Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64

[paralit]

Добрый вечер! Проблема такаая же как и у ecologia: "на рабочем столе появилось сообщение "Warning! Spyware detected on your computer Win32/Adware.Virtumonde & Win32/PrivacyRemover.M64". Dr. Web не обнаруживает.
Как победить эту гадость?

[Rene-gad]

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\lphcv1cj0er1q.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winra20.sys','');
 QuarantineFile('C:\WINDOWS\system32\blphcv1cj0er1q.scr','');
 DeleteService('WmdmPmSNRpcSs');
 DeleteService('Winra20');
 DeleteService('UPSNetDDE');
 DeleteService('NetlogonCLSched');
 DeleteFile('C:\WINDOWS\system32\twext.exe');
 DeleteFile('C:\WINDOWS\system32\lphcv1cj0er1q.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winra20.sys');
 DeleteFile('C:\WINDOWS\system32\blphcv1cj0er1q.scr');
BC_ImportAll;
ExecuteSysClean; 
 BC_DeleteSvc('WmdmPmSNRpcSs');
 BC_DeleteSvc('Winra20');
 BC_DeleteSvc('UPSNetDDE');
 BC_DeleteSvc('NetlogonCLSched');
executerepair(5);
executerepair(6);
executerepair(8);
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы.

[paralit]

Карантин выслал, логи обновил

[Rene-gad]

логи обновил

А мы их тоже когда-нибудь увидим?

[paralit]

мда, чет промашка маленькая вышла, вроде загружал...
смогу только завтра выслать.

вот обещанные файлы.

[Rene-gad]

Ничего плохого не увидел.
Какие проблемы остались?

[paralit]

Да вот чето обнаружилось на днях. Позвонили, попросили приехать посмотреть, проблема в чем заключается что не возможно что нить запустить, любой файл или приложение, а если и запускается то сразу закрывается, буквально в момент. Щас сижу гоняю его вебом но он молчит. Чуть погодя если ничего не найду, то логи сброшу, или лучше в новой теме?

Вот новые логи.

[Rene-gad]

Это тот же ПК?

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wsnpoem\video.dll','');
QuarantineFile('C:\WINDOWS\system32\wsnpoem\audio.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\Documents and Settings\User\Local Settings\Temp\tmp2.tmp','C:\Documents and Settings\User\Local Settings\Temp\tmp2.tmp');
DeleteFile('C:\WINDOWS\system32\wsnpoem\video.dll');
DeleteFile('C:\WINDOWS\system32\wsnpoem\audio.dll');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\Documents and Settings\User\Local Settings\Temp\tmp2.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

[paralit]

Все сделал.

[Гриша]

Пофиксить

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

В логах чисто, жалобы есть?

[paralit]

пофиксил, жалаб нету, спасибо!!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 21
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\blphcv1cj0er1q.scr - Trojan.Win32.FraudPack.ijv (DrWEB: Trojan.Fakealert.1321)
  2. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.fck (DrWEB: Trojan.PWS.Panda.20)