Вирус блокирует Диспетчер задач

[FlashMob]

Добрый день!
Словил вирус который блокирует Диспетчер задач, Антивирус Касперского и офф.сайты антивирусов! Также блокирует WM Keeper, при запуске пишет: Error while unpacking program, code LP5. Please report to author.
Пытался скачать CureIt не дает!
Запускается полиморфный AVZ.
RSIT запустился. Сделал отчет им.

[Farger]

Попробуйте запустить полиморфный AVZ http://gjf.hotbox.ru/svchost.pif

[SolarSpark]

Если не запустится полиморфный AVZ: нажмите пуск - выполнить в обзоре найдите AVZ и выберете его, далее, в строке допишите или скопируйте/вставьте (через пробел) AM=Y и нажмите ок, дальше по инструкции, обновить базы, сделать логи, не сможете обновить - делайте логи пока так..

[FlashMob]

полиморфный AVZ запустился, спасибо Farger
Дополнил первый пост.

[Farger]

Сейчас проверю логи.

[Farger]

У вас файловый вирус. Сначала пролечитесь, следуя этой инструкции: как лечить файловый вирусhttp://safezone.cc/forum/showthread.php?t=54

[FlashMob]

Farger, спасибо за информацию. Сейчас буду пробовать лечиться CureIT!

[FlashMob]

Итак, проверил DrWeb - CureIT! Вот статистика: http://i058.radikal.ru/1102/8e/499e5cd5835f.png
Но диспетчер все равно не открывается :not-me:

[Katharsis]

А теперь повторите логи (avz, rsit).
Но диспетчер все равно не открывается »
Пуск - выполнить cmd в окно консоли вставте следующий текст:
REG DELETE HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /f
нажмите enter

[Farger]

Но диспетчер все равно не открывается »

Не переживайте, исправим.

Теперь для пущей уверенности:

1. Запустите SalityKiller, инструкция здесьhttp://support.kaspersky.ru/viruses/solutions?print=true&qid=208636131 (http://)
2. После этого запустите AVZ, сделайте скрипт №2 и №3+новый RSIT и прикрепите их в ваше следующее сообщение.

[FlashMob]

Katharsis, спасибо большое! Диспетчер задач начал работать, но webmoney все равно не работает. :not-me:
Farger, у меня ссылка не открывается, вирус блочит сайты антивирусов.

[Katharsis]

Hijackthis (http://www.cyberforum.ru/attachment.php?attachmentid=61088&d=1296635331)
RSIT (http://www.cyberforum.ru/attachment.php?attachmentid=61048&d=1296593837)
salitykiller (http://www.cyberforum.ru/attachment.php?attachmentid=54487&d=1292510898)
avz (базы нужно обновить!!!) (http://www.cyberforum.ru/attachment.php?attachmentid=54322&d=1292428187)

[iskander-k]

Перед применением комбофикс обязательно сохраните ключи от webmoney в файл !!!

•Скачайте ComboFix (http://subs.geekstogo.com/ComboFix.exe) или здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) или здесь (http://www.forospyware.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://www.bleepingcomputer.com/forums/topic114351.html). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Как использовать ComboFix (http://virusnet.info/forum/showthread.php?t=2773)
Прим: В случае, если ComboFix не запускается, переименуйте combofix.exe в combo-fix.exe.

[FlashMob]

Farger, проверил SalityKiller не помогло, Вебмани так и не запускается. Хотя вирусов Virus.Win32.Sality.ag было очень много.
Проверил AVZ, RSIT, лог прикрепляю

[FlashMob]

iskander-k, сделал как вы и просили.

[Farger]

Диск Е - это у Вас флешка или компактдиск?
Какие сейчас у вас проблемы кроме неработающего WebMoney?
Пожалуйста, проверьте на virustotalhttp://www.virustotal.com/ следующие файлы:

C:\Program Files\Удалить.exe
C:\WINDOWS\system32\appmgmts.dll
C:\WINDOWS\system32\drivers\ngoon.sys

и результаты анализа запостите здесь, в вашем следующем сообщении.

Скачайте прикрепленный к сообщению ATF Cleaner.rar на рабочий стол. Запустите ATF Cleaner, поставьте галочку напротив Select All и нажмите Empty Selected.
- если вы используете Firefox, нажмите Firefox - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли;
- если вы используете Opera, нажмите Opera - Select All - Empty Selected;
- нажмите No, если вы хотите оставить ваши сохраненные пароли.

[iskander-k]

Почему не весь лог ?

Вебмани переустанавливали ?

• Скрипт AVZ.
Выполните скрипт AVZ. Меню Файл - Выполнить скрипт, вставляем написаный скрипт - кнопка Запустить, после выполнения компьютер перезагрузится.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\System Volume Information\_restore{3BD9A2CC-5338-450F-91D9-A0F0300A3D76}\RP256\A0079531.pif','');
QuarantineFile('D:\tafa.exe','');
QuarantineFile('C:\deqig.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\00023b78_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\00147899_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015b83d_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015b85d_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015b89b_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015b8ca_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015b947_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015ba12_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015bb0c_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015bbe7_rar\svchost.pif','');
QuarantineFile('c:\documents and settings\никита\local settings\temp\0015bd00_rar\svchost.pif','');
QuarantineFile('c:\program files\steam\steamapps\common\mafia ii - public demo\pc\mafia2.exe.bak','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079533.pif','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079863.pif','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079998.pif','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0080092.pif','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0081124.pif','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0081238.exe','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0081824.exe','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0081828.exe','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0081835.exe','');
QuarantineFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0082264.pif','');
QuarantineFile('d:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079531.pif','');
QuarantineFile('c:\autorun.inf','');
QuarantineFile('d:\autorun.inf','');
DeleteFile('c:\autorun.inf');
DeleteFile('d:\autorun.inf');
DeleteFile('c:\documents and settings\никита\local settings\temp\00023b78_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\00147899_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015b83d_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015b85d_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015b89b_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015b8ca_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015b947_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015ba12_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015bb0c_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015bbe7_rar\svchost.pif');
DeleteFile('c:\documents and settings\никита\local settings\temp\0015bd00_rar\svchost.pif');
DeleteFile('c:\program files\steam\steamapps\common\mafia ii - public demo\pc\mafia2.exe.bak');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079533.pif');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079863.pif');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079998.pif');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0080092.pif');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0081124.pif');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0081238.exe');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0081824.exe');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0081828.exe');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0081835.exe');
DeleteFile('c:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp257\a0082264.pif');
DeleteFile('d:\system volume information\_restore{3bd9a2cc-5338-450f-91d9-a0f0300a3d76}\rp256\a0079531.pif');
DeleteFile('C:\deqig.pif');
DeleteFile('D:\tafa.exe');
DeleteFile('D:\System Volume Information\_restore{3BD9A2CC-5338-450F-91D9-A0F0300A3D76}\RP256\A0079531.pif');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteRepair(8);
RebootWindows(true);
end.

После всех процедур выполните скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

[iskander-k]

• Скачайте Malwarebytes Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe), установите, обновите базы, выберите Perform Full Scan, нажмите Scan, после сканирования - Ok - Show Results (показать результаты) - нажмите Remove Selected (удалить выделенные). Откройте лог и скопируйте в сообщение.
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM (http://data.mbamupdates.com/tools/mbam-rules.exe).

[FlashMob]

Вирус удалил. Оказывается после сканирования SalityKiller, нужно было переустановить WebMoney и Касперского.
Сейчас поставил KIS 2011, выполняю полную проверку.
Спасибо всем большое. В особенности Farger, iskander-k.

[Farger]

В любом случае выполните лог AVZ выше и лог MBAM. Результаты сканирования скопируйте в сообщение.