Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64

[Конст@нтин]

Добрый день! Как и у многих, обращавшихся к Вам, у меня на рабочем столе появилось сообщение "Warning! Spyware detected on your computer Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64". Перестал работать Internet Explorer, Касперский обнаруживает кучу троянов, удаляет, но все повторяется вновь, пришлось воспользоваться запасным жестким системным диском. Какое еще ПО работает некорректно - не знаю, экспериментировать не стал.
Около месяца назад эта проблема уже возникала, удалось решить только полным форматированием системного диска и переустановкой системы.
Надеюсь на Вашу помощь.

[Конст@нтин]

Извините, почему-то в первом сообщении логи не присоединились.

[drongo]

Что же вы не научились на своих ошибках? Надо было принять меры после формата

Ну попробуем :
1.Пофиксить с hijackthis

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\oembios.exe,
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

2.

srv.exe - поискать с avz и скопировать. http://virusinfo.info/showthread.php?t=4567

3.Выполните скрипт @ avz

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\oembios.exe','');
 QuarantineFile('C:\WINDOWS\system32\blphcalwj0e39c.scr','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winae04.sys','');
 QuarantineFile('srv.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
 DeleteFile('C:\WINDOWS\system32\blphcalwj0e39c.scr');
 DeleteFile('C:\WINDOWS\system32\oembios.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winae04.sys');
 DeleteFile('WinCtrl32.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('wuauservupnphost');
BC_DeleteSvc('MessengerUMWdf');
BC_DeleteSvc('lanmanworkstationSpooler');
BC_DeleteSvc('Winae04');
BC_Activate;
executerepair(6);
executerepair(8);
executerepair(9);
RebootWindows(true);
end.

- Закачайте карантин по ссылке http://virusinfo.info/upload_virus.php?tid=30528
- Прикрепите логи к новому сообщению.

[Конст@нтин]

Указанные коды пофиксил, srv.exe с использованием AVZ не обнаружен. После выполнения скрита машина "повисла" надолго, вышла только с помощь "reset". Внешне изменений нет. Карантин закачал по указанной Вами ссылке. присоединяю лог hijackthis.log. Логи из AVZ не присоединяются (машина ссылается, что ранее они уже были направлены в моих сообщениях). Может, им поменять имя?

[Гриша]

Залейте логи сюда http://zalil.ru/ и ссылки дайте нам...

[Конст@нтин]

Добрый день. Согласен с тем, что невозможного не так уж и много, вопрос в компетентности, у каждого - свой уровень и направление. Логи направил Вам.

[Rene-gad]

Логи направил Вам.

А куда - нам?

[Конст@нтин]

http://zalil.ru/

[Rene-gad]

Вот что я вижу, когда иду по Вашей ссылке

[Конст@нтин]

Не могу загрузить новые логи:

virusinfo_syscheck.zip:
Вы уже вложили этот файл в теме : Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64
virusinfo_syscure.zip:
Вы уже вложили этот файл в теме : Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64
hijackthis.log:
Вы уже вложили этот файл в теме : Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64

[Rene-gad]

Не могу загрузить новые логи:

Это мы уже поняли . 3 лога запакуйте в один архив. Загрузите его на http://zalil.ru/. По окончании загрузки Вы получите подтверждение и ссылку, которую запостите тут.

[Конст@нтин]

Присоединяю новые логи. Прошу извинить - сам понял, что и как делал неправильно.

[Гриша]

В логах чисто,жалобы есть?

[Конст@нтин]

Машина загружается почти нормально, только перед приветствием на полсекунды появляется прежняя заставка "Warning! Spyware detected on your computer Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64".

[Rene-gad]

- Выполните скрипт

begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
RebootWindows(true);
end.

После перезагрузки проинформируйте о состоянии ПК.

[Конст@нтин]

Отлично работает! Как говорится, "с меня сто граммов и пончик"!!! А если серьезно, помощь должна быть взаимной. Web-mohey я не использую, есть только немного наличных рублей, которыми был бы рад с вами поделиться.

[Rene-gad]

А если серьезно, помощь должна быть взаимной.

Спасибо Возможные варианты помощи нам указаны в ссылке в моей подписи.

[Конст@нтин]

Все понятно, "принято к исполнению" и основным, и альтернативным вариантами. Еще раз - огромное спасибо за оказанную помощь!

С благодарностью,
Константин, "юзер среди чайников и чайник среди юзеров".

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\blphcalwj0e39c.scr - Trojan.Win32.FraudPack.ijv (DrWEB: Trojan.Fakealert.1321)
  2. c:\\windows\\system32\\oembios.exe - Trojan-Spy.Win32.Zbot.eyw (DrWEB: Trojan.PWS.Panda.11)