uFast

[tATIK]

Добрый день. Вам уже приходилось решать такую проблему.

На пол экрана полупрозрачное окно:

Доступ в интернет заблокирова в связи с нарушением лицензионного соглашения программы uFast Download Manager
Вам необходимо активировать вашу копию

чтобы получить регистрационный код отправите смс с кодом (код при этом не указан!!!) на номер 7122

Даже не знаю, с чего начать...
При переходе в безопасный режим работать вообще невозможно, окно растягигается на весь экран... Можно ли произвести все те действия, которые указаны в правилах в обычном режиме?
Помогите, пожалуйста.

[PavelA]

Логи надо по Правилам прислать, тогда проще помочь Вам будет.

[tATIK]

Вот логи.

[gjf]

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
- Антивирус и Файрвол.
- Пофиксите в HiJackThis:

F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe pqrs.tmo printer
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\Admin\APPLIC~1\UFASTD~1\PROPET~1.EXE
O4 - Startup: zavupd32.exe

- Выполните скрипт AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
 TerminateProcessByName('c:\documents and settings\admin\restor32a.exe');
 TerminateProcessByName('c:\windows\temp\wpv591255703227.exe');
 TerminateProcessByName('c:\docume~1\admin\applic~1\ufastd~1\propet~1.exe');
 TerminateProcessByName('c:\windows\system32\restor32a.exe');
 TerminateProcessByName('c:\documents and settings\admin\application data\seres.exe');
 TerminateProcessByName('c:\documents and settings\admin\application data\svcst.exe');
 QuarantineFile('C:\WINDOWS\system32\restor32a.exe','');
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\Temp\wpv591255703227.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Application Data\svcst.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\restor32a.exe','');
 QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\zavupd32.exe','');
 QuarantineFile('c:\windows\temp\wpv591255703227.exe','');
 QuarantineFile('c:\documents and settings\admin\application data\seres.exe','');
 QuarantineFile('c:\docume~1\admin\applic~1\ufastd~1\propet~1.exe','');
 DeleteFile('c:\docume~1\admin\applic~1\ufastd~1\propet~1.exe');
 DeleteFile('c:\windows\system32\restor32a.exe');
 DeleteFile('c:\documents and settings\admin\restor32a.exe');
 DeleteFile('c:\documents and settings\admin\application data\seres.exe');
 DeleteFile('c:\documents and settings\admin\application data\svcst.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','svchost');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mserv');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restor32a');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysgif32');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\zavupd32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','restor32a');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(16); {восстановление ключа запуска explorer}
 ExecuteRepair(17); {разблокировка редактора реестра}
 SetAVZPMStatus(true);
 BC_Activate;
 RebootWindows(true);
end.

Система перезагрузится.
После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Обновите базы AVZ!!!
- Сделайте повторные логи согласно Правил (Диагностика)
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно Правил (Приложение 3).
- Прикрепите новые логи к новому сообщению в этой ветке.

[tATIK]

Окно с сообщением исчезло, а выхода в интернет так и нет.

[PavelA]

Профиксить:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\Admin\APPLIC~1\UFASTD~1\PROPET~1.EXE

[tATIK]

Вот новые логи.

[gjf]

Выполните скрипт:

begin
 ExecuteRepair(11); {разблокировка диспетчера задач}
end.

Что с проблемой? Если всё ещё присутствует - сделайте лог с помощью GMER.
gmer.log

[tATIK]

Диспетчер задач разблокирован, а выхода в Интернет по-прежнему нет. Цитата: "Не удается получить параметры протокола TCP/IP".

[gjf]

Если всё ещё присутствует - сделайте лог с помощью GMER.
gmer.log

И где он?

[tATIK]

Вот он.

[gjf]

В логах ничего вредоносного не обнаружено. Попробуйте удалить и создать заново подключение к Интернет.

[tATIK]

А что делать, если его не удается удалить?

[gjf]

Что значит не удаётся? Что пишет, как удаляете - подробнее!

[thyrex]

Выполните скрипт в AVZ

begin
ExecuteRepair(14);
RebootWindows(true);
end.

Компьютер перезагрузится.

Что с доступом в Интернет?

[tATIK]

Все получилось.) Спасибо вам огромное за все.

[gjf]

Миссия выполнена
Вы можете отблагодарить хелперов, которые Вам помогли, нажав им на кнопку "Спасибо", а также и весь проект VirusInfo вот тут.
Рекомендуется изменить все используемые пароли, поскольку теоретически зловред мог их отправить злоумышленникам. Также, рекомендуется провести полную проверку системы антивирусом.
Установите все последние обновления системы Windows и используемых программ. И вообще, постарайтесь выполнить все советы, указанные здесь - это максимально отдалит время нашей следующей с Вами встречи

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 18
• В ходе лечения вредоносные программы в карантинах не обнаружены