Здравствуйте. Проблема аналогичная http://virusinfo.info/showthread.php?t=30318 На моём рабочем столе появилось сообщение "Warning! Spyware detected on your computer
Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64" и еще одна проблема аналогичная этой http://virusinfo.info/showthread.php?t=30514 тоже начали пропадать вкладки "Рабочий стол" и "Заставка" в Свойствах меню "Экран". Также заметно увеличился расход трафика.Заранее спасибо за оказанную помощь.
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Закройте все программы.
Запустите AVZ.
Выполните скрипт через меню Файл:
Компьютер перезагрузится.Код:begin SetAVZGuardStatus(True); DelBHO('{040BA7F9-CDC9-4F2A-BAFD-5B13501B2DAD}'); DelBHO('{46B216B6-B41A-4636-9C79-519F91956B22}'); DelBHO('{987c654d-6b6b-4451-a084-6a605b2ad082}'); QuarantineFile('C:\WINDOWS\wnslvxtf.dll',''); QuarantineFile('C:\WINDOWS\system32\lphc5s4j0e749.exe',''); QuarantineFile('C:\Program Files\rhc1s4j0e749\rhc1s4j0e749.exe',''); QuarantineFile('C:\Program Files\Gay-Lesbian-Photo\Gay-Lesbian-Photo.exe',''); BC_DeleteSVC('Winnt62'); BC_DeleteSVC('Winqx86'); BC_DeleteSVC('Winub40'); BC_DeleteSVC('Winuc64'); BC_DeleteSVC('Winvd41'); BC_DeleteSVC('Winvd42'); BC_DeleteSVC('Winci40'); BC_DeleteSVC('Wincj18'); BC_DeleteSVC('Windk07'); BC_DeleteSVC('Windk28'); BC_DeleteSVC('Winel20'); BC_DeleteSVC('Winfm85'); BC_DeleteSVC('Wingl51'); BC_DeleteSVC('Winhm52'); BC_DeleteSVC('Winio16'); BC_DeleteSVC('Winkr75'); BC_DeleteSVC('Winls07'); QuarantineFile('C:\WINDOWS\system32\DRIVERS\96EW.sys',''); BC_DeleteSVC('SysmonLogATKKeyboardService'); BC_DeleteSVC('SwPrvLmHosts'); BC_DeleteSVC('ShellHWDetectionseclogon'); BC_DeleteSVC('RSVPwuauserv'); BC_DeleteSVC('RemoteRegistryALG'); BC_DeleteSVC('NtmsSvcwscsvc'); BC_DeleteSVC('AudioSrvCOMSysApp'); BC_DeleteSVC('DcomLaunchaspnet_state'); QuarantineFile('C:\WINDOWS\system32\xheygy.dll',''); QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll',''); QuarantineFile('C:\WINDOWS\system32\sqioawys.dll',''); QuarantineFile('C:\WINDOWS\system32\qoMfgDSK.dll',''); QuarantineFile('C:\WINDOWS\system32\mlJAQHaB.dll',''); QuarantineFile('C:\WINDOWS\system32\jmxfreeb.dll',''); QuarantineFile('C:\WINDOWS\System32\ecwzlw.dll',''); DeleteFile('C:\WINDOWS\System32\ecwzlw.dll'); DeleteFile('C:\WINDOWS\system32\jmxfreeb.dll'); DeleteFile('C:\WINDOWS\system32\mlJAQHaB.dll'); DeleteFile('C:\WINDOWS\system32\qoMfgDSK.dll'); DeleteFile('C:\WINDOWS\system32\sqioawys.dll'); DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll'); DeleteFile('C:\WINDOWS\system32\xheygy.dll'); DeleteFile('C:\Program Files\Gay-Lesbian-Photo\Gay-Lesbian-Photo.exe'); DeleteFile('C:\Program Files\rhc1s4j0e749\rhc1s4j0e749.exe'); DeleteFile('C:\WINDOWS\system32\blphc5s4j0e749.scr'); DeleteFile('C:\WINDOWS\system32\lphc5s4j0e749.exe'); DeleteFile('C:\WINDOWS\wnslvxtf.dll'); DeleteFile('WinCtrl32.dll'); DeleteFile('qoMfgDSK.dll'); BC_ImportDeletedList; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
Пришлите файлы из карантина AVZ (см. приложение 2 Правил) используя эту ссылку:
http://virusinfo.info/upload_virus.php?tid=30531
Обновите базы AVZ.
Сделайте новые логи Диагностики и приложите их к этой теме.
Выполнил скрипт,перезагрузился,а какие именно файлы прислать, у меня их 13.
Все и присылайте...
Файлы из карантина отосланы, обновленные логи прикрепил.
Эти файлы Вам известны? Если нет - добавьте эти строчки в середину скрипта.
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.Код:QuarantineFile('C:\Documents and Settings\CELERON\Мои документы\Treiners for games\pwziso.exe',''); QuarantineFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\workshelf.exe',''); QuarantineFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\nextstart.exe',''); DeleteFile('C:\Documents and Settings\CELERON\Мои документы\Treiners for games\pwziso.exe'); DeleteFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\nextstart.exe'); DeleteFile('C:\Documents and Settings\CELERON\Мои документы\Моя музыка\dddd\xtreme\workshelf.exe');
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\Program Files\WildTangent\Apps\CDA\CDALogger0402.dll',''); QuarantineFile('C:\WINDOWS\wt\webdriver\4.1.1\webdriver.dll',''); QuarantineFile('C:\WINDOWS\system32\mlJAQHaB.dll',''); QuarantineFile('C:\WINDOWS\system32\qoMfgDSK.dll',''); QuarantineFile('xheygy.dll',''); QuarantineFile('WinCtrl32.dll',''); QuarantineFile('C:\WINDOWS\system32\lphc5s4j0e749.exe',''); QuarantineFile('C:\WINDOWS\system32\blphc5s4j0e749.scr',''); QuarantineFile('C:\Program Files\Antivirus 2008 PRO\antivirus-2008pro.exe',''); QuarantineFile('C:\WINDOWS\system32\Drivers\Winxd38.sys',''); QuarantineFile('c:\windows\system32\drivers\968.exe',''); QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd38.sys',''); QuarantineFile('C:\WINDOWS\system32\DRIVERS\96EW.sys',''); DeleteService('Winxd38'); DeleteService('96EW'); DeleteService('NtmsSvcNetDDEdsdm'); DeleteService('mnmsrvcAudioSrvCOMSysApp'); DelBHO('{dfbeb35b-444d-4f25-8d7d-eb2683c206ec}'); DelBHO('{E0E899AB-F487-11D5-8D29-0050BA6940E3}'); DelBHO('{5F56C871-E867-4036-AD2F-52787ED30A94}'); DelBHO('{040BA7F9-CDC9-4F2A-BAFD-5B13501B2DAD}'); DeleteFile('c:\windows\system32\drivers\968.exe'); DeleteFile('C:\WINDOWS\system32\Drivers\Winxd38.sys'); DeleteFile('C:\WINDOWS\system32\DRIVERS\96EW.sys'); DeleteFile('C:\WINDOWS\System32\Drivers\Winxd38.sys'); DeleteFile('C:\Program Files\Antivirus 2008 PRO\antivirus-2008pro.exe'); DeleteFile('C:\WINDOWS\system32\blphc5s4j0e749.scr'); DeleteFile('C:\WINDOWS\system32\lphc5s4j0e749.exe'); DeleteFile('WinCtrl32.dll'); DeleteFile('xheygy.dll'); DeleteFile('C:\WINDOWS\system32\qoMfgDSK.dll'); DeleteFile('C:\WINDOWS\system32\mlJAQHaB.dll'); DeleteFile('C:\WINDOWS\wt\webdriver\4.1.1\webdriver.dll'); DeleteFile('C:\Program Files\WildTangent\Apps\CDA\CDALogger0402.dll'); BC_ImportAll; ExecuteSysClean; BC_DeleteSvc('Winxd38'); BC_DeleteSvc('96EW'); BC_DeleteSvc('NtmsSvcNetDDEdsdm'); BC_DeleteSvc('mnmsrvcAudioSrvCOMSysApp'); BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
- Включите Антвирус и ФайрволлКод:virusinfo_syscure.zip virusinfo_syscheck.zip hijackthis.log
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
Файл из карантина отослал,повторные логи прикнепил.
Скачайте IceSword , поищите и скопируйте файлы:
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).Код:C:\WINDOWS\System32\Drivers\Winxd38.sys C:\WINDOWS\system32\WinCtrl32.dll C:\WINDOWS\system32\WinCtrl32.bak C:\WINDOWS\system32\WinCtrl32.dl_
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('WinCtrl32.dll',''); QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd38.sys',''); QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll',''); QuarantineFile('c:\windows\system32\drivers\187.exe',''); DeleteService('Winxd38'); DeleteService('Nla UpdateClientService'); DeleteService('ERSvcInCDsrv'); DeleteService('DcomLaunchrpcapd'); DeleteFile('c:\windows\system32\drivers\187.exe'); DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll'); DeleteFile('C:\WINDOWS\System32\Drivers\Winxd38.sys'); DeleteFile('WinCtrl32.dll'); BC_ImportAll; ExecuteSysClean; BC_DeleteSvc('Winxd38'); BC_DeleteSvc('Nla UpdateClientService'); BC_DeleteSvc('ERSvcInCDsrv'); BC_DeleteSvc('DcomLaunchrpcapd'); SetAVZPMStatus(True); BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи
- Включите Антвирус и ФайрволлКод:virusinfo_syscure.zip virusinfo_syscheck.zip hijackthis.log
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
Файл из карантина отослал,повторные логи прикрепил.
Пофиксить
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".Код:O20 - Winlogon Notify: qoMfgDSK - C:\WINDOWS\ O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
Пришлите карантин по правилам и повторите логи...Код:begin ClearQuarantine; SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\Documents and Settings\All Users\Application Data\SecuriSoft SARL\WinSpywareProtect\wspwprtct.exe',''); DeleteService('RpcLocatorSamSs'); DeleteService('RemoteAccessaspnet_state'); DeleteService('ERSvcInCDsrv'); DeleteService('DcomLaunchrpcapd'); DeleteFile('C:\Program Files\Dr.Web\Winxd38.sys'); BC_ImportALL; ExecuteSysClean; BC_DeleteSvc('RpcLocatorSamSs'); BC_DeleteSvc('RemoteAccessaspnet_state'); BC_DeleteSvc('ERSvcInCDsrv'); BC_DeleteSvc('DcomLaunchrpcapd'); BC_Activate; ExecuteRepair(5 ); ExecuteRepair(6 ); RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper',''); RebootWindows(true); end.
Пофиксил,файлы из карантина отослал,повторные логи прикрепил.После того как пофиксил в папке HiJackThis появилась папка backups её тоже отослать?.Появились изменения,исчезла заставка на рабочем столе в виде "Warning!.Появились вкладки в Свойствах меню экрана.
-Пофиксите
Какие еще поблемы?Код:O20 - Winlogon Notify: qoMfgDSK - C:\WINDOWS\ O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
Пытался пофиксить "O20 - Winlogon Notify: qoMfgDSK - C:\WINDOWS\"
"O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\" но их не оказалось в списке.Проблем больше нет,всё работает.
Нет так нет
AndreyKa, Гриша, Rene-gad. ОГРОМНОЕ Вам Спасибо.За Ваше терпение,за то что выслушали меня и за вашу помощь.Еще раз СПАСИБО.
Статистика проведенного лечения:
- Получено карантинов: 5
- Обработано файлов: 127
- В ходе лечения обнаружены вредоносные программы:
- c:\\documents and settings\\celeron\\мои документы\\моя музыка\\dddd\\xtreme\\nextstart.exe - Backdoor.Win32.Agent.sjj (DrWEB: BackDoor.Wsx.1)
- c:\\documents and settings\\celeron\\мои документы\\моя музыка\\dddd\\xtreme\\workshelf.exe - Backdoor.Win32.Agent.sjk (DrWEB: BackDoor.Wsx.2)
- c:\\windows\\system32\\blphc5s4j0e749.scr - Trojan.Win32.FraudPack.ijv (DrWEB: Trojan.Fakealert.1321)
- c:\\windows\\system32\\ecwzlw.dll - not-a-virus:AdWare.Win32.SuperJuan.eer (DrWEB: Trojan.DnsChange.98
- c:\\windows\\system32\\jmxfreeb.dll - not-a-virus:AdWare.Win32.SuperJuan.ees (DrWEB: Trojan.DnsChange.98
- c:\\windows\\system32\\lphc5s4j0e749.exe - Backdoor.Win32.Frauder.fb (DrWEB: Trojan.Packed.63
- c:\\windows\\system32\\mljaqhab.dll - not-a-virus:AdWare.Win32.Virtumonde.alep (DrWEB: Trojan.Virtumod.1413)
- c:\\windows\\system32\\qomfgdsk.dll - Trojan.Win32.Monderb.oii (DrWEB: Trojan.Virtumod.based.1
- c:\\windows\\system32\\sqioawys.dll - Trojan.Win32.Monder.psx (DrWEB: Trojan.Virtumod.46
- c:\\windows\\system32\\winctrl32.dll - Trojan-Downloader.Win32.Mutant.blt (DrWEB: BackDoor.Bulknet.225)
- c:\\windows\\system32\\xheygy.dll - not-a-virus:AdWare.Win32.SuperJuan.ees (DrWEB: Trojan.DnsChange.98
Уважаемый(ая) Ins1de, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
