Показано с 1 по 4 из 4.

Очередной Get Accelerator (заявка № 60857)

  1. #1
    Junior Member Репутация
    Регистрация
    21.11.2009
    Сообщений
    3
    Вес репутации
    53

    Thumbs up Очередной Get Accelerator

    Подцепила супруга сегодня утром с какого-то сайта (не ожидал от firefox'а, но факт). Симптомы классические - окно с требованием послать СМС и ввести код, неработающий инет (при этом доступ к дискам работает, машина пингуется).
    Сегодняшний CureIt мне эту радость пролечить не смог, не заметил. Попытка вылечиться руками, в соответствии с рекомендациями на данном и других форумах, помогла только частично - photo_id.exe удалил, остальных упомянутых файлов (dmgr134.*, aegkprn.*) не нашел. Кто виноват и что делать?
    Логи прилагаются.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,632
    Вес репутации
    1315
    Отключите восстановление системы! См. Приложение 1 Правил.
    Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
    Код:
    begin
    SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
    QuarantineFile('c:\70.103.101.103\aekgoprn.dll','');
    DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
     QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe','');
     QuarantineFile('C:\WINDOWS\system32\localspl.dll','');
     QuarantineFile('\\.\70.103.101.103\aekgoprn.dll','');
     DeleteFile('70.103.101.103\aekgoprn.dll');
     DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\dll32.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку Прислать запрошенный карантин, вверху этой темы.
    Обновите базы AVZ.
    Сделайте новые логи AVZ и приложите к этой теме.

    Выполните в AVZ скрипт из файла ScanVuln.txt и приложите к этой теме файл c:\avz_log.txt

  4. #3
    Junior Member Репутация
    Регистрация
    21.11.2009
    Сообщений
    3
    Вес репутации
    53
    Восстановление отключил. Скрипт выполнил. Лечение не удалось, карантин пуст. Базы обновил, ScanVuln.txt выполнил, логи собрал.
    Из наблюдений - если сетку оторвать физически, окно вируса отображается пустым, без контролов, через порядка минуты после загрузки winlogon вылетает с ошибкой, система уходит в перезагрузку.

  5. #4
    Junior Member Репутация
    Регистрация
    21.11.2009
    Сообщений
    3
    Вес репутации
    53
    Отбой воздушной тревоги.
    Пока мой ответ "проверялся модератором" (и до сих пор, надо сказать, проверяется, где-то с 13 часов по местному времени, сейчас 22:10), AVPTool сегодняшний нашел заразу (цитирую):
    Код:
    Поиск вирусов : завершен
    ------------------------
    Проверено:    248591
    Обнаружено:    4
    Не обработано:    0
    Запуск:    22.11.2009 18:08:43
    Длительность:    00:33:16
    Завершение:    22.11.2009 18:41:59
    
    
    Обнаружено
    ----------
    Статус    Объект
    ------    ------
    удалено: вирус Worm.Win32.AutoRun.ezt    Файл: C:\Program Files\avz4\Infected\2009-11-21\avz00001.dta
    удалено: вирус Worm.Win32.AutoRun.ezt    Файл: C:\Program Files\avz4\Infected\2009-11-21\avz00002.dta
    удалено: вирус Worm.Win32.AutoRun.ezt    Файл: C:\Program Files\avz4\Infected\2009-11-21\avz00003.dta
    удалено: троянская программа Trojan-Ransom.Win32.Agent.ha    Файл: C:\WINDOWS\system32\drivers\kybgzaar.sys
    ...
    22.11.2009 18:08:49    Модуль: winlogon.exe\aekgoprn.dll    ok    проверен
    22.11.2009 18:08:56    Файл: \\.\70.103.101.103\aekgoprn.dll    не обработан    не найден
    ...
    22.11.2009 18:08:57    Модуль: lsass.exe\aekgoprn.dll    ok    проверен
    22.11.2009 18:08:57    Файл: \\.\70.103.101.103\aekgoprn.dll    не обработан    не найден
    ...
    22.11.2009 18:08:58    Модуль: svchost.exe\aekgoprn.dll    ok    проверен
    22.11.2009 18:08:58    Файл: \\.\70.103.101.103\aekgoprn.dll    не обработан    не найден
    ...
    22.11.2009 18:09:02    Модуль: spoolsv.exe\aekgoprn.dll    ok    проверен
    22.11.2009 18:09:02    Файл: \\.\70.103.101.103\aekgoprn.dll    не обработан    не найден
    ...
    22.11.2009 18:09:14    Модуль: alg.exe\aekgoprn.dll    ok    проверен
    22.11.2009 18:09:18    Файл: \\.\70.103.101.103\aekgoprn.dll    не обработан    не найден
    %System32%\drivers\kybgzaar.sys, определяется как Trojan-Ransom.Win32.Agent.ha
    Грузит зловредную dll строго по UNC-пути \\.\70.103.101.103\aekgoprn.dll, локально не хранит.
    Если в момент загрузки нет физической связи с указанным узлом, winlogon падает, отправляя систему в синий экран. dll цепляется не только к winlogon, но именно его нить отрисовывает окно. Нить успешно прибивается Process Explorer'ом.
    Сеть блокируется не полностью, извне расшаренные ресурсы видны, машина пингуется.
    Добавляйте в скрипты еще одно имя этого мерзавчика.

  • Уважаемый(ая) sacai, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Get Accelerator, очередной ...
      От ATVAHT в разделе Помогите!
      Ответов: 13
      Последнее сообщение: 09.12.2009, 10:05
    2. get accelerator очередной
      От trator в разделе Помогите!
      Ответов: 11
      Последнее сообщение: 08.12.2009, 19:13
    3. очередной Get Accelerator
      От eclipse_red в разделе Помогите!
      Ответов: 28
      Последнее сообщение: 02.12.2009, 16:39
    4. Очередной Get Accelerator
      От 915 в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 02.12.2009, 05:35
    5. Очередной get accelerator (ничего не помогло)
      От dobermanrus в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 27.11.2009, 07:09

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00855 seconds with 18 queries