Компьютерный форум - Вирус "Internet security"

Компьютерный форум (http://pchelpforum.ru/index.php)

- Безопасность (http://pchelpforum.ru/forumdisplay.php?f=26)

- - Вирус "Internet security" (http://pchelpforum.ru/showthread.php?t=18856)

Вирус "Internet security"

После загрузки системы внезапно стали выскакивать сообщения вида "an unhandled win32 exception occured", после чего отключился диспетчер задач, а при запуске любой программы активизировался баннер, очень похожий на соответствующий описанной здесь вредоносной программы eKAV, только в заголовке название "антивируса" - "Internet Security antivirus", после чего включался таймер обратного отчета и предлагалось ввести код активации. После подбора ключа активации (согласно описанию вот здесь http://pchelpforum.ru/f26/t18442/2/#post142666) система вроде разблокировалась, но хотелось бы убедиться, что система чистая. Касперский никаких вирусов не находит.
Помогите, пожалуйста!
Просканировала винт AVZ, лог прилагаю: http://exfile.ru/75956

azmandius, не видать ничего ;)

azmandius,
Выполните еще лог в hijackthis http://pchelpforum.ru/f26/t6442/#post37758

romul781, спасибо!

01pump,
вот лог в hijackthis http://exfile.ru/75985

azmandius,
запустить hijackthis кнопкой "Do a system scan only" Откроется таблица, в которой отметьте следующую строчки:

Код:

 

O4 - HKLM\..\Run: [userini] C:\WINDOWS\system32\userini.exe

O4 - HKCU\..\Run: [userini] C:\WINDOWS\system32\userini.exe

O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe

O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe

и нажмите FIX checked

Запустите снова avz: Файл-выполнить скрипт- в открывшееся окно внимательно!!! вставить текст:

Код:

begin

 SearchRootkit(true, true);

 SetAVZGuardStatus(true);      

 DeleteFile('C:\WINDOWS\system32\userini.exe');     

 ExecuteSysClean;      

 ExecuteRepair(6);

 ExecuteRepair(16);     

 RebootWindows(true);

end.

затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!!
После перезагрузки в этой версии http://exfile.ru/75765 avz выполните стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip

01pump,
вот лог после действий с hijackthis и повторного запуска avz:
http://exfile.ru/76006

azmandius,
Выполните новый лог hijackthis

01pump,
Готово, вот новый лог: http://exfile.ru/76257

azmandius,
В настоящий момент от чего еще не избавились? :)

01pump,
Пока все нормально, спасибо Вам огромное!!:)

Internet Security

Споймал этот вирус. Код подобрал как описано тут http://pchelpforum.ru/f26/t18442/2/#post142666
Дальше всё заработало. Запустил AVZ - он ничего не нашел. Вот лог http://exfile.ru/77316
Если есть возможность, помогите локализовать угрозу.

Grizzly000, Запустите AVZ В меню Файл-Выполнить скрипт В окошко вставьте текст:

Код:

begin

SetAVZGuardStatus(True);

SearchRootkit(true, true);

 DeleteFile('C:\Temp\w_w25A7.tmp');

 DeleteFile('C:\WINDOWS\system32\sdra64.exe');

BC_ImportDeletedList;

ExecuteSysClean;

 ExecuteRepair(13);

BC_Activate;

RebootWindows(true);

end.

И нажмите запустить. Произойдет перезагрузка. После перезагрузки запустите AVZ ОБНОВИТЕ БАЗЫи выполните стандартный скрипт 2 и выложите лог virusinfo_syschek.zip

Сделал, вот virusinfo_syschek.zip http://exfile.ru/77365
На всякий случай вот лог от HijackThis http://exfile.ru/77366

Grizzly000, 1.Запустите HijackThis 2. Нажмите кнопку "Do a system scan only" 3.В открывшемся логе сканирования поставить галочки напротив указанных строк

Код:

        R3 - URLSearchHook: (no name) - - (no file)

O4 - HKLM\..\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKCU\..\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKCU\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKUS\S-1-5-19\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User 'LOCAL SERVICE')

O4 - HKUS\S-1-5-20\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User 'NETWORK SERVICE')

O4 - HKUS\S-1-5-18\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,NewUserFirstLogonInstall,0 (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,NewUserFirstLogonInstall,0 (User 'Default user')

и нажать кнопку "Fix сhecked".

Запустите снова avz: Файл-Выполнить скрипт- в открывшееся окно внимательно вставьте текст:

Код:

begin

 ExecuteRepair(6 );

 ExecuteRepair(16 );    

 ExecuteWizard('TSW', 2, 2, true);

 ExecuteWizard('SCU', 2, 2, true);

 RebootWindows(true);

end.

затем нажмите "Запустить" ПРОИЗОЙДЕТ ПЕРЕЗАГРУЗКА!!! После перезагрузки выполните в avz стандартный скрипт №2 и пришлите архив virusinfo_syscheck.zip + лог хайджека

virusinfo_syscheck.zip - http://exfile.ru/77397
HijackThis - http://exfile.ru/77400