Подмена некоторых сайтов на подставные (заявка №29578)

[CyberHelper]

Пользователь обратился в сервис 911, указав на следующие проблемы в работе его компьютера:
При заходе на сайты одноклассники.ру, вконтакте.ру, мейл.ру браузер заходит на явно подставные сайты, где после ввода логина и пароля появляется страница, на которой предлагается отослать смс с определенным текстом (несколько цифр) на номер 6681.
Дата обращения: 12.09.2010 15:06:10
Номер заявки: 29578

[CyberHelper]

12.09.2010 17:50:18 на зараженном компьютере были обнаружены следующие вредоносные файлы:

1. C:\WINDOWS\system32\logonuifix.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 4627456 байт
   • дата файла: 23.02.2008 9:26:48
   • версия: "6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)"
   • копирайты: "© Корпорация Майкрософт. Все права защищены."
2. C:\WINDOWS\mkdrv.sys - подозрительный, обрабатывается вирлабом
   
   • размер: 30368 байт
   • дата файла: 12.09.2010 0:50:20
   • детект других антивирусов: DrWEB 5.0: Зловред Trojan.Hosts.1493
3. C:\WINDOWS\system32\admdll.dll - not-a-virus:RemoteAdmin.Win32.RAdmin.20
   
   • размер: 90112 байт
   • дата файла: 05.12.2001 12:27:56
   • детект других антивирусов: DrWEB 5.0: Зловред Program.RemoteAdmin.21
4. C:\WINDOWS\Temp\password.url - подозрительный, обрабатывается вирлабом
   
   • размер: 127 байт
   • дата файла: 09.06.2009 18:15:10
5. C:\Documents and Settings\Neo\Главное меню\Программы\Автозагрузка\password.url - подозрительный, обрабатывается вирлабом
   
   • размер: 127 байт
   • дата файла: 12.09.2010 13:44:06
6. c:\documents and settings\neo\Главное меню\Программы\Автозагрузка\userinit.exe - подозрительный, обрабатывается вирлабом
   
   • размер: 15872 байт
   • дата файла: 12.09.2010 3:16:40

[CyberHelper]

12.09.2010 22:40:26 на зараженном компьютере были обнаружены следующие вредоносные файлы:

1. C:\WINDOWS\Temp\password.url - подозрительный, обрабатывается вирлабом
   
   • размер: 127 байт
   • дата файла: 09.06.2009 18:15:10
2. C:\WINDOWS\Temp\job.url - подозрительный, обрабатывается вирлабом
   
   • размер: 56 байт
   • дата файла: 02.06.2009 23:42:18
3. C:\WINDOWS\Temp\Mirtesen.ru.url - подозрительный, обрабатывается вирлабом
   
   • размер: 59 байт
   • дата файла: 07.02.2009 4:50:02
4. C:\WINDOWS\Temp\Bases-09.url - подозрительный, обрабатывается вирлабом
   
   • размер: 50 байт
   • дата файла: 27.05.2008 22:22:36
5. C:\Documents and Settings\Neo\Главное меню\Программы\Автозагрузка\password.url - подозрительный, обрабатывается вирлабом
   
   • размер: 127 байт
   • дата файла: 12.09.2010 21:25:34
6. C:\WINDOWS\Temp\password.url - подозрительный, обрабатывается вирлабом
   
   • размер: 127 байт
7. C:\WINDOWS\Temp\password.url - подозрительный, обрабатывается вирлабом
   
   • размер: 127 байт
8. C:\WINDOWS\Temp\job.url - подозрительный, обрабатывается вирлабом
   
   • размер: 56 байт
9. C:\WINDOWS\Temp\job.url - подозрительный, обрабатывается вирлабом
   
   • размер: 56 байт
10. C:\WINDOWS\Temp\Mirtesen.ru.url - подозрительный, обрабатывается вирлабом
    
    • размер: 59 байт
11. C:\WINDOWS\Temp\Mirtesen.ru.url - подозрительный, обрабатывается вирлабом
    
    • размер: 59 байт
12. C:\WINDOWS\Temp\Bases-09.url - подозрительный, обрабатывается вирлабом
    
    • размер: 50 байт
13. C:\WINDOWS\Temp\Bases-09.url - подозрительный, обрабатывается вирлабом
    
    • размер: 50 байт
14. C:\Documents and Settings\Neo\Главное меню\Программы\Автозагрузка\password.url - подозрительный, обрабатывается вирлабом
    
    • размер: 127 байт
15. C:\Documents and Settings\Neo\Главное меню\Программы\Автозагрузка\password.url - подозрительный, обрабатывается вирлабом
    
    • размер: 127 байт

[CyberHelper]

12.09.2010 23:40:48 лечение успешно завершено