File Dowloader блокирует доступ к сети

**Зубастик** · 11.12.2009, 17:41

появился банер File Downloader заблокировал доступ к сети и интернету, требуется скинуть смс на номер 1350

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**snifer67** · 11.12.2009, 17:44

Запустите утилиту в аттаче get.zip,ПК перезагрузится. Повторите логи.

**Зубастик** · 11.12.2009, 18:27

Сделал, вот новые логи

**snifer67** · 11.12.2009, 19:02

avz-avz Guard-включить avz Guard

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\xXx\Главное меню\Программы\Автозагрузка\siszyd32.exe','');
 DeleteFile('C:\Documents and Settings\xXx\Главное меню\Программы\Автозагрузка\siszyd32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**Зубастик** · 11.12.2009, 19:47

Сделал,банер не исчез, вот новые логи

**snifer67** · 11.12.2009, 20:23

Выполните скрипт в avz

Код:

begin
SetAVZPMStatus(True);
RebootWindows(true);
end.

ПК перезагрузится.

Сделайте новые логи.

**Зубастик** · 11.12.2009, 20:59

Банер не пропадает, вот логи

**snifer67** · 11.12.2009, 21:33

Отключите avz Guard

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
 QuarantineFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
 DeleteFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**Зубастик** · 11.12.2009, 22:07

логи, банер попрежнему висит

**snifer67** · 11.12.2009, 22:34

Выполните скрипт в avz

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\b48dadf8.sys','');
 QuarantineFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys','');
 DeleteFile('C:\WINDOWS\system32\drivers\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
 DeleteFile('\??\C2CAD972#4079#4fd3#A68D#AD34CC121074\b48dadf8.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\b48dadf8.sys');
 QuarantineFile('C:\WINDOWS\system32\winsrv.exe','');
 DeleteFile('C:\WINDOWS\system32\winsrv.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Java Plug-in');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи.

**Зубастик** · 12.12.2009, 09:24

карантин за 12-12-2009 пуст, карантин за 11-12-2009 не высылается пишет, что файл уже загружен. банер все еще висит.

**Зубастик** · 12.12.2009, 14:02

жду ответа

**snifer67** · 12.12.2009, 14:06

Выполните скрипт в avz

Код:

begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('aekgoprn.dll','');
DeleteFile('aekgoprn.dll');
QuarantineFile('b48dadf8.sys','');
DeleteFile('b48dadf8.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

ПК перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пролечитесь http://support.kaspersky.ru/download...tdsskiller.zip

Сделайте новые логи.

**Зубастик** · 12.12.2009, 14:45

Карантин пуст, утилита ничего не нашла, вот логи

**snifer67** · 12.12.2009, 14:47

Сделайте еще такие логи:
http://virusinfo.info/showthread.php?t=40118 http://virusinfo.info/showthread.php?t=53070

**Зубастик** · 12.12.2009, 15:49

Сканирование смог сделать только MBAM, Gmer вылетает после сразу после автосканирования

**snifer67** · 12.12.2009, 15:51

Удалите в mbam

Код:

Заражено ключей реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\install.exe (Trojan.Agent) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{8e8e8f8a-8fcc-88ce-bcb8-b8fd8e88888a} (Malware.Packer) -> No action taken.

Заражено значений реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\windows sarby (Malware.Trace) -> No action taken.

Сделаете новый лог mbam

Сделайте еще такой лог http://virusinfo.info/showthread.php?t=58309

**Зубастик** · 12.12.2009, 17:47

вот новые логи

**snifer67** · 12.12.2009, 17:52

1. запустить программку, что в аттаче. ПК будет перезагружен.
2. удалить в %systemroot%\system32\drivers\swenum.sys и убедиться, что WFP восстановила файл. Если файл не восстановился по какой-либо причине - скопировать его с другого ПК на место удаленного.