Вирус блокирует вход в соц. сети [Trojan-Ransom.Win32.Blocker.bdca ]

[Влад Коровников]

Здравствуйте, у меня вирус давненько засел, блокирует вход в скайп, соц. сети... Сказано, что нужно отправить смс.

[Info_bot]

Уважаемый(ая) Влад Коровников, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Никита Соловьев]

Выполните скрипт в AVZ:

BEGIN
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\documents and settings\11\application data\qwvzrgxqlvytgckb.exe');
 QuarantineFile('c:\windows\sms.exe','');
 QuarantineFile('c:\windows\mdm.exe','');
 QuarantineFile('C:\Documents and Settings\11\Application Data\SexyDoll\aiko.exe','');
 QuarantineFile('C:\Documents and Settings\11\Application Data\Qwvzrgxqlvytgckb.exe','');
 QuarantineFile('C:\Documents and Settings\11\Application Data\Pelselcnyyfbiowp.exe','');
 QuarantineFile('C:\Documents and Settings\11\Application Data\Jgiczxwskhiprcui.exe','');
 DeleteFile('C:\Documents and Settings\11\Application Data\Jgiczxwskhiprcui.exe','32');
 DeleteFile('C:\Documents and Settings\11\Application Data\Pelselcnyyfbiowp.exe','32');
 DeleteFile('C:\Documents and Settings\11\Application Data\Qwvzrgxqlvytgckb.exe','32');
 DeleteFile('C:\Documents and Settings\11\Application Data\SexyDoll\aiko.exe','32');
 DeleteFile('c:\windows\mdm.exe','32');
 DeleteFile('c:\windows\sms.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Pelselcnyyfbiowp.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Qwvzrgxqlvytgckb.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Qwvzrgxqlvytgckb.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','aiko');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Firevall Engine');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Firevall Engine');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Firevall Engine');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Messages Controler');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Messages Controler');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Windows Messages Controler');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Jgiczxwskhiprcui.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
END.

Компьютер будет перезагружен.

Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine.zip.

Исправьте при помощи Hijackthis:

O1 - Hosts: 37.10.117.107 my.mail.ru m.vk.com wap.odnoklassniki.ru
O1 - Hosts: 37.10.117.107 m.odnoklassniki.ru vk.com www.odnoklassniki.ru odnoklassniki.ru

Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

[Влад Коровников]

Спасибо большое))) Все отлично работает, после работы в hijack. Вот логи. Карантин пришел?

[Никита Соловьев]

Пришёл.

Выполните скрипт в AVZ:

BEGIN
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\DOCUME~1\11\APPLIC~1\Searchya\UPDATE~1\UPDATE~1.EXE','');
 DeleteFile('C:\DOCUME~1\11\APPLIC~1\Searchya\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\DOCUME~1\11\LOCALS~1\Temp\892000','32');
 DeleteFile('C:\WINDOWS\Tasks\At2.job','32');
 DeleteFile('C:\WINDOWS\Tasks\At3.job','32');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteRepair(13);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
 RebootWindows(true);
END.

Компьютер будет перезагружен.

Используйте ссылку "Прислать запрошенный карантин", которая находится над первым сообщением этой темы, чтобы прислать quarantine2.zip.


Повторите действия, указанные в правилах и подготовьте новые отчеты AVZ и hijackthis.

[Влад Коровников]

Кстати, я пытался уже удалить процесс (c:\windows\sms.exe) и mdm, но он не хочет удаляться (пытался через авз) вот логи:

[Никита Соловьев]

Установите последние обновления для Windows. Проблема решена?

[Влад Коровников]

Все отлично, спасибо большое)) Отблагодарил бы, да нету меня в этих кошельках)

[Никита Соловьев]

Если у Вас есть желание поддержать проект, Вы можете написать администратору, я уверен, выход найдётся.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\11\\application data\\pelselcnyyfbiowp.exe - Trojan-Ransom.Win32.Blocker.bdca ( DrWEB: Win32.HLLW.Digs.2, BitDefender: Trojan.GenericKDV.971708, AVAST4: Win32:Kryptik-LNQ [Trj] )
  2. c:\\documents and settings\\11\\application data\\qwvzrgxqlvytgckb.exe - Trojan-Ransom.Win32.Blocker.bdca ( DrWEB: Win32.HLLW.Digs.2, BitDefender: Trojan.GenericKDV.971708, AVAST4: Win32:Kryptik-LNQ [Trj] )