Решена trojan.mbrlock Injector.LHH

[VitacBlack]

Вирус требует деньги в национальной валюте Казахстана.
TDSSKiller удалил 1 файл, FixMBR не помогает, в реестре параметр Shell снова перезаписывается на C:\Documents and Settings\All Users\Application Data\ 22CC6C32.exe.
Файл с расширением .dta и с паролем virus имеется. Прошу помощи в разблокировке.

 

[Severnyj]

Как подготовить лог Universal Virus Sniffer (UVS) при загрузке с Windows PE

 

[S.R]

Файл с расширением .dta и с паролем virus имеется

Отошлите через веб-форму.

 

[VitacBlack]

Файлы прикрепляю

Отошлите через веб-форму.

Происходит ошибка.

 

[Severnyj]

Выполните скрипт в uVS:

;uVS v3.73 script [http://dsrt.dyndns.org]

addsgn 4A7867DB553A288D3ED4AEB164AC9B20258AFCF6BA3A9670D58686D33DA6102F5725C3F94F7CA68C953E5B09391B82CA421F45AB74B7553A310DDA537D0D24FC 8 
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\22CC6C32.EXE
chklst
delvir
rf %Sys32%\USERINIT.EXE
regt 12
czoo

После выполнения скрипта зайдите в папку где распакована UVS найдите архив имя которого отвечает дате и времени запуска скрипта (например:2011-06-30_22-04-27.7z) если архив отсутствует, то заархивруйте папку ZOO с паролем virus. И отправьте на адрес quarantine<at>safezone.cc(at=@) в заголовке (теме) письма укажите ссылку на тему где вам оказывается помощь.

 

[VitacBlack]

Severnyj, скрипт не выполняется, сообщает об ошибке или о невозможности выполнения.
Тело вируса 22CC6C32.EXE в запароленном архиве могу выслать отдельно.

 

[Severnyj]

Скрипт проверил, выполняется. Проверьте правильность копирования текста скрипта в буфер обмена. К тому же в вашей сборке LiveCD uvs устарела создайте свою или скачайте нашу сборку

Если не получится выполнить скрипт тогда, меняйте значения параметра Shell снова вручную и заменяйте файл USERINIT.EXE в директории system32 на оригинальный с дистрибутива.

Затем загрузка системы должна пройти без проблем.

 

[VitacBlack]

Severnyj, всё сделал. Вирус загружается. Файл отправил на указанный адрес с указанным паролем.

 

[Severnyj]

Вирус загружается

Не понял что сделали и какой результат

 

[VitacBlack]

Не понял что сделали и какой результат

Загрузился с Live CD и
1. Удалил файл из "C:\Documents and Settings\All Users\Application Data"
2. Исправил реестр.
3. Запустил "TDSSKiller"
4. Заменил "USERINIT.EXE"

 

[Severnyj]

Блокировщик все равно активен?

 

[VitacBlack]

Да активен. Не могу отправить файл на указанный адрес. Может отправить в личку?

 

[Severnyj]

Выклыдывайте на файлообменник, ссылку в личку.

Все-таки попытайтесь скачать наш LiveCD и сделать логи uVS из-под него, поскольку на Вашем uVS аж 3.46 версии - может не поддерживать команды скриптов из новых версий.

SafeZone Live CD
Как сделать загрузочную флешку
WinPE UVS на форуме ESET (мини-сборка)

 

[VitacBlack]

Все-таки попытайтесь скачать наш LiveCD

Пробовал и из под него.
Файл в файлообменнике. Ссылка на файлообменник отослана в личку.

 

[Severnyj]

Вопросы тогда
Из-под нашего скрипт все равно не выполнялся?
Как выполняете скрипт? Нужно скопировать текст скрипта затем в uvs, запущенной с выбором системы, например C:\Windows Выберите меню "Скрипт" => Выполнить скрипт находящийся в буфере обмена..."

Cделайте новые логи uVS с нашего или ESETовского Live

 

[VitacBlack]

Cделайте новые логи uVS с нашего

Приклепляю новый лог сделанный на uVS скачанного с форума.

 

[Severnyj]

Сейчас погляжу

Добавлено через 11 минут 0 секунд
Выполните скрипт в uVS

;uVS v3.73 script [http://dsrt.dyndns.org]

; C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\22CC6C32.EXE
addsgn 4A7867DB553A288D3ED4AEB164AC9B20258AFCF6BA3A9670D58686D33DA6102F5725C3F94F7CA68C953E5B09391B82CA421F45AB74B7553A310DDA537D0D24FC 8 

; C:\WINDOWS\SYSTEM32\TASKMGR.EXE
rf %Sys32%\USERINIT.EXE
chklst
delvir
rf %Sys32%\TASKMGR.EXE
czoo
regt 1
regt 2
regt 5
regt 12
regt 23
deltmp
delnfr

 

[VitacBlack]

Новый лог

 

[iskander-k]

Этих вирусов не видно. А что с проблемой ?

 

[VitacBlack]

Операционная система загрузилась без вируса.
Приклепляю логи.