не было ничего лишнего.
Если есть, отредактируйте и нажмите ОК.
Повторите это со всеми вашими браузерами, во всех местах, где есть их ярлыки (рабочий стол, панель быстрого запуска и т.п.)

Сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" правил) и приложите в теме.

**flasher573** · 16.03.2013, 23:55

вот и webalta исчезла

в ярлыках все почистил!

**regist** · 17.03.2013, 00:19

Для контроля, сделайте ещё

- Сделайте лог полного сканирования МВАМ.

**flasher573** · 17.03.2013, 02:30

логи

**Techno** · 17.03.2013, 10:37

C:\Program Files\Get-Styles 2.0 - это Ваше?

Удалите в MBAM:

Код:

HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (PUP.BundleInstaller.ML) -> Действие не было предпринято.
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.

C:\Documents and Settings\Admin\Local Settings\Application Data\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.

C:\Documents and Settings\Admin\Local Settings\Temp\2fae5bf1b8207283fdae.exe (Trojan.Agent.GNI) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\skachat_formatfactory302012[multi][rus]torrent_bez_registracii_id3255008id.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\Avast 7-94.51 Mb.exe (PUP.BundleInstaller.ML) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Мои документы\Downloads\vksaver_id950463id.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.


C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039981.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039982.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039983.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039985.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039986.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039987.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039988.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039989.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039990.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039991.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039992.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039993.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039994.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039995.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039996.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039997.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039998.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039999.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040000.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040001.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040003.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040004.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040005.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040006.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040007.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040008.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040009.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040010.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040011.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0039984.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP86\A0040002.exe (Adware.Downloader.MR) -> Действие не было предпринято.
C:\System Volume Information\_restore{74F7EBBD-01BA-4217-889F-CC44864B815B}\RP93\A0041860.dll (Trojan.Agent.GNI) -> Действие не было предпринято.
D:\down\[ntorrentsru]_morskoj_boj___battleship_2012_hdrip_-_trejler.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
D:\down\setup.exe (PUP.BundleInstaller.ML) -> Действие не было предпринято.
D:\down\__encodeuricomponentq__.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Application Data\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Documents and Settings\Admin\Local Settings\Application Data\Webalta Toolbar\webalta_nw_final_chrome.crx (PUP.ToolBar.WA) -> Действие не было предпринято.

Очистите старые точки восстановления и создайте новую.

**flasher573** · 17.03.2013, 11:26

Все сделал.

Спасибо

**Techno** · 17.03.2013, 11:42

...

Сообщение от Techno

C:\Program Files\Get-Styles 2.0 - это Ваше?

**flasher573** · 17.03.2013, 11:47

да была установлена, и удалена, но файлы остались.

**Techno** · 17.03.2013, 12:25

Если она Вам не нужна то удалите в MBAM ещё:

Код:

HKCR\CLSID\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\TypeLib\{955B782E-CDC8-4CEE-B6F6-AD7D541A8D8A} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\Interface\{9F0C17EB-EF2C-4278-9136-2D547656BC03} (PUP.Blabbers) -> Действие не было предпринято.
HKCR\updatebho.TimerBHO.1 (PUP.Blabbers) -> Действие не было предпринято.
HKCR\updatebho.TimerBHO (PUP.Blabbers) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{963B125B-8B21-49A2-A3A8-E37092276531} (PUP.Blabbers) -> Действие не было предпринято.
C:\Program Files\Get-Styles 2.0\utils\updatebho.dll (PUP.Blabbers) -> Действие не было предпринято.

Что с проблемами?

**flasher573** · 17.03.2013, 15:43

Все! Проблем нет, вирусов тоже.

**regist** · 17.03.2013, 15:58

деинсталируйте MBAM.

Советы и рекомендации после лечения компьютера

**CyberHelper** · 17.03.2013, 16:08

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\\windows\\system32\\zpznkxg.dll - Trojan.Win32.Cidox.aeyc ( DrWEB: Trojan.Mayachok.18024, BitDefender: Gen:Variant.Kazy.117219, AVAST4: Win32:Dropper-gen [Drp] )

Вирус в компьютере! [Trojan.Win32.Cidox.aeyc ] (заявка № 135224)

Опции темы