Показано с 1 по 20 из 20.

вирус с поп-апами, "security tool" псевдо-анти-вирусный накольщик (заявка № 56529)

  1. #1
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38

    Question вирус с поп-апами, "security tool" псевдо-анти-вирусный накольщик

    здравствуйте,

    на короткое время я подключился к unsecured сети и словил (100%) несколько вирусов, один из которых хорошо известен по описаниям в сети - программа с любым именем типа 2384827889.exe и похожими, пытается навязать покупку антивирусного ПО путем открытия попапов.

    кроме этого - не удается запустить систему в безопасном режиме - на очень короткое время появляется какое-то голубое сообщение (прочитать не успеваю) и система сбрасывается в рестарт (это может быть связано с вирусом или у меня уже дополнительные проблемы?)

    cureit не запускается (выдает сообщение, что есть проблема с zw8I3xp).

    логи есть. помогите плиз - я далеко от дома, комп без дисков системы и не могу переустановить таблетковую версию.
    Последний раз редактировалось schlez; 11.07.2010 в 19:00.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    ClearQuarantine;
     QuarantineFile('C:\WINDOWS\System32\goziduti.dll','');
     QuarantineFile('c:\windows\system32\bohonusa.dll','');
     QuarantineFile('C:\WINDOWS\system32\bafagogi.dll','');
     DeleteFile('C:\WINDOWS\system32\bafagogi.dll');
     DeleteFile('c:\windows\system32\bohonusa.dll');
     DeleteFile('C:\WINDOWS\System32\goziduti.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=56529).
    Сделайте новые логи (только п.2 и 3 раздела Диагностика).
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    после выполнения скриптов система перезагрузилась и сразу появилось вирусное окно с предложением сканирования системы.

    удаленные файлы появились снова, и удалить из system32 их было невозможно - я переименовал dasofupu.dll и после рестарта было окно с сообщением, что система его не нашла, а сам файл наконец-то удалось удалить.

    потом вручную убрал HKLM ->run вызов этого файла (он был первым в автостарте), сделал рестарт и система поднялась safe (до удаления вируса это было невозможно).

    сделал новое сканирование, прилагаю логи.

    осталось что-нибудь подозрительное?
    Последний раз редактировалось schlez; 11.07.2010 в 19:00.

  5. #4
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Активной заразы больше не видно.

    Выполните такой скрипт:
    Код:
    begin
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler','{09cd9b5f-84aa-45f7-9afc-dfaa19bbdf61}');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','fekezahor');
     SysCleanAddFile('goziduti.dll');
     SysCleanAddFile('bafagogi.dll');
     SysCleanAddFile('c:\windows\system32\dasofupu.dll');
    ExecuteSysClean;
    RebootWindows(true);
    end.
    После перезагрузки повторите п.2 Диагностики.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    просканировал еще раз (п2) - сбор информации, прилагаю лог

  7. #6
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Теперь чисто.
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    Bratez - большое спасибо за помощь!

  9. #8
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38

    все вернилось.

    к сожалению, все вернулось = появилась программа "все заражено- плати бабло за антивирус". непрерывно появляются ключи в реестре run в памяти сидит процесс, который обновляет содержимое system32 постоянно. 1. какой бесплатный фаервол скачать и поставить? полагаю, что лечить бесполезно, так как вирус наверное проникает чз инет - ведь вчера удалось от него избавиться. 2. какие еще меры предпринять? спасибо за ответ. каждый день трачу по три часа на запуск компа. сил нет. прилагаю один лог - пока идет трехчасовая проверка и чистка п.2

  10. #9
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    настоящий дурдом начался. безопасного режима нет. вот то, что удалось получить в обычном (вирус висит в памяти - создает файлы и меняет инонки)

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    ClearQuarantine;
     QuarantineFile('C:\WINDOWS\system32\roleseye.dll','');
     QuarantineFile('c:\windows\system32\tofihoke.dll','');
     QuarantineFile('jivavadu.dll','');
     DeleteFile('jivavadu.dll');
     DeleteFile('c:\windows\system32\jivavadu.dll');
     DeleteFile('c:\windows\system32\tofihoke.dll');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил.
    Повторите лог п.2 раздела Диагностика.
    I am not young enough to know everything...

  12. #11
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    вирус постоянно создавал dll c разными именами - их можно было удалить только переименовав и перезагрузившись. запускал менеджер процессов в AVZ - там практически каждый процесс использовал dll вируса... пока не заработал безопасный режим ничего не мог сделать, но когда все-такие переименование-удаление прошло успешно - удалось прогнать еще раз сканирование. логи прилагаю.

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Сделайте п.2 Диагностики в нормальном режиме.
    I am not young enough to know everything...

  14. #13
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    честно говоря, иконки опять стали меняться (сами картинки)
    прилагаю логи...
    Вложения Вложения

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Ничего плохого не видно.
    I am not young enough to know everything...

  16. #15
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    dorogie druzya, k sojalenyu moy komp perestal zagrujat'sya woobshe - eto slu4ilos posle ustanowlenia w.updates - sistema mojet tol'ko postoyanno rebootitsq s sinim ekranom w konce kotorogo est "STOP:0x000000007e...."
    ya nahojus w US i u menya net diskow recovery i k tomu je na kompe massa cennogo data.
    esli ktoto mojet pomoch sozdat USB-zagruz4ik ili posowetowat 4to delat' - kak wosstanowit XP ili dannye, lubaya pomosh/
    pc: tablet pc, fujitsu lifebook p1610.
    Please, pomogite kak-nibud. Ya nahojus w Chapel Hill - tut nikogo ne znau i specov po kompam tut yawno net.

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Попробуйте загрузиться в безопасном режиме. Если получится - проверьте свободное место на диске C:, такой BSOD бывает, когда диск забит под завязку.
    I am not young enough to know everything...

  18. #17
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    k sojaleniyu pc rebootitsya w lubom rejime. otwez comp mestnomu programmeru - on sdelal backup failow (by start boot from cd) i posle etogo pereustanowil nekotorye systemnye faily i proskanirowal systemu na predmet hardware errors. nesmotrya na to, 4to on proderjal komp 2 dnya ni4ego, krome backup'a iz etogo ne wyshlo. wot takaya komandirowka (

    para woprosow:
    1. esli posle wozrvrashenia ya smogu pereustanowit tablet XP - kak sozdat GHOST IMAGE dlya wosstanowlenya sistemy posle podobnyh sboew.
    2. kakoy firewall postawit (ranshe polzowalsya kerio) i antivirus
    3. kak "zapomnit'" soderjimoe sistemnyh papok i 4tony proga proveryala ih na predmet izmenenia.

    spasibo za posilnuyu pomosh.

    (na diske swobodno 30 giga)
    Последний раз редактировалось schlez; 16.10.2009 в 18:10. Причина: dobawlenie

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от schlez Посмотреть сообщение
    1. esli posle wozrvrashenia ya smogu pereustanowit tablet XP - kak sozdat GHOST IMAGE dlya wosstanowlenya sistemy posle podobnyh sboew.
    Образы систем сам не делаю и никому не советую. Причина: если поймали заразу и не обнаружили её, то она попадает в образ и делает его непригодным. За что боролись?
    Делайте периодически бекап важных данных на внешнем носителе - в идеале USB-Harddisk.
    2. kakoy firewall postawit (ranshe polzowalsya kerio) i antivirus
    Какой Вашу систему меньше грузить будет Если Вы часто работаете с чужими Wi-Fi - подумайте о какой-нибудь сюите: Каспер или Нортон, например. Но: обязательно используйте пробную версию в течение всего пробного периода.
    3. kak "zapomnit'" soderjimoe sistemnyh papok i 4tony proga proveryala ih na predmet izmenenia.
    См. ответ на 1-й вопрос.

  20. #19
    Junior Member Репутация
    Регистрация
    24.09.2007
    Сообщений
    137
    Вес репутации
    38
    временно поставили не таблеточную версию оси - с горем пополам можно работать.

    вопрос, который уже неоднократно хотел задать, и после того, как вернусь он снова будет актуальным -

    я пользуюсь AVIRA free antivirus. если есть подозрение на вирус и нужно проверить систему "вирусинфо" пишет, что нужно выгрузить антивирус.

    вопрос - 1. как выгрузить AVIRA? единственная опция - "отключить" по правому клину, но все равно прога-то находится в памяти и даже при рестарте грузится первой - 2. влияет ли это (что неактивная прога в озу) на результат сканирования?

    когда буду ставить таблетковую ось, планирую поставить антивирус - вероятно, снова AVIRA - но она довольно сильно тормозит систему: 3. есть ли более легкие варианты бесплатных антивирусов с подобной надежностью?

  21. #20
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 5
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\bafagogi.dll - Trojan.Win32.Stuh.adve
      2. c:\windows\system32\bohonusa.dll - Trojan.Win32.Plapon.xh
      3. c:\windows\system32\goziduti.dll - Trojan.Win32.Stuh.adve


  • Уважаемый(ая) schlez, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. псевдо антивирус Security tool и safety center
      От xCERBERx в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 07.11.2009, 13:25
    2. Как "снести" псевдо-девайс?
      От alex_2007 в разделе Помогите!
      Ответов: 16
      Последнее сообщение: 11.10.2007, 11:32

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00854 seconds with 17 queries