Смс на номер 3381

[tATIK]

Здравствуйте. Ситуация, аналогичная многим... Единственное, что удалось, так это сделать лог в HijackThis, после чего комп выключился.

[polword]

Скачайте LiveCD с возможностью поиска и правки исправления в реестре. Например, ERD Commander

[PavelA]

На диске "С", загрузившись с ЛайвСД найти winwyo32.exe и переименовать.

[thyrex]

PavelA, это не поможет

[tATIK]

Скачиваю ERD Commander, но cкороть маленькая... Это еще нужно? thyrex, а что поможет? Звонила даже в А1... ничего!

[polword]

как скачаете ERD Commander - отпишитесь

[tATIK]

Программа скачана, жду дальнейших указаний.

[polword]

Посмотрите в реестре:
ветка
HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

параметр
AppInit_DLLs

Содержимое этого параметра в своем сообщении напишите

[tATIK]

C:\WINDOWS\system32\v.dll

[thyrex]

Выполните из LiveCD:
1. Переименуйте указанный файл
2. Очистите значение параметра AppInit_DLLs
3. Перезагрузитесь и пробуйте загрузиться в нормальном режиме.

Баннер должен пропасть. Выполните правила в полном объеме + сделайте лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[tATIK]

C:\WINDOWS\system32\v.dll Нужно переименовать этот файл? На диске C:\ нет WINDOWS, только на D:\, но там не содержится файла с вышеуказанным названием.
Почему-то диски поменяны местами при запуске через ERD Commander. Но и в обычном режиме файла с названием v.dll нет.

Добавлено через 46 минут

В А1 назвали код разблокировки для смс с текстом Т701516100 на номер 3381 будет таким: 3581DO64. Баннер исчез.

[polword]

сделайте комплект логов по правилам

[tATIK]

ВОт логи

[thyrex]

Пофиксите в hiJack

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\m0F7GRi.exe,\\?\globalroot\systemroot\system32\cRQ6hJz.exe,

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\winwyo32.exe','');
 DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\winwyo32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ
Сделайте новые логи + лог http://virusinfo.info/showpost.php?p=493610&postcount=1

[tATIK]

В карантине файлов нет.

[thyrex]

Удалите ComboFix

Выполните скрипт в AVZ

begin
ExecuteRepair(20);
RebootWindows(true);
end.

Компьютер перезагрузится.

Больше ничего необычного

[tATIK]

Вроде нет сбоев. Все работает. Спасибо, не первый раз уже выручаете