Get Accelerate + sms на 3649

[Mikke]

Здравствуйте, поймали вирус с "смс на 3649" после еще выскочил серый экран с Get Accelerate с кодом на номер 1350. в Безопасном режиме удалось запустить Hijackthis при переименовании в asdf.pif. Тем же самым спомобом удалось запустить AVZ. Скрипты судя по всему подвисают.. в безопасном режиме плохо видно на чем именно.. Сейчас жду пока.. может всетаки пройдут скрипты.

[Ingener]

Пофиксите в HijackThis:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O1 - Hosts: 91.212.198.20 vkontakte.ru
O1 - Hosts: 91.212.198.20 mail.yandex.ru
O1 - Hosts: 91.212.198.20 odnoklassniki.ru
O1 - Hosts: 91.212.198.20 www.vkontakte.ru91.212.198.20 vkontakte.ru
O1 - Hosts: 91.212.198.20 mail.yandex.ru
O1 - Hosts: 91.212.198.20 odnoklassniki.ru
O1 - Hosts: 91.212.198.20 www.vkontakte.ru
O1 - Hosts: 91.212.198.20 vkontakte.ru
O1 - Hosts: 91.212.198.20 mail.yandex.ru
O1 - Hosts: 91.212.198.20 odnoklassniki.ru
O1 - Hosts: 91.212.198.20 www.vkontakte.ru
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O20 - AppInit_DLLs: C:\WINDOWS\system32\GxlYd.dll
O21 - SSODL: WebCheck - {FF4EC53A-CA51-9A39-6CDD-5FFB26FB445C} - overlapp32.dll (file missing)

Перезагрузите компьютер.

После этого дожна запуститься AVZ.
Загрузитесь в обычном режиме и сделайте все логи по правилам .

[Mikke]

Получилось выполнить скрипты. Выкладываю логи

[thyrex]

 >>  Заблокированы настройки системы System Restore
 >>  Заблокирована настройка автоматического обновления

Блокировали сами?

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\GxlYd.dll','');
DeleteFile('C:\WINDOWS\system32\GxlYd.dll');
QuarantineFile('C:\WINDOWS\system32\overlapp32.dll','');
DeleteFile('C:\WINDOWS\system32\overlapp32.dll');
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\immieqef.SYS','');
 QuarantineFile('C:\WINDOWS\System32\aekgoprn.dll','');
 DeleteFile('C:\WINDOWS\System32\aekgoprn.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\immieqef.SYS');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('F:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(13);
ExecuteRepair(17);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Mikke]

Вроде настройки сами не блокировали... Табличка пока больше не вылетает, высылаю логи и карантин, если еще что-то осталось буду рад увидеть скрипт, заранее Благодарю!! С Уважением, Михаил.

[Ingener]

В логах чисто.

Осталось подправить мелочи:
Выполните скрипт в AVZ:

begin
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Рекомендации:
1) Установите SP3 и все последующие обновления (заплатки).
2) Ознакомьтесь с этой темой: http://virusinfo.info/showthread.php?t=30339

[Mikke]

Спасибо большое за помощь и рекомендации!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 13
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\immieqef.sys - Trojan-Ransom.Win32.Agent.hb ( DrWEB: Trojan.Winlock.495, NOD32: Win32/Sirefef.A trojan )
  2. c:\windows\system32\gxlyd.dll - Trojan-Ransom.Win32.SMSer.su ( DrWEB: Trojan.Winlock.499, BitDefender: Trojan.Generic.2807377, NOD32: Win32/Agent.QJZ trojan, AVAST4: Win32:Malware-gen )
  3. c:\windows\system32\overlapp32.dll - Trojan.Win32.Delf.rym ( DrWEB: Trojan.KeyLogger.4260, BitDefender: Trojan.Generic.2756456, AVAST4: Win32:Malware-gen )
  4. c:\windows\system32\sdra64.exe - Trojan-Spy.Win32.Zbot.acxy ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Trojan.Generic.2727157 )
  5. f:\autorun.inf - Trojan.Win32.AutoRun.oc ( BitDefender: Trojan.AutorunINF.Gen )

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !