Черный порнобанер 3649

[folder]

Добрый день!
Не могу никак вылечить порновымогателя
Из под одной учетной админской записью висит банер, из под другой админской записью всё чисто. CureIT находит вирусы, но не помогает...

[DefesT]

Здравствуйте. Отключите компьютер от интернета, а также антивирус и/или файрвол. Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\dropcpyr.dll','');
 QuarantineFile('c:\windows\system32\exploper.exe','');
 TerminateProcessByName('c:\windows\system32\exploper.exe');
 DeleteFile('c:\windows\system32\exploper.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Help');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам

[folder]

Спасибо за ответ, всё сделал как просили.

Карантин отправил, файл 091201_122007_virus_4b14dfc7657f7.zip

С Уважением.

[DefesT]

exploper.exe - Trojan-Clicker.Win32.Delf.cxt
dropcpyr.dll - В обработке (возможно чистый). Подождем.
Хотелось бы узнать как система поживает, улучшения есть?

[folder]

Спасибо за ответ.
Улучшений к сожалению пока нет, как только захожу под той админской учеткой, из под которой было заражение - банер появляется.
Под текущей, всё чисто как было.

С Уважением.

[DefesT]

Сделайте логи из под другой админской учетной записью.

[folder]

Логи сделал, хорошо что хоть баннер чуть прозрачный, "TABиться" нормально получалось

[DefesT]

dropcpyr.dll - чистый.
Пофиксите в Hijackthis:

R3 - URLSearchHook: (no name) - {A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
F3 - REG:win.ini: load=C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\gaimnjl.bat

Отключите компьютер от интернета, а также антивирус и/или файрвол.
Закройте все программы, выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\gaimnjl.bat','');
 QuarantineFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\~ip15.tmp','');
 QuarantineFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\~ip14.tmp','');
 QuarantineFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\~ip13.tmp','');
 QuarantineFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\ptpyfi.dll','');
 DeleteFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\ptpyfi.dll');
 DeleteFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\~ip13.tmp');
 DeleteFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\~ip14.tmp');
 DeleteFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\~ip15.tmp');
 DeleteFile('C:\DOCUME~1\V31C2~1.ALE\LOCALS~1\Temp\gaimnjl.bat');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Очистите темп папки.
Сделайте новые логи по правилам.

O16 - DPF: iLO 2 Remote Console Applet - https://10.4.21.30/dvc.cab

- это известно Вам?

[folder]

Банер пропал! Спасибо

O16 - DPF: iLO 2 Remote Console Applet - https://10.4.21.30/dvc.cab

- это известно Вам?

Известно, Integrated Lights-Out одного из серверов HP. Думаю там не должно быть криминала

Логи сделал.

Карантин отправил, файл 091201_151537_virus_4b1508e9ba7db.zip

С Уважением.

[DefesT]

Если проблема решилась, то это хорошо.
Обновите Internet Explorer до 8 версии, также советую обновлять "Java".
Удалите Bonjour

[folder]

Хорошо, спасибо за помощь!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 23
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\docume~1\v31c2~1.ale\locals~1\temp\ptpyfi.dll - Trojan-Ransom.Win32.SMSer.td ( DrWEB: Trojan.BrowseBan.128, NOD32: Win32/AutoRun.Delf.EL worm )
  2. c:\windows\system32\exploper.exe - Trojan-Clicker.Win32.Delf.cxt ( DrWEB: Trojan.Click.34323, BitDefender: Trojan.Generic.2803128, AVAST4: Win32:Malware-gen )