вирус с поп-апами, "security tool" псевдо-анти-вирусный накольщик

[schlez]

здравствуйте,

на короткое время я подключился к unsecured сети и словил (100%) несколько вирусов, один из которых хорошо известен по описаниям в сети - программа с любым именем типа 2384827889.exe и похожими, пытается навязать покупку антивирусного ПО путем открытия попапов.

кроме этого - не удается запустить систему в безопасном режиме - на очень короткое время появляется какое-то голубое сообщение (прочитать не успеваю) и система сбрасывается в рестарт (это может быть связано с вирусом или у меня уже дополнительные проблемы?)

cureit не запускается (выдает сообщение, что есть проблема с zw8I3xp).

логи есть. помогите плиз - я далеко от дома, комп без дисков системы и не могу переустановить таблетковую версию.

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\System32\goziduti.dll','');
 QuarantineFile('c:\windows\system32\bohonusa.dll','');
 QuarantineFile('C:\WINDOWS\system32\bafagogi.dll','');
 DeleteFile('C:\WINDOWS\system32\bafagogi.dll');
 DeleteFile('c:\windows\system32\bohonusa.dll');
 DeleteFile('C:\WINDOWS\System32\goziduti.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=56529).
Сделайте новые логи (только п.2 и 3 раздела Диагностика).

[schlez]

после выполнения скриптов система перезагрузилась и сразу появилось вирусное окно с предложением сканирования системы.

удаленные файлы появились снова, и удалить из system32 их было невозможно - я переименовал dasofupu.dll и после рестарта было окно с сообщением, что система его не нашла, а сам файл наконец-то удалось удалить.

потом вручную убрал HKLM ->run вызов этого файла (он был первым в автостарте), сделал рестарт и система поднялась safe (до удаления вируса это было невозможно).

сделал новое сканирование, прилагаю логи.

осталось что-нибудь подозрительное?

[Bratez]

Активной заразы больше не видно.

Выполните такой скрипт:

begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler','{09cd9b5f-84aa-45f7-9afc-dfaa19bbdf61}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','fekezahor');
 SysCleanAddFile('goziduti.dll');
 SysCleanAddFile('bafagogi.dll');
 SysCleanAddFile('c:\windows\system32\dasofupu.dll');
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки повторите п.2 Диагностики.

[schlez]

просканировал еще раз (п2) - сбор информации, прилагаю лог

[Bratez]

Теперь чисто.

[schlez]

Bratez - большое спасибо за помощь!

[schlez]

к сожалению, все вернулось = появилась программа "все заражено- плати бабло за антивирус". непрерывно появляются ключи в реестре run в памяти сидит процесс, который обновляет содержимое system32 постоянно. 1. какой бесплатный фаервол скачать и поставить? полагаю, что лечить бесполезно, так как вирус наверное проникает чз инет - ведь вчера удалось от него избавиться. 2. какие еще меры предпринять? спасибо за ответ. каждый день трачу по три часа на запуск компа. сил нет. прилагаю один лог - пока идет трехчасовая проверка и чистка п.2

[schlez]

настоящий дурдом начался. безопасного режима нет. вот то, что удалось получить в обычном (вирус висит в памяти - создает файлы и меняет инонки)

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\WINDOWS\system32\roleseye.dll','');
 QuarantineFile('c:\windows\system32\tofihoke.dll','');
 QuarantineFile('jivavadu.dll','');
 DeleteFile('jivavadu.dll');
 DeleteFile('c:\windows\system32\jivavadu.dll');
 DeleteFile('c:\windows\system32\tofihoke.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Повторите лог п.2 раздела Диагностика.

[schlez]

вирус постоянно создавал dll c разными именами - их можно было удалить только переименовав и перезагрузившись. запускал менеджер процессов в AVZ - там практически каждый процесс использовал dll вируса... пока не заработал безопасный режим ничего не мог сделать, но когда все-такие переименование-удаление прошло успешно - удалось прогнать еще раз сканирование. логи прилагаю.

[Bratez]

Сделайте п.2 Диагностики в нормальном режиме.

[schlez]

честно говоря, иконки опять стали меняться (сами картинки)
прилагаю логи...

[Bratez]

Ничего плохого не видно.

[schlez]

dorogie druzya, k sojalenyu moy komp perestal zagrujat'sya woobshe - eto slu4ilos posle ustanowlenia w.updates - sistema mojet tol'ko postoyanno rebootitsq s sinim ekranom w konce kotorogo est "STOP:0x000000007e...."
ya nahojus w US i u menya net diskow recovery i k tomu je na kompe massa cennogo data.
esli ktoto mojet pomoch sozdat USB-zagruz4ik ili posowetowat 4to delat' - kak wosstanowit XP ili dannye, lubaya pomosh/
pc: tablet pc, fujitsu lifebook p1610.
Please, pomogite kak-nibud. Ya nahojus w Chapel Hill - tut nikogo ne znau i specov po kompam tut yawno net.

[Bratez]

Попробуйте загрузиться в безопасном режиме. Если получится - проверьте свободное место на диске C:, такой BSOD бывает, когда диск забит под завязку.

[schlez]

k sojaleniyu pc rebootitsya w lubom rejime. otwez comp mestnomu programmeru - on sdelal backup failow (by start boot from cd) i posle etogo pereustanowil nekotorye systemnye faily i proskanirowal systemu na predmet hardware errors. nesmotrya na to, 4to on proderjal komp 2 dnya ni4ego, krome backup'a iz etogo ne wyshlo. wot takaya komandirowka (

para woprosow:
1. esli posle wozrvrashenia ya smogu pereustanowit tablet XP - kak sozdat GHOST IMAGE dlya wosstanowlenya sistemy posle podobnyh sboew.
2. kakoy firewall postawit (ranshe polzowalsya kerio) i antivirus
3. kak "zapomnit'" soderjimoe sistemnyh papok i 4tony proga proveryala ih na predmet izmenenia.

spasibo za posilnuyu pomosh.

(na diske swobodno 30 giga)

[Rene-gad]

1. esli posle wozrvrashenia ya smogu pereustanowit tablet XP - kak sozdat GHOST IMAGE dlya wosstanowlenya sistemy posle podobnyh sboew.

Образы систем сам не делаю и никому не советую. Причина: если поймали заразу и не обнаружили её, то она попадает в образ и делает его непригодным. За что боролись?
Делайте периодически бекап важных данных на внешнем носителе - в идеале USB-Harddisk.

2. kakoy firewall postawit (ranshe polzowalsya kerio) i antivirus

Какой Вашу систему меньше грузить будет Если Вы часто работаете с чужими Wi-Fi - подумайте о какой-нибудь сюите: Каспер или Нортон, например. Но: обязательно используйте пробную версию в течение всего пробного периода.

3. kak "zapomnit'" soderjimoe sistemnyh papok i 4tony proga proveryala ih na predmet izmenenia.

См. ответ на 1-й вопрос.

[schlez]

временно поставили не таблеточную версию оси - с горем пополам можно работать.

вопрос, который уже неоднократно хотел задать, и после того, как вернусь он снова будет актуальным -

я пользуюсь AVIRA free antivirus. если есть подозрение на вирус и нужно проверить систему "вирусинфо" пишет, что нужно выгрузить антивирус.

вопрос - 1. как выгрузить AVIRA? единственная опция - "отключить" по правому клину, но все равно прога-то находится в памяти и даже при рестарте грузится первой - 2. влияет ли это (что неактивная прога в озу) на результат сканирования?

когда буду ставить таблетковую ось, планирую поставить антивирус - вероятно, снова AVIRA - но она довольно сильно тормозит систему: 3. есть ли более легкие варианты бесплатных антивирусов с подобной надежностью?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\bafagogi.dll - Trojan.Win32.Stuh.adve
  2. c:\windows\system32\bohonusa.dll - Trojan.Win32.Plapon.xh
  3. c:\windows\system32\goziduti.dll - Trojan.Win32.Stuh.adve