"ЭМО" попрошайка (Internet Security)

[helpzconnet]

Предыстория. Полез куда-то без OutPosta
цепанул вирусню
Как-то раз комп даже сам перезагрузился и видимо ДО этого уже сумел грохнуть NOD32
СИМПТОМЫ:

1. При запуске любого .exe и любого браузера делает "сканирование" ПК и выдаёт "отчёт об ошибках" затем "Розовый эмо экран" просит денег через СМС на номер 4460 с кодом K204114700
2. НОД убит
3. OutPost - не запускается , отправляет к Администратору
4. HijackThis - не запускается , отправляет к Администратору. В безопасном запускается, начинает сбор инфы , но вырубает комп. Что удалось собрать выкладываю.
5. AVZ - при открытии папки с утилитой комп перезагружается. Пробовал обмануть через полиморфный AVZ; загружается, но потом понимает что его обманули и снова перезагружает комп. Пробовал обмануть как в соседней ветке через смену даты - не помогло.
6. AVPTool тупо не запускается в обоих режимах
   
7. Dr. Web CureIt в безопасном режиме запускается, как моментально находит RS=3221225477 и на этом всё. (в обычном режиме тупо не запускается)

Сейчас попробую найти live CD
Читал что некоторый ифегд дает ввод кода с генератора, ткните носом где он.

[helpzconnet]

генратор нашёл тут http://av.demozone.ru/

avz заработал , собираю инфу

[helpzconnet]

посмотрите, пожалуйста, что насобирал
Спасибо

[Aleksandra]

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
 QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
 QuarantineFile('C:\WINDOWS\TEMP\cie.dll','');
 DeleteFile('C:\WINDOWS\TEMP\cie.dll');
 DeleteFile('C:\WINDOWS\system32\sdra64.exe');
 DeleteFile('F:\autorun.inf');
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), 'C:\WINDOWS\TEMP\cie.dll', ''));
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), ',,', ','));
 DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip, используя ссылку http://virusinfo.info/upload_virus.php?tid=67438

4. Повторите лог virusinfo_syscheck.

[helpzconnet]

сори карантин закачал без пароля

[Aleksandra]

Ничего зловредного в логах не увидела. Что с проблемой?

[helpzconnet]

Пока отклонений не заметил
кроме того что не могу запустить фаервол и антивир
ругается:

.
но это уже не вирус я так понимаю , а отсутствие админских прав?

подскажите как побороть ?

[Aleksandra]

Сделайте отчет GSI http://support.kaspersky.ru/faq/?qid=180593373

[helpzconnet]

PS AVZ обновляться в инет не лезет
ошибку выдаёт. (обновлял на другом компе)

[Aleksandra]

Удалите в реестре.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{f7e06e70-a32a-4daa-8b5e-94e721756bfa}
C:\Program Files\Agnitum
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{592c74ce-e26f-4732-b6d0-144059321ed1}
C:\Program Files\ESET
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{b4c7554d-7c12-4f62-80df-7455f695030a}
C:\Program Files\Trend Micro

[helpzconnet]

выздоровел
Благодарю!

Как Вам спасибо сказать?

[PavelA]

Кнопочку "Спасибо" нажать или "весы".

Добавлено через 4 часа 29 минут

http://virusinfo.info/showthread.php?t=17130 - Если не ушли

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\sdra64.exe - Trojan-Spy.Win32.Zbot.adtt ( BitDefender: Trojan.Spy.Zbot.EKY, AVAST4: Win32:Rootkit-gen [Rtk] )
  2. c:\windows\temp\cie.dll - Trojan-Ransom.Win32.SMSer.uk

Рекомендации:

1. Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !