Еще раз про вирус www.pornohub.com номер 3381

[stasmat]

Уже видел здесь такую же жалобу, но в соответствии с правилами создаю отдельную тему.
Информер с приглашением на pornohub.com блокиовал доступ к сайтам антивирусов, настройкам реестра, системным консолям (я хотел сбросить политики запрещающие восстановление системы), при попытке зайти в папку с авз - ребутил комп, когда я переименовал авз в другое имя - зайти в папку получалось, но при попытке запуска ничего не происходило. Код деактивации для своего номера я не нашел, необъяснимым шаманством вызвал синий экран смерти. После ребута информер пропал, доктор веб подгрузился и стало возможным запустить avz.

Вот лог: http://exfile.ru/104452

Сейчас пока вроде всё нормально, НО! Не мог зайти на сайты антивирусов и в частности на этот форум. Однако, когда прописал у браузера прокси - сайты заработали. hosts чистый. Может это быть связано с вирусом? Или это просто в модеме что-то сбилось,т.к. я выходил в инет с ноута путем простого втыкания в него адсл шланга. Модем и комп перегружал - ситуация не меняется.

Заранее благодарен.

[winshelp]

stasmat, здравствуйте.
Отключите компьютер от Интернет/локалки.
Закройте/отключите на время выполнения скрипта всё защитное ПО !!!
Закройте/выгрузите все программы кроме AVZ.
Как выполнять скрипт и фиксить смотрим здесь: http://pchelpforum.ru/f26/t24207/

AVZ, файл, выполнить скрипт - в открывшееся окно внимательно!!! вставить текст:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\\?\globalroot\systemroot\system32\JVCXKCG.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\fAHEX4w.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\svchost.exe','');
DeleteFile('\\?\globalroot\systemroot\system32\JVCXKCG.exe');
DeleteFile('\\?\globalroot\systemroot\system32\fAHEX4w.exe');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\svchost.exe');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 1);
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
-----
Выполнить еще такой скрипт в AVZ.

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ обязательно отправьте на newvirus@tut.by
-----
Выполните в avz стандартный скрипт №2 и архив virusinfo_syscheck.zip
залейте на файлообменник http://exfile.ru - и ссылку на форум + приложите лог HiJackThis.
Так же прокоментируйте что у вас за файл:
d:\777\12313123123123\12\12.exe

[stasmat]

quarantine.zip из папки AVZ обязательно отправьте на newvirus@tut.by - сделано
virusinfo_syscheck.zip - http://exfile.ru/104482
лог HiJackThis - http://exfile.ru/104486

d:\777\12313123123123\12\12.exe - это AVZ, он был переименован еще в самом начале битвы, т.к. пока он назывался своим именем до него было невозможно добраться ни через проводник ни через командную строку - информер начинал перезагружать систему при виде папки или файл с именем avz.

[winshelp]

stasmat.
Как выполнять скрипт и фиксить смотрим здесь: http://pchelpforum.ru/f26/t24207/
Профиксите в HiJackThis:

 
F2 - REG:system.ini: UserInit=C:WINDOWSsystem32userinit.exe,\?globalrootsystemrootsystem32JVC XKCG.exe,\?globalrootsystemrootsystem32fAHEX4w.exe,
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll
O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll

Перегрузите компьютер, сделайте свежий лог HiJackThis.

[stasmat]

пофиксил
новый лог: http://exfile.ru/104499

[winshelp]

То что было нужно, успешно профиксилось!!!
Ни чего плохого не увидел - чисто.

[stasmat]

winshelp, Спасибо огромное! Да прибудет с тобой Сила!

[пушистик]

Уважаемые специалисты помогите избавиться от трояна мошенников: просят выслать смс .

Пишу в этом топе так как схожесть с проблемой автора 99 процентная.

Вот скрин рабочего стола http://slil.ru/29246529, а вот логи AVZ http://slil.ru/29246524, щас вроде комп работает и в интернет даж зашел после очередного ребута , но опасаюсь что троян еще жив в системе . Пожалуйста помогите мне , обещаю что не буду просматривать все сайты с Javascript включенным =)

присоединяю hijackthis.log http://slil.ru/29246559

[01pump]

пушистик,

Поиском воспользоваться влом да?

Вот ваша тема http://pchelpforum.ru/f26/t29087/


А данную тему закрою чтоб не постили где попало