66 ответов в этой теме

[Влади]

Заранее прошу прощения, если что-либо нарушаю - впервые у Вас.
Ситуация: сегодня ночью вернулся домой, включаю комп; по центру экрана окошко по типу баннера, на нем фото в стиле ню; и текст.
Текст: Вы установили банер для доступа на наш сайт. Срок действия банера 30 дней. Если вы хотите прекратить действие банера ранее установленного срока, то отправьте SMS по указанному номеру и введите код удаления. Суппорт. Отправьте SMS с текстом 733167 на номер 9800. Введите полученный код: ( ) удалить банер

По-возможности, пытался придерживаться формы этого хххх банера
Понятно, что никакие баннеры я не устанавливал.
В-принципе, мог и плюнуть на это, но - ие не работал, мозила также, tskmgr также, окна вообще не открывались!
др.веб либо блокирован, либо не видит этого. Все иконки в панели быстрого запуска и в трее активны, но где то, что они выполняли - хз, при нажатии ровным счетом ничего не происходило. Посидел, подумал... Позвонил оператору - номер 9800 зареген на ООО Инкормедиа, сайт: ...... (не работает), телефон +7-495-7898538 - никто не берет трубку, в начале идет сообщение авто-информатора, что в целях ла-ла-ла и ла-ла-ла все разговоры записываются.
Делать нечего, отправил смс. Сняли со счета 300 рур, пришел в смс-ке номер - соответственно, ввел его. Далее текст на экране изменился на следующий: Ваш код для удаления был принят. Отправьте, пожалуйста, еще одну смс для подтверждения того, что вам исполнилось 18 лет. Обратите внимание на то, что текст смс для отправки изменился. Суппорт. Отправьте SMS с текстом 733161 на номер 9800. Введите полученый код: ( ) Удалить банер; Взбесился... но делать нечего - пришлось еще 300 рур подарить... Ввел второй код, баннер исчез, но система сказала ку-ку. Восстановил с "последней работоспособной конфы.
Кнопочка Суппорт; после удаления этого баннера и восстановления системы выкинула меня вот сюда: http:/.... Прочитал, поржал, расстроился. Собственно, сам вопрос: что со всем этим делать? Ясно, что проблема не в 600 рур, хотя и их нашел бы как потратить на что-либо более нужное. Представил количество людей, попавших на этот банер, умножил на *600 - и стало хреновенько. Хочу наказать этих господ комбинаторов, вот ссылка: https://www.virustotal.com/ru/analisis/9d68...c017-1261181443 на один из файлов, на который ругнулся дрвеб
 hijackthis.log   13,35К   210 Скачано раз  hijackthis.rar   4,32К   184 Скачано раз

ЗЫ гражданам модераторам: если вдруг не там запостил или не так назвал - переместите/измените плиз по своему усмотрению
ЗЗЫ появилось это: Источник: MS DTC Категория: ТМ Код(ID): 2444 MS DTC запустился со следующими настройками: Настройка безопасности (OFF = 0 и ON = 1): Сетевое администрирование транзакций = 0, Сетевые клиенты = 0, Входящие распределенные транзакции по протоколу Native MSDTC Protocol = 0, Исходящие распределенные транзакции по протоколу Native MSDTC Protocol = 0, Протокол TIP = 0, Транзакции XA = 0

 drw_results.cab   116,39К   187 Скачано раз

Прикрепленные файлы:

•  Report_RKU.rar   4,75К   87 Скачано раз

Сообщение было изменено maxic: 19 Декабрь 2009 - 18:31
придал читаемость тексту

[ezzo]

Ладно, а логи где?

[Влади]

Ладно, а логи где?

добавляю их
извини, что медленно
смотри 1 пост

[Driver]

Ладно, а логи где?

добавляю их
извини, что медленно
смотри 1 пост

R3 - URLSearchHook: (no name) - - (no file) пофиксить


F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe   это в вирлаб

 после запятой ничего не должно быть

[Влади]

добавил drw_results.cab

Ладно, а логи где?

добавляю их
извини, что медленно
смотри 1 пост

R3 - URLSearchHook: (no name) - - (no file) пофиксить


F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe это в вирлаб

после запятой ничего не должно быть

извини - нифига не понял
что с чем делать и как?

ЗЫ граждане модеры, поправьте плиз 1 пост, чтот я там накосячил

[Driver]

R3 - URLSearchHook: (no name) - - (no file) пофиксить в хайджеке

файл svcnost.exe , где путь C:\Program Files\Internet Explorer\svcnost.exe отправить в вирлаб


F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe
здесь удалить всё что написано после запятой

[Влади]

R3 - URLSearchHook: (no name) - - (no file) пофиксить в хайджеке

сделал

файл svcnost.exe , где путь C:\Program Files\Internet Explorer\svcnost.exe отправить в вирлаб

как это сделать?

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe
здесь удалить всё что написано после запятой

как это сделать?
ЗЫ нашел в корне С: такой файлик - tjpbbraqx3ha.exe
поиском в нете ничего о нем не нашел... время создания файла - плюс минута после проявления вируса/трояна

[Driver]

R3 - URLSearchHook: (no name) - - (no file) пофиксить в хайджеке

сделал

файл svcnost.exe , где путь C:\Program Files\Internet Explorer\svcnost.exe отправить в вирлаб

как это сделать?

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe
здесь удалить всё что написано после запятой

как это сделать?
ЗЫ нашел в корне С: такой файлик - tjpbbraqx3ha.exe
поиском в нете ничего о нем не нашел... время создания файла - плюс минута после проявления вируса/трояна

Файл  svcnost.exe , который находится C:\Program Files\Internet Explorer\svcnost.exe, надо заархивировать поставить пароль virus и отправить https://vms.drweb.com/sendvirus/


Потом можно пофиксить в хайджеке F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe

[Driver]

tjpbbraqx3ha.exe проверить на virustotal

[Влади]

Файл svcnost.exe , который находится C:\Program Files\Internet Explorer\svcnost.exe, надо заархивировать поставить пароль virus и отправить https://vms.drweb.com/sendvirus/

при попытке выделить этот файл просыпается дрвеб и удаляет файл, через некоторое время файл снова появляется
как быть?

[Driver]

Файл svcnost.exe , который находится C:\Program Files\Internet Explorer\svcnost.exe, надо заархивировать поставить пароль virus и отправить https://vms.drweb.com/sendvirus/

при попытке выделить этот файл просыпается дрвеб и удаляет файл, через некоторое время файл снова появляется
как быть?

Значит Доктор знает его? Пофиксить F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe


Отключиться от сети и просканировать сканером диск С

[Влади]

Файл svcnost.exe , который находится C:\Program Files\Internet Explorer\svcnost.exe, надо заархивировать поставить пароль virus и отправить https://vms.drweb.com/sendvirus/

при попытке выделить этот файл просыпается дрвеб и удаляет файл, через некоторое время файл снова появляется
как быть?

Значит Доктор знает его? Пофиксить F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Program Files\Internet Explorer\svcnost.exe


Отключиться от сети и просканировать сканером диск С

пофиксил
среди О9 есть какойто файл "но нэйм"
его нада фиксить?
ушел сканить, досканю и вернусь

[Driver]

Не надо

[mrbelyash]

Как фиксить описано здесь http://wiki.drweb.com/index.php/HijackThis

O20 - Winlogon Notify: reset5 - reset5.dll (file missing)
O23 - Service: d2cs service (d2cs) - Unknown owner - K:\diablo2\pvpgn-1.8.2\d2csConsole.exe (file missing)
O23 - Service: d2dbs service (d2dbs) - Unknown owner - K:\diablo2\pvpgn-1.8.2\d2dbsConsole.exe (file missing)
-фиксить мусор

Сообщение было изменено mrbelyash: 19 Декабрь 2009 - 18:32

[Влади]

просканил еще раз
снова на первом из трех этапов найден троян в С:\windows\system32\netprotocol.dll(дрвеб его переназвал, щас он netprotocol.#ll)
неизлечим, незнаю что с ним делать...


 drw_results.cab   116,33К   183 Скачано раз

[Влади]

Как фиксить описано здесь http://wiki.drweb.com/index.php/HijackThis

O20 - Winlogon Notify: reset5 - reset5.dll (file missing)
 O23 - Service: d2cs service (d2cs) - Unknown owner - K:\diablo2\pvpgn-1.8.2\d2csConsole.exe (file missing)
 O23 - Service: d2dbs service (d2dbs) - Unknown owner - K:\diablo2\pvpgn-1.8.2\d2dbsConsole.exe (file missing)
 -фиксить мусор

спасибо, пофиксил

[mrbelyash]

Я не пойму,а почему вы не хотите лечить
>c:\program files\internet explorer\svcnost.exe infected with Trojan.Siggen.37577
и игнорите?

C:\WINDOWS\system32\netprotocol.#ll infected with Trojan.Click.37869 -лечить (в данном случае он будет удален и это нормально)

[Влади]

Я не пойму,а почему вы не хотите лечить
>c:\program files\internet explorer\svcnost.exe infected with Trojan.Siggen.37577
и игнорите?

при попытке его выделить он блокируется дрвеб*ом и исчезает, через некоторое время появляется снова

C:\WINDOWS\system32\netprotocol.#ll infected with Trojan.Click.37869 -лечить (в данном случае он будет удален и это нормально)

нажимаю лечить, мне пишет - неизлечим, жму удалить - из окна сканера он исчезает, но из папки с:\вин\сис32\ он никуда не исчезает
при попытке его удалить руками "отказано в доступе"(с)
при попытке открыть и удалить его содержимое "отказано в доступе"(с)
что посоветуете?

[mrbelyash]

Я не пойму,а почему вы не хотите лечить
>c:\program files\internet explorer\svcnost.exe infected with Trojan.Siggen.37577
и игнорите?

при попытке его выделить он блокируется дрвеб*ом и исчезает, через некоторое время появляется снова

C:\WINDOWS\system32\netprotocol.#ll infected with Trojan.Click.37869 -лечить (в данном случае он будет удален и это нормально)

нажимаю лечить, мне пишет - неизлечим, жму удалить - из окна сканера он исчезает, но из папки с:\вин\сис32\ он никуда не исчезает
при попытке его удалить руками "отказано в доступе"(с)
при попытке открыть и удалить его содержимое "отказано в доступе"(с)
что посоветуете?

Должен был появится запрос о перезагрузке..Если его не было то перезагрузите машину самостоятельно(Пуск-Завершение работы)

[Влади]

с помощью unlocker assistant разблокировал netprotocol.dll, отправил в вирлаб и удалил

как восстановить все измененное трояном?

знатокам вопрос, что это значит:

MS DTC запустился со следующими настройками:

Настройка безопасности (OFF = 0 и ON = 1):
Сетевое администрирование транзакций = 0,
Сетевые клиенты = 0,
Входящие распределенные транзакции по протоколу Native MSDTC Protocol = 0,
Исходящие распределенные транзакции по протоколу Native MSDTC Protocol = 0,
Протокол TIP = 0,
Транзакции XA = 0

так должно быть или нет?
время изменения MS DTC совпадает со временем появления банера

последний скан:
 drw_results.cab   107,4К   172 Скачано раз