SMS-blocker

**Be Happy** · 07.10.2009, 09:32

Добрый день,
Обнаружила у себя смс-блокер, с помощью AVP TOOL вирус был удален.
Программа снова работала.
Сегодня утром система опять при включении выдала сообщение о том что Виндоус нелицензионный. Опять провела проверку с помощью AVP TOOL. Система заработала.
Но есть сомненья, что зараза все еще есть.
Очень прошу разобраться.
Спасибо

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Kuzz** · 07.10.2009, 09:50

Удалите файл virusinfo_cure.zip из своего сообщения - это карантин!

1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\Downloaded Program Files\ieatgpc.dll','');
 QuarantineFile('C:\Program Files\PokerStars\PokerStarsUpdate.exe','');
 QuarantineFile('LCODCCMP.DLL','');
 DeleteService('uwhzgber');
 QuarantineFile('C:\WINDOWS\System32\Drivers\uwhzgber.sys','');
 DeleteService('tskhwyey');
 QuarantineFile('C:\WINDOWS\System32\Drivers\tskhwyey.sys','');
 DeleteService('suushznl');
 QuarantineFile('C:\WINDOWS\System32\Drivers\suushznl.sys','');
 DeleteService('sqcdjdwn');
 QuarantineFile('C:\WINDOWS\System32\Drivers\sqcdjdwn.sys','');
 DeleteService('saecfzku');
 QuarantineFile('C:\WINDOWS\System32\Drivers\saecfzku.sys','');
 DeleteService('qunrbfne');
 QuarantineFile('C:\WINDOWS\System32\Drivers\qunrbfne.sys','');
 DeleteService('pdldnzcf');
 QuarantineFile('C:\WINDOWS\System32\Drivers\pdldnzcf.sys','');
 DeleteService('lpsskoeb');
 QuarantineFile('C:\WINDOWS\System32\Drivers\lpsskoeb.sys','');
 DeleteService('kdopndtd');
 QuarantineFile('C:\WINDOWS\System32\Drivers\kdopndtd.sys','');
 DeleteService('iunzocox');
 QuarantineFile('C:\WINDOWS\System32\Drivers\iunzocox.sys','');
 QuarantineFile('C:\DOCUME~1\indira\LOCALS~1\Temp\DMW147.tmp','');
 DeleteService('ccrfgeob');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ccrfgeob.sys','');
 DeleteService('byyzurot');
 QuarantineFile('C:\WINDOWS\System32\Drivers\byyzurot.sys','');
 DeleteService('aapbggop');
 QuarantineFile('C:\WINDOWS\System32\Drivers\aapbggop.sys','');
 DeleteFile('C:\WINDOWS\System32\Drivers\aapbggop.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\byyzurot.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\ccrfgeob.sys');
 DeleteFile('C:\DOCUME~1\indira\LOCALS~1\Temp\DMW147.tmp');
 DeleteFile('C:\WINDOWS\System32\Drivers\iunzocox.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\kdopndtd.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\lpsskoeb.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\pdldnzcf.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\qunrbfne.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\saecfzku.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\sqcdjdwn.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\suushznl.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\tskhwyey.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\uwhzgber.sys');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','QIP.Online');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','vidc.LEAD');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Прислать карантин согласно приложения 3 правил .
Загружать по красной ссылке вверху этой темы "Прислать запрошенный карантин"

2.Повторить логи

**Be Happy** · 07.10.2009, 10:50

Сделано.

**Kuzz** · 07.10.2009, 11:04

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Надо обновлять.
SP3 Уже давно доступен.
Internet Explorer 8 - актуальная версия.

Пофиксить в HijackThis следующие строчки ( http://virusinfo.info/showthread.php?t=4491 ).
Hекоторых записей может не оказаться - это нормально.

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O4 - HKUS\S-1-5-18\..\RunOnce: [] OSK.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [] OSK.exe (User 'Default user')

Так же будет неплохо провести такую процедуру