Вымогатель

[Lexxicon]

Опять подхватил вымогателя, банер на весь рабочий стол, логи делал под другим пользователем!

[Lexxicon]

Вымогателя разблокировал с помощью http://support.kaspersky.ru/viruses/deblocker
Но есть подозрение, что в системе он остался. Есть ли необходимость выложить заново логи с пользователя где был вымогатель?

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\all users\systems.exe');
 QuarantineFile('C:\Shlron\Osbourne\MinuTa.exe','');
 QuarantineFile('C:\AhKreT\ena\BeyBi.exe','');
 QuarantineFile('C:\Early\life\UpDaTe.exe','');
QuarantineFile('C:\WINDOWS\system32\02.tmp','');
 QuarantineFile('C:\WINDOWS\system32\08.tmp','');
 QuarantineFile('C:\WINDOWS\system32\06.tmp','');
 QuarantineFile('c:\documents and settings\all users\systems.exe','');
 DeleteFile('c:\documents and settings\all users\systems.exe');
 DeleteFile('C:\WINDOWS\system32\08.tmp');
 DeleteFile('C:\WINDOWS\system32\02.tmp');
 DeleteFile('C:\WINDOWS\system32\06.tmp');
 DeleteFile('C:\Early\life\UpDaTe.exe');
 DeleteFile('C:\AhKreT\ena\BeyBi.exe');
 DeleteFile('C:\Shlron\Osbourne\MinuTa.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-1292428093-725345543-100241173-1004\Software\Microsoft\Windows\CurrentVersion\Run','Shell');
DelCLSID('{LKWJSL0-GH0P-IYRP-NYMA-NJKFAHNCR}');
DelCLSID('{89B4C1CD-B018-4511-B0A1-5476DBF70820}');
DelCLSID('{67WNC6Z0-4F0Z-A1RP-4FMB-F4CXM36D9RQ}');
 DeleteService('znaawuol');
 DeleteService('xecyldv');
 DeleteService('skiztnbk');
 DeleteService('rrrsiz');
 DeleteService('rpqie');
 DeleteService('nvxlo');
 DeleteService('faolrg');
 DeleteService('dzfwijbv');
DeleteService('ankodrzbv');
 DeleteService('btbpg');
DeleteFileMask('C:\Early', '*.*', true);
DeleteDirectory('C:\Early');
DeleteFileMask('C:\AhKreT', '*.*', true);
DeleteDirectory('C:\AhKreT');
DeleteFileMask('C:\Shlron', '*.*', true);
DeleteDirectory('C:\Shlron');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи + лог gmer

[Lexxicon]

Карантин выслал!

[thyrex]

Логи выложили старые

Сохраните текст ниже как cleanup.bat в ту же папку, где находится 1k48fwtw.exe (gmer)

1k48fwtw.exe -del service rrplrg
1k48fwtw.exe -del file "C:\WINDOWS\system32\tqplg.dll"
1k48fwtw.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rrplrg"
1k48fwtw.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\rrplrg"
1k48fwtw.exe -reboot

И запустите cleanup.bat.
Компьютер перезагрузится!

Сделать новый лог gmer.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 17
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\ahkret\ena\beybi.exe - Trojan.Win32.VB.aegi ( DrWEB: Trojan.Packed.19979, AVAST4: Win32:Malware-gen )
  2. c:\early\life\update.exe - Trojan-Dropper.Win32.VB.amqt ( DrWEB: Trojan.MulDrop1.14073, AVAST4: Win32:Malware-gen )
  3. c:\shlron\osbourne\minuta.exe - Trojan.Win32.VB.aegg ( DrWEB: Trojan.Packed.19978, AVAST4: Win32:Trojan-gen )