21 ответов в этой теме

[kibmastix]

Здравствуйте

При попытке запустить какую-либо программу, кроме проводника, на весь экран открывается порно-баннер,
просящий отправить M20920007 на 3649.

При этом программа, как правило не запускается, а если запускается, то находится за баннером.
Если нажать сочетание клавиш Win+Break то порно-баннер скрывается, но появляется опять при любом запуске программы.
Удалось сделать лог Hijack

Прикрепленные файлы:

•  hijackthis.log   7,9К   143 Скачано раз

[mrbelyash]

В вирлаб
C:\Program Files\Internet Explorer\svcnost.exe
Фиксить в HJ
O4 - HKLM\..\Run: [act0] C:\Program Files\Internet Explorer\smss.exe
На вирустотал
c:\windows\system32\winagent.exe

Сообщение было изменено mrbelyash: 01 Декабрь 2009 - 16:45

[YVS]

Пофисите в хайджеке
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe
O4 - HKLM\..\Run: [act0] C:\Program Files\Internet Explorer\smss.exe

O20 - AppInit_DLLs: C:\WINDOWS\system32\lhGKi.dll

А это - в вирлаб
C:\Program Files\Internet Explorer\svcnost.exe

[v.martyanov]

CureIt'ом пройтись надо бы.

[Borka]

В вирлаб
C:\Program Files\Internet Explorer\svcnost.exe

Туда же:
C:\Program Files\Internet Explorer\smss.exe
c:\windows\system32\winagent.exe
C:\WINDOWS\system32\lhGKi.dll

[kibmastix]

Cureit не запускается. AVZ, Avast тоже.

[v.martyanov]

Cureit не запускается. AVZ, Avast тоже.

Чем мотивируют? А в Safe Mode?

[Borka]

Cureit не запускается.

"Чем мотивирует свой отказ?" (с)

[kibmastix]

"Чем мотивирует свой отказ?" (с)

либо вылетает банер, либо происходит перезагрузка ноута. Что в обычном, что в безопасном режиме

[v.martyanov]

Я бы попробовал пофиксить C:\WINDOWS\system32\lhGKi.dll и тут же запустить CureIt

[kibmastix]

В вирлаб
C:\Program Files\Internet Explorer\svcnost.exe

На вирустотал
c:\windows\system32\winagent.exe

C:\WINDOWS\system32\lhGKi.dll

как это сделать?

[v.martyanov]

http://vms.drweb.com/sendvirus - оные файлы прислать в категорию "Неопределяемый вирус".

[mrbelyash]

В вирлаб
C:\Program Files\Internet Explorer\svcnost.exe

На вирустотал
c:\windows\system32\winagent.exe

C:\WINDOWS\system32\lhGKi.dll

как это сделать?

На вирустотал не нужно-все в вирлаб (Прислать вирус)

[kibmastix]

Я бы попробовал пофиксить C:\WINDOWS\system32\lhGKi.dll и тут же запустить CureIt

пофиксил, все равно не запускается. При нажатии на прогу ничего не происходит. При запуске AVZ происходит перезагрузка

[v.martyanov]

Я бы попробовал пофиксить C:\WINDOWS\system32\lhGKi.dll и тут же запустить CureIt

пофиксил, все равно не запускается. При нажатии на прогу ничего не происходит

Переименовать в rundll32.pif и запустить тоже не выйдет?

[Borka]

как это сделать?

Загрузиться с внешнего носителя и руками скопировать. Есть предположение, что часть из этих файлов не даст себя даже увидеть на диске.

[Borka]

пофиксил,

Вы уверены? Повторите сканирование Хайджеком и убедитесь, что этих строк в логе нет.

[kibmastix]

Да, подцепили сегодня соседи по офису этот же вирус. Еще копирует свои файлы в разные папки и обзывается касперским (хотя каспер никогда на тех компьютерах не стоял)

да да, псевдокасперские файлы тоже были... а вылечить удалось?

[YVS]

alarm
Ваш запрос выделен в отдельную тему

[Дитрий Р52]

При попытке запустить какую-либо программу, кроме проводника, на весь экран открывается порно-баннер,
просящий отправить M20920007 на 3649.

При этом программа, как правило не запускается, а если запускается, то находится за баннером.
Если нажать сочетание клавиш Win+Break то порно-баннер скрывается, но появляется опять при любом запуске программы.

При прочтении этого сообщения меня посетило странное чувство... где-то я это уже видел

Может быть поможет мой опыт борьбы с таким баннером:
Мне удалось запустить программы при наличии такого баннера таким образом:
сразу после загрузки нажатием Win+R вызывается диалог выполнить
в нем пишется control userpasswords2 - OK
создается пользователь с паролем, добавляется в группу Администраторы
программы запускаются щелчком правой мышкой по ним и выбором "Запуск от имени...",
вводится имя этого пользователя м пароль. При этом баннер не запускается.