[решено] вирус "Вы выиграли бонус! Получите 50 бесплатных смс и 15 минут общения во всех сетя"

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

вирус "Вы выиграли бонус! Получите 50 бесплатных смс и 15 минут общения во всех сетя"

Здравствуйте! Пару дней назад подцепил вирус. При открытии любого сайта в браузере появляется сообщение:
"Вы выиграли бонус! Получите 50 бесплатных смс и 15 минут общения во всех сетях" и происходит переход на mybackdoor.нет.
Логи прилагаю, надеюсь на вашу помощь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin

ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

SearchRootkit(true, true);

SetAVZGuardStatus(True);

 QuarantineFile('C:\Windows\system32\hbeqiyf.dll','');

 QuarantineFile('C:\Windows\system32\zhycbqk.dll','');

 DeleteFile('C:\Windows\system32\hbeqiyf.dll');

 DeleteFile('C:\Windows\system32\zhycbqk.dll');

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

BC_ImportAll;

ExecuteSysClean;

BC_Activate;

 ExecuteWizard('SCU',2,3,true);

RebootWindows(true);

end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin

 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 

 end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Код:

O20 - AppInit_DLLs: C:\Windows\system32\hbeqiyf.dll

Сделайте новый комплект логов AVZ и RSIT и прикрепите к следующему сообщению новые логи virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt

Скачайте Malwarebytes' Anti-Malware или с зеркала, установите (во время установки откажитесь от использования Пробной версии), обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

Код:

%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: mbam-log-2012-11-09 (07-32-51).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.
Подробнее читайте в руководстве

Все сделал кроме

Цитата:

Цитата alex_sev

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код:
O20 - AppInit_DLLs: C:\Windows\system32\hbeqiyf.dll »

т.к. такой строки не нашел
новые логи сделал

Проблема решена?

Цитата:

Цитата thyrex

Проблема решена? »

Вроде бы да, вот только не понял как она была решена к сожалению, т. к. MBAM при сканировании нашел 6-7 вирусов и я с ними ничего не делал... как быть подскажите, пожалуйста

Ничего с ними не нужно делать. МВАМ частенько излишне подозрителен

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
Скопируйте содержимое файла в свое следующее сообщение.

Подробнее читайте в этом разделе форума поддержки утилиты.

Security Check by glax24 version 0.1.5.47 beta
WebSite: www.safezone.cc
DataLog 16.12.2012 18:37:27
Program directory: C:\Users\Geywey\AppData\Local\Temp\SecurityCheck\
Log directory: C:\SecurityCheck\
IsAdmin: True
XML File - VersionInet=1.7
__________________________________________________

WIN_7(6.1) Build 7601 (x86) Ultimate Lan:0419
Service Pack 1
Internet Explorer 9.0.8112.16421
-------------Windows------------------------------
Контроль учётных записей пользователя отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^
Загружать автоматически обновления и устанавливать по заданному расписанию
Дата установки обновлений: 2012-12-12 06:00:56
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
-------------Antivirus_WMI------------------------
Microsoft Security Essentials
Антивирус обновлен
-------------Firewall_WMI-------------------------
-------------AntiSpyware_WMI----------------------
Microsoft Security Essentials
Windows Defender
-------------AntiVirusFirewallInstall-------------
Microsoft Security Essentials v.4.1.522.0
-------------OtherUtilities-----------------------
CCleaner v.3.05
Malwarebytes Anti-Malware, версия 1.65.1.1000 v.1.65.1.1000
-------------Java---------------------------------
Java 7 Update 9 v.7.0.90
-------------AppleProduction----------------------
##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Служба остановлена
-------------AdobeProduction----------------------
Adobe Flash Player 11 ActiveX v.11.5.502.135
Adobe Flash Player 11 Plugin v.11.5.502.135
Adobe Shockwave Player 11.6 v.11.6.7.637 Внимание! Скачать обновления
-------------Browser------------------------------
Google Chrome v.23.0.1271.97
Mozilla Firefox 17.0.1 (x86 ru) v.17.0.1
Opera 12.01 v.12.01.1532 Внимание! Скачать обновления
-------------RunningProcess-----------------------
C:\Program Files\Mozilla Firefox\firefox.exe v.17.0.1.4715
-------------EndLog-------------------------------

Цитата:

Контроль учётных записей пользователя отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

рекомендую включить.

Цитата:

Adobe Shockwave Player 11.6 v.11.6.7.637 Внимание! Скачать обновления

Цитата:

Opera 12.01 v.12.01.1532 Внимание! Скачать обновления

обязательно обновите.

+ Выполните Рекомендации после лечения.

Все рекомендации выполнил.
Всем большое спасибо за помощь.