Банер ПО File Downloader

[DronIK]

Win XP SP2
Баннер в правом нижнем углу с требованием отправить SMS (такой же, как в нескольких недавних сообщениях).
Get.exe, взятый из предыдущих сообщений, не удаляет.

[snifer67]

http://virusinfo.info/pravila.html

[DronIK]

полсе проверки и лечения всем чем только можно баннер исчез но судя по логам остатки вроде ещё остались
прилогаю логи

[snifer67]

1. запустить программку, что в аттаче. ПК будет перезагружен.
2. удалить в %systemroot%\system32\drivers\swenum.sys и убедиться, что WFP восстановила файл. Если файл не восстановился по какой-либо причине - скопировать его с другого ПК на место удаленного.
3.Сделаете новые логи.

[DronIK]

спасибо вечером попробую только файл удалён уже давно и нового пока я не наблюдал
насколько данный файл являеться критичным для системы ?
и ещё вопрос при обнаружени файла удалять его надо до загрузки системы (используя скажем LiveCD ) или возможно удалять и после отработки прилагаемого файла и последующей загрузки системы ?

[DronIK]

Выполнил

[snifer67]

Удалите в mbam

Заражено ключей реестра:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.

Заражено значений реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\host (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\id (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

Заражено папок:
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.
C:\WINDOWS\system32\twain32 (Backdoor.Bot) -> No action taken.

Заражено файлов:
C:\WINDOWS\system32\nsuq.rdo (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.
C:\WINDOWS\system32\twain32\local.ds (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\twain32\user.ds (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\twain32\user.ds.lll (Backdoor.Bot) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\msxslt.dat (Malware.Trace) -> No action taken.

Сделаете новый лог mbam

Запустите заново утилиту get2
Сделайте логи avz и Hijack.

[DronIK]

Выполнил

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\aekgoprn.dll','');
 DeleteFile('C:\WINDOWS\system32\aekgoprn.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[DronIK]

скрипт выполнен
virus.zip добавлен

[Bratez]

1. Обновите базы AVZ!

2. Запустите такой скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Sleep(180);
RebootWindows(true);
end.

3. Ничего не трогайте несколько минут, дождитесь пока компьютер перезагрузится.
После этого сделайте новые логи.

[DronIK]

очередные логи

[Bratez]

Заразы больше не видно.
Восстановите из дистрибутива или скопируйте из здоровой системы файл
C:\WINDOWS\system32\DRIVERS\swenum.sys

Рекомендуется установить SP3 и последующие обновления.

[DronIK]

ок
спасибо большое
буду пробовать подключиться к интернету )))

Добавлено через 4 часа 13 минут

к сожалению не могу обновиться
появляеться окошко подготовка к установке долго висит
потом окошко что установить не удалось
подскажите пожалуйста может это быть последствием вирусов и как это можно победить

[pig]

"не могу обновиться" - что именно обновляете? Систему? Чем и как?

[DronIK]

да систему
стандартно IE через Windows Update

Добавлено через 3 часа 41 минуту

ещё раз спасибо
не запускалась служба BITS
в данный момент всё работает и обновляеться

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены