Зачистка баннера

**elay3000** · 11.01.2011, 14:49

Поймал баннер. Избавился от симптомов с помощью подбора пароля на drweb.com. Помогите пожалуйста выцепить тело вируса

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**polword** · 11.01.2011, 15:08

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\kbqhela3.dll','');
 QuarantineFile('C:\WINDOWS\system\svhost.exe','');
 DeleteService('lsplwpcm');
 QuarantineFile('C:\WINDOWS\system32\05.tmp','');
 QuarantineFile('C:\WINDOWS\system32\K4hostElSvc.exe','');
  QuarantineFile('C:\WINDOWS\system32\0557.tmp','');
 DeleteService('ffnwe');
 QuarantineFile('C:\DOCUME~1\E25D~1\LOCALS~1\Temp\laCi6rsr.sys','');
 DeleteFile('C:\DOCUME~1\E25D~1\LOCALS~1\Temp\laCi6rsr.sys');
 DeleteFile('C:\WINDOWS\system32\0557.tmp');
 DeleteFile('C:\WINDOWS\system32\05.tmp');
 DeleteFile('C:\WINDOWS\system\svhost.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WSVCHO');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(16);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог Gmer

**elay3000** · 11.01.2011, 17:14

Выкладываю

**polword** · 11.01.2011, 18:56

- Сохраните текст ниже как 1.bat в ту же папку, где находится oondg3n2[1].exe (GMER) и запустите этот батник(1.bat):

Код:

oondg3n2[1].exe -del service hedknvqaz
oondg3n2[1].exe -del service kwdippjsa
oondg3n2[1].exe -del service ljemebx
oondg3n2[1].exe -del file "C:\WINDOWS\system32\qglvxxdz.dll"
oondg3n2[1].exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\ljemebx"
oondg3n2[1].exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kwdippjsa"
oondg3n2[1].exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\hedknvqaz"
oondg3n2[1].exe -del reg "HKLM\SYSTEM\ControlSet002\Services\ljemebx"
oondg3n2[1].exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kwdippjsa"
oondg3n2[1].exe -del reg "HKLM\SYSTEM\ControlSet002\Services\hedknvqaz"
oondg3n2[1].exe -reboot

Компьютер перезагрузится.

После перезагрузки:
- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\0557.tmp','');
 DeleteService('ygupvi');
 QuarantineFile('C:\WINDOWS\system32\K4hostElSvc.exe','');
 DeleteService('K4hostEL');
 QuarantineFile('c:\documents and settings\Ирина\local settings\temporary internet files\content.ie5\gd63w927\oondg3n2[1].exe','');
 TerminateProcessByName('c:\documents and settings\Ирина\local settings\temporary internet files\content.ie5\gd63w927\oondg3n2[1].exe');
 DeleteFile('c:\documents and settings\Ирина\local settings\temporary internet files\content.ie5\gd63w927\oondg3n2[1].exe');
 DeleteFile('C:\WINDOWS\system32\K4hostElSvc.exe');
 DeleteFile('C:\WINDOWS\system32\0557.tmp');
 DeleteFileMask('c:\documents and settings\Ирина\local settings\temporary internet files\content.ie5', '*.*', true);
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- обновите базы AVZ
- Сделайте повторные логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)