вирус или троян services.exe Помогите!

[Pavel207]

При заходе на один известный сайт (snowboarding.ru) залетела куча виручов и процесс services.exe постоянно пытается внедриться, пока фаервол его блокирует. Также пересали запускаться при загрузке компа антивирь и фаервол. Ну и ещё много всякой бяки.

[Rene-gad]

Выполните проверку AVPTool (ссылка в подписи), потом повторите логи.

[Pavel207]

проверку AVPTool выполнил, нашлась куча троянов, всё почистил.
Но файл services.exe всё ещё сидит в папке windows, и ни как не удаляется. Так же постоянно вылезает окно фаервола "процесс запрашивает сетевой доступ" к файлу vmmreg32.dll

[Pavel207]

кстати файл vmmreg32.dll ни каким образом не находится, но фаервол постоянно на него ругается.

[Rene-gad]

Скачайте IceSword , поищите и скопируйте файлы:

 C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('VIDEO');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
 DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Включите AVZPM
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Pavel207]

из вашего списка не найдено:
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.bkp

остальные скопировал, но в карантин они не сохраняются.

после неудачных попыток их сохранить в карантин, файлы по вашему списку я удалил с помощью force delete

далее, ваш скрипт не выполняется, выдаётся ошибка:
Ошибка скрипта: ';' expected, позиция [25:4]

что делать?

[Rene-gad]

далее, ваш скрипт не выполняется, выдаётся ошибка:
Ошибка скрипта: ';' expected, позиция [25:4]

Ошибку исправил , сорри.
Повторите запуск скрипта.

[Pavel207]

карантин закачал, логи прикрепил.

после перезагрузки компа выдётся следующее сообщение windows: "не удалось открыть следующие файлы: winhelp32.bkp"

к тому же вот что выдаёт AVZ:
7. Эвристичеcкаяпроверкасистемы
Подозрениенаскрытуюзагрузкубиблиотекчерез AppInit_DLLs: "C:\WINDOWS\SYSTEM32\vmmreg32.dll"
>>> C:\WINDOWS\services.exe ЭПС: подозрение на Файл с подозрительным именем (высокая степень вероятности)

9. Мастер поиска и устранения проблем
>> Некорректный элемент автозапуска

[Rene-gad]

IceSword , поищите и скопируйте файлы:

 C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
 QuarantineFile('C:\WINDOWS\services.exe','');
 DeleteFile('C:\WINDOWS\services.exe');
 BC_DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportAll;
ExecuteSysClean;
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', 'REG_EXPAND_SZ', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', 'REG_EXPAND_SZ', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Скачайте http://www.glarysoft.com/rr.html и почистите реестр.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Включите AVZPM
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[Pavel207]

карантин прислал, логи прилагаю.

из тех файлов которые вы предложили поискать и скопировать IceSwordом ничего не найдено. Единственное вызывает сомнение файл сидящий здесь:C:\WINDOWS\SYSTEM32\webmin\ под названием winhelp32.bkp т.к. Create time его 2008-08-21 13:35:17 , а это примерно то время когда и начались проблемы.

И ещё, после загрузки windows фаервол и антивирус (и ещё парочка нужных прог) не запускаются автоматически, только ручками. Не подскажете как это исправить?

[Rene-gad]

Единственное вызывает сомнение файл сидящий здесь:C:\WINDOWS\SYSTEM32\webmin\ под названием winhelp32.bkp

Надо и его удалить.
-Пофиксите

O20 - AppInit_DLLs: C:\WINDOWS\SYSTEM32\vmmreg32.dll

- Выполните скрипт

begin
executerepair(7);
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.

После перезагрузки проинформируйте о состоянии ПК.

[Pavel207]

всё сделал, проблем вроде бы больше не наблюдаю, но фаервол и антивирь всё равно не запускаются автоматически, а вот punto swicher стал запускаться сам.
И ещё, в "моём компьютере" появился значок веб-папки, хотя его там раньше не было.

[V_Bond]

автозагрузку можно поправить этим ...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\services.exe - Trojan.Win32.Agent.zvp (DrWEB: Trojan.Packed.573)
  2. c:\\windows\\system32\\vmmreg32.dll - Trojan.Win32.BHO.gcs (DrWEB: Trojan.Click.20003)
  3. c:\\windows\\system32\\webmin\\video.bkp - Trojan-PSW.Win32.Agent.kon (DrWEB: Trojan.Click.20003)
  4. c:\\windows\\system32\\webmin\\vmmreg32.bkp - Trojan.Win32.BHO.gcs (DrWEB: Trojan.Click.20003)
  5. c:\\windows\\system32\\webmin\\winhelp32.exe - Trojan-PSW.Win32.Agent.koo (DrWEB: Trojan.PWS.Clever.
  6. c:\\windows\\system32\\winhelp32.exe - Trojan-PSW.Win32.Agent.koo (DrWEB: Trojan.PWS.Clever.