rvs (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

[ Закрыто] Заблокирован доступ к рабочему столу Windows

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 26.09.2012 16:14:18

Ну баннер пропал, я об этом еще три сообщения назад написал. Так что проблему наверно можно считать решенной

Перейти

[ Закрыто] Заблокирован доступ к рабочему столу Windows

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 26.09.2012 16:10:34

Скрипт сделал, mbam проверил...
Нашлось еще два. Вот результат:

Код
Malwarebytes Anti-Malware (Пробная версия) 1.65.0.1400 www.malwarebytes.org Версия базы данных: v2012.09.26.05 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Roman :: RVS [администратор] Защитный модуль : Включен 26.09.2012 15:56:50 mbam-log-2012-09-26 (15-56-50).txt Тип сканирования: Быстрое сканирование Опции сканирования включены: Память \| Запуск \| Реестр \| Файловая система \| Эвристика/Дополнительно \| Эвристика/Шурикен \| PUP \| PUM Опции сканирования отключены: P2P Просканированные объекты: 213769 Времени прошло: 7 минут , Обнаруженные процессы в памяти: 0 (Вредоносных программ не обнаружено) Обнаруженные модули в памяти: 0 (Вредоносных программ не обнаружено) Обнаруженные ключи в реестре: 1 HKCR\idid (Trojan.Sasfix) -> Помещено в карантин и успешно удалено. Обнаруженные параметры в реестре: 0 (Вредоносных программ не обнаружено) Объекты реестра обнаружены: 0 (Вредоносных программ не обнаружено) Обнаруженные папки: 0 (Вредоносных программ не обнаружено) Обнаруженные файлы: 1 C:\Documents and Settings\Roman\Application Data\wiaserva.log (Malware.Trace) -> Помещено в карантин и успешно удалено. (конец)

Код

Malwarebytes Anti-Malware (Пробная версия) 1.65.0.1400
www.malwarebytes.org

Версия базы данных:  v2012.09.26.05

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Roman :: RVS [администратор]

Защитный модуль : Включен 

26.09.2012 15:56:50
mbam-log-2012-09-26 (15-56-50).txt

Тип сканирования:  Быстрое сканирование 
Опции сканирования включены: Память | Запуск | Реестр | Файловая система | Эвристика/Дополнительно | Эвристика/Шурикен | PUP | PUM
Опции сканирования отключены: P2P
Просканированные объекты:  213769
Времени прошло:  7 минут , 

Обнаруженные процессы в памяти:  0
(Вредоносных программ не обнаружено) 

Обнаруженные модули в памяти:  0
(Вредоносных программ не обнаружено) 

Обнаруженные ключи в реестре:  1
HKCR\idid (Trojan.Sasfix) -> Помещено в карантин и успешно удалено.

Обнаруженные параметры в реестре:  0
(Вредоносных программ не обнаружено) 

Объекты реестра обнаружены:  0
(Вредоносных программ не обнаружено) 

Обнаруженные папки:  0
(Вредоносных программ не обнаружено) 

Обнаруженные файлы:  1
C:\Documents and Settings\Roman\Application Data\wiaserva.log (Malware.Trace) -> Помещено в карантин и успешно удалено.

(конец)

Перейти

[ Закрыто] Заблокирован доступ к рабочему столу Windows

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 26.09.2012 10:53:03

Проделал пока следующее:
- запустил Windows Live CD (нашел у себя), попытался подключать флэшку с uVS (и до загрузки, и после) - безуспешно;
- пытался соединение с Интернетом установить - безуспешно;
- проверка реестра (regedit) - ничего не найдено лишнего;
- ручная чистка всех папок temp в корневой папке и во всех подкаталогах, чистка истории браузера, удаление всех неизвестных файлов и логов (скрытых и системных тоже), которые появились примерно в момент появления winlocka (в коммандере строил списки по времени) - помогло!
Результат: система запустилась в нормальном режиме, баннер отсутствует.

Далее запустил на активной системе uVS, зашел под текущим пользователем. Сохранил образ автозапуска, лог высылаю:
http://rghost.ru/40580123

Перейти

[ Закрыто] Заблокирован доступ к рабочему столу Windows

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 26.09.2012 00:20:25

Здравствуйте!
Поймал сегодня баннер, несмотря на работающий nod32... Комп загружается, появляется заставка рабочего стола (без иконок), а затем баннер: "положите 2000 р. на МТС, а на чеке, типа, прочитаете код разблокировки".
Загрузился в безопасном режиме (под пользователем) - появляется все равно тот самый баннер, а если под администратором - то безопасный режим работает всего пару минут, а потом ПК просто вырубается. Пытался за это время успеть полазить по реестру - в автозагрузках ничего интересного не нашел. Запускал NOD в безопасном режиме (в учетной записи администратора), но ничего не нашлось.

Затем на форуме пытаюсь скачать образ для создания WinPE&uVS - но ссылка выдает ошибку 509, ничего скачать не получается.
Подскажите, если я буду использовать другой "Live CD", а затем с флэшки скину и запущу uVS - так прокатит?

И нет ли каких "ручных" способов борьбы, а то зараженный комп у меня находится в отдаленной местности и не факт, что с него получится выйти в сеть и отправить лог. Спасибо.
-----------
баннер просит 2000 руб. на счет МТС

Перейти

[ Закрыто] Trojan.Downloader.Carberp.AD помогите удалить

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 11.05.2012 18:13:33

Спасибо, помогло. Визуально никаких посторонних неудаляемых фалов не нахожу, в автозагрузке ничего нет.
Но mbam вот чего пишет:

Обнаруженные файлы: 1
C:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> Действие не было предпринято.

Вручную файл удалился, размер его был 0. Пока вроде не появляется.

Перейти

[ Закрыто] Trojan.Downloader.Carberp.AD помогите удалить

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 11.05.2012 17:23:14

Здравствуйте!

Вот лог:

Перейти

[ Закрыто] Trojan.Downloader.Carberp.AD помогите удалить

Сообщений: 7

Баллов: 3

Регистрация: 11.05.2012

Размещено 11.05.2012 16:55:10

Здравствуйте!
У меня та же проблема, только что истекла лицензия, не успел продлиться и тут же словил его...
Никакие из известных методов не помогли. Помогите пожалуйста.

Вот мои логи:

Перейти