Порнобаннер смс М21120008 на номер 3649

**0legator** · 02.12.2009, 07:19

Добрый день.
Заблокировано практически все. Иногда удается запустить AVZ, но прав админа нет, следовательно ничего сделать не получается. В безопасном режиме при запуске переименованной avz сразу начинается перезагрузка.
В сети нашел код разактивации - 487786665. После этого баннер пропал, видимо на какое-то время все разблокировалось. Запустил HJT. Вот лог.
Прошу прощения. забыл написать, что AVZ.exe переименован в 444.ехе. HJT переименован в rer.pif

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**DefesT** · 02.12.2009, 08:05

Здравствуйте.
Пофиксите в Hijackthis:

Код:

R3 - URLSearchHook: QIPBHO Class - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Documents and Settings\Администратор\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll
O2 - BHO: QIPBHO - {95289393-33EA-4F8D-B952-483415B9C955} - C:\Documents and Settings\Администратор\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll
O21 - SSODL: WebCheck - {FF4EC53A-CA51-9A39-6CDD-5FFB26FB445C} - overlapp32.dll (file missing)

Перезагрузите ПК. Сделайте полный необходимый комплект логов

**0legator** · 02.12.2009, 08:56

Пофиксил HJT-ком. Сделал логи avz и HjT. Но. Во время сканирования avz была запущена авира, но в трее ее не было, чет я про нее забыл

. Поэтому файл sbra64.exe (вроде так) был удален авирой и файл с вирусом от avz теперь пустой. В остальном вроде все в норме. Вот логи:

**DefesT** · 02.12.2009, 09:05

C:\WINDOWS\System32\PwdServ.exe
C:\WINDOWS\System32\overlapp32.dll

Поищите эти файлы на диске, если найдете пришлите по правилам (Приложение 3) по ссылке Прислать запрошенный карантин вверху темы.

>> Заблокирован пункт меню Справка и техподдержка

Исправьте в AVZ - меню "Файл" - Мастер поиска и устранения проблем

**0legator** · 02.12.2009, 09:58

найден был только pwdserv.exe.
Извиняюсь, но в начале просто заархивировал файл и выслал запароленный архив pwdserv.zip. Перечитал правила и сделал как нужно.
Отправил еще раз.

Добавлено через 13 минут

При установки флешки в зараженный компьютер, на ней появилась папка RECYCLER, внутри которой появилась pUpkh.dll, а в корне флешки был перезаписан файл autorun.inf, который создала утилита USBVaccine.exe от Panda. По идее этот файл можно было удалить только форматированием флешки, но, видимо, они ошиблись.

**DefesT** · 02.12.2009, 11:39

PwdServ.exe - чистый
На данный момент информер присутствует?

**0legator** · 02.12.2009, 11:51

Информера нет. Компьютер после проведенных процедур работает нормально. Скачал AVP-Tool и сейчас сканирую им. В локальной папке temp нашлись несколько dll, которые удалил. Попутно еще обновил авиру, которая тоже находит длл-ки и удаляет. 1 час - полет нормальный.
Спасибо большое за помощь.