Баннер на номер 3381 (M201717655)

[Sergebambel]

Здравствуйте! Тоже подхватил троянца. В общем, если и удается запустить какую-то программу, то в первые секунды работы системы. После этого скорее всего к программе приклеивается "ярлык", потому что в следующий раз вирус запускается сразу при запуске именно этой программы. Самый "живучий" оказался Спайбот, что-то находит, удаляет, результат = все на месте, не работает обновление. При запуске AVZ компьютер уходит в перезагрузку (собственно, что дальше там я не смотрел, сразу жал Резет). Антивирус стоял Avira, запрещен запуск. Cureit запускал с Безопасного, видимо он его еще не знает или виснет на нем в System32 на каких-то файлах с расширением sys уже в самом конце ^^. Почитал Ваши правила и рекоммендации. Сейчас качаю Kav_Rescue (~50%, еще качать 1,5 часа с моей скоростью), потом буду AVPTools. Может есть вариант получения кода для разблокировки? Поделитесь, пожалуйста!
Забыл дополнить что коды с сайтов Др. Вэбера и Касперского я пробовал, не помогают.

[thyrex]

Звоните http://virusinfo.info/showthread.php?t=78765

После разблокировки приступайте к разделу Диагностика правил

[Sergebambel]

Звонил на бесплатный - или не хотят трубку брать, или перегружены. На платный, к сожалению, денег нет. Частично проблема решилась с помощью Kaspersky Rescue Disk 10.0: программы запускаются; исчезли сообщения об ошибках; с помощью gpedit.msc восстановил доступ к реестру. Из оставшегося: Avira все также в ауте, пишет что заблокирована администратором; почему-то постоянно перегружается модем DSL-2520U (Пароль, поставленный на него мной, отчего-то не подошел. Пришлось сбрасывать на заводские). Хотя, последнее, может, к теме и не относится... Запустил AVZ (где у него логи так и не нашел), Hijack и ComboFix (логи прикрепляю). Kaspersky Rescue Disk нашел Trojan.Win32.AutoRun.oc и HEUR:Trojan.Win32.Generic. Скорее всего последний и был причиной - слишком в многие места забрался.

[polword]

1. Профиксите в HijackThis как "профиксить в HiJackThis"

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\S4YUFVs.exe,\\?\globalroot\systemroot\system32\oNS0Gta.exe,
O20 - Winlogon Notify: winueb32 - winueb32.dll (file missing)

AVZ- запускается? Если да, то сделайте логи.

[Sergebambel]

В HijackThis таких строк не нашел. Прикрепляю лог AVZ.

[polword]

это не тот лог. Читайте правила внимательно.
нужны логи virusinfo_syscure.zip и virusinfo_syscheck.zip

[Sergebambel]

Все понял, исправляюсь...
Файл virusinfo_cure.zip "весит" 19 с лишним метров. Его тоже отсылать и как?
Мдя, после того как захотел отправить последний на файлообменник у меня снова блокировались диспетчер задач и редактор реестра. Что делать?

[Sergebambel]

Отправляю логи заново.
Этого ->
1. Профиксите в HijackThis как "профиксить в HiJackThis"
Код:
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\glob alroot\systemroot\system32\S4YUFVs.exe,\\?\globalr oot\systemroot\system32\oNS0Gta.exe,
O20 - Winlogon Notify: winueb32 - winueb32.dll (file missing)
- > сделать не могу, т.к. в HijackThis нет таких строк. См. приложенный hijackthis.log.

[PavelA]

Файл virusinfo_cure.zip "весит" 19 с лишним метров. Его тоже отсылать и как?

Это отправьте по "красной" ссылке вверху темы.

[Sergebambel]

Это отправьте по "красной" ссылке вверху темы.

Эм, я вообще тот, старый грохнул, извиняюсь. Отослал новый, поменьше.

[Sergebambel]

Вот логи с соеднего компьютера, объеденены в сетку. Не мог ли вирус с него перелезть на мой?

Значит на нем сработала все-таки Avira, опредлелила вирус "TR/Ransom.PornoBlocker.EO Trojan". В результате он в полном здравии и поныне. Скорее всего базы на нем были актуальнее. Но последствия могли же остаться?

И еще один нестандартный вопрос: может стоит запретить допуск к темам незарегистрированным пользователям? У меня постоянно "висит" 1 Гость. Может это тот самый производитель вируса, учится на ошибках?

Вот и подтверждение: как только написал - сразу исчез

И все-таки, ребят, мне интересно кто сейчас, в данный момент в 17-04, висит в этом топике? Неужели не сможете это определить? Если ты меня "слышишь", производитель этого троянца - иди пожалуйста "№?:;:% с чистой совестью. Понял?

[Sergebambel]

С Авирой я все-таки разобрался благодаря этой страничке http://www.solnechnogorsk.net/forum/...read91011.html Правда в трее она так и не появилась. Запустил, обновил, начал сканирование: обнаружилось уже 4 угрозы, числящиеся на 1-м компьютере. Может быть больше Если нужно, то отошлю карантин.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\Soft\G-414141ERER-1233211231-12313242131-555\FEB.exe','');
 QuarantineFile('C:\CRaZy\TRaiN\STReLjaSTVo.exe','');
 QuarantineFile('C:\Program Files\Adobe\adrouter.dll','');
 QuarantineFile('C:\S-1-5-21-1482476501-1644491937-682003330-1013\Mars1.exe','');
 DeleteFile('C:\S-1-5-21-1482476501-1644491937-682003330-1013\Mars1.exe');
 DeleteFile('C:\Program Files\Adobe\adrouter.dll');
 DeleteFile('C:\CRaZy\TRaiN\STReLjaSTVo.exe');
 DeleteFile('c:\Soft\G-414141ERER-1233211231-12313242131-555\FEB.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','InternetServics1');
DelCLSID('{E2085722-3AC0-4411-A14B-906AFE1A75C4}');
DelCLSID('{63KLC5K0-4OPM-00WE-AAX8-17EF1D187263}');
DelCLSID('{35TGC6Z0-4FuO-31XF-AVC2-21CX1Z6Og23}');
DeleteFileMask('C:\CRaZy', '*.*', true);
DeleteDirectory('C:\CRaZy');
DeleteFileMask('c:\Soft', '*.*', true);
DeleteDirectory('c:\Soft');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Sergebambel]

Карантин отослал ранее. Отсылаю логи AVZ и HijackThis.

[thyrex]

Карантин отослал ранее.

После выполнения скрипта отсылали?

В логах ничего плохого

Установите Adobe Acrobat 9.3 или удалите старый

[Sergebambel]

Отослал после выполнения, весит 19 с лишним уже. Не уверен что дошел, подтвердите плиз! Акробат был нерабочий, просто числился, удалил остатки.

[thyrex]

Отослал после выполнения

Нужен карантин после выполнения скрипта из сообщения №19

[Sergebambel]

Тот карантин, что получился после выполнения скрипта и перезагрузки (сообщение №13?) переслал заново. Про него я и писал. Дата составления карантина 21.05.2010 18:44.

[thyrex]

Вердикт уже вынесен

В логах ничего плохого

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 4
• Обработано файлов: 25
• В ходе лечения вредоносные программы в карантинах не обнаружены