WinLock (SMS-вымогатель)

[Budeniy]

Подхватил троян-вымогатель. При загрузке виндовс, на весь экран выводилось сообщение, что у меня на компьютере какой-то вирус и надо срочно отправить смс на указанный номер. В интернете прочитал, что через 2 часа троян сам удалится. На утро сообщение исчезло, но все диски, кроме системного(D, E, F) вдруг стали сменными и зайти на них нельзя, так же отключен диспетчер задач и редактор реестра. Cure it! ничего не находил. На вашем форуме нашел похожую тему, запустил пару скриптов в AVZ и сейчас диспетчер, реестр и диски D и F под моим контролем. Помогите полностью избавиться от вируса.

[okshef]

Budeniy, выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('E:\autorun.inf');
DeleteFile('E:\md.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После всех процедур обновите базы AVZ и повторите логи.

[Budeniy]

Выкладываю. Теперь у меня комп чист?

[okshef]

Еще один скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cscript.exe','');
QuarantineFile('C:\WINDOWS\system32\wuauclt.exe','');
QuarantineFile('C:\WINDOWS\system32\comres.dll','');
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll','');
DeleteFile('C:\WINDOWS\system32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\comres.dll');
DeleteFile('C:\WINDOWS\system32\wuauclt.exe');
DeleteFile('C:\WINDOWS\system32\cscript.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните второй скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
quarantine.zip из папки AVZ отправьте через форму http://support.kaspersky.ru/virlab/helpdesk.html. В строке "Подробное описание возникшей ситуации:" напишите пароль на архив "virus" (без кавычек), в строке "Электронный адрес:" укажите свой электронный адрес. Полученный ответ сообщите здесь.

Сделайте новые логи

[Budeniy]

Запрос отправил, но сразу же возникла проблема. После выполнения скрипта, при запуске любой программы вылазит сообщение " Приложению не удалось запуститься, поскольку COMRes.dll не был найден. Повторная установка приложения может исправить эту проблему". Если Фаерфокс и AVZ после нескольких тычков на "ок" все таки запустились, то много других прог не хотят работать :(
Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит антивирус с последними обновлениями. Письмо будет передано на рассмотрение вирусному аналитику. bcqr00001.ini, bcqr00002.ini, bcqr00003.ini, bcqr00004.ini, bcqr00005.ini, bcqr00006.ini, bcqr00007.ini, bcqr00008.ini, comres.dll, cscript.exe, sfcfiles.dll, wuauclt.exe Файлы в процессе обработки. С уважением, Лаборатория Касперского Вот получил такое письмо от касперского.

[okshef]

Откройте отображение скрытых и системных файлов и скопируйте из папки \WINDOWS\system32\dllcache\ в папку \WINDOWS\system32 файлы comres.dll, cscript.exe, sfcfiles.dll, wuauclt.exe, перезагрузитесь.
Ждем ответ из лаборатории Касперского.

[Budeniy]

У меня нет там такой папки. Вообще поиск comres.dll в папке \WINDOWS\ результата не дал.

[okshef]

Запустите AVZ, Файл - Карантин - восстановите файлы из карантина. У меня нет там такой папки. »
Либо вы не включили отображение скрытых и системных файлов, либо являйтесь "счастливым" обладателем супер-пупер-урезанной сборки Windows. Поздравляю!

[Budeniy]

А, ну я конечно же отношусь ко второму варианту :)

[thyrex]

Budeniy, скачайте архив из вложения. В нем нужные файлы

[akok]

Если не помогут рекомендации thyrex.

Попробуйте восстановить систему при помощи средства «Восстановление системы». (http://windows.microsoft.com/ru-RU/windows-vista/System-Restore-frequently-asked-questions)

[Drongo]

Budeniy, Выполните в AVZ такой скрипт. Компьютер перезагрузится.
Begin
CopyFile('%windir%\system32\dllcache\sfcfiles.dll', '%windir%\system32\sfcfiles.dll');
CopyFile('%windir%\system32\dllcache\comres.dll', '%windir%\system32\comres.dll');
CopyFile('%windir%\system32\dllcache\wuauclt.exe', '%windir%\system32\wuauclt.exe');
CopyFile('%windir%\system32\dllcache\cscript.exe', '%windir%\system32\cscript.exe');
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','SFCDisable',000000000);
ExecuteRepair(8);
ExecuteRepair(19);
RebootWindows(true);
end.

[Budeniy]

Что-то от касперского мне ничего не приходит(( Вот обнаружил очередную проблему: этот вирус как-то запретил доступ к некоторым файлам - не могу открыть PDF файл, раньше все открывалось...

[thyrex]

не могу открыть PDF файл, раньше все открывалось... »Что за сообщение выдает?

[Budeniy]

"Отказано в доступе"

[Drongo]

Budeniy, Прикрепите проблемный файл, небольшого размера или залейте на любой файлообменник.

[Budeniy]

Вотъ. У меня похоже вообще все pdf файлы перестали открываться.

[iskander-k]

У меня похоже вообще все pdf файлы перестали открываться. »
Этот pdf открывается без проблем. Попробуйте переустановить акробата.