Зависает курсор мыши при входе в игру BF2 [Backdoor.Win32.Rbot.aftu ]

[Барахольщик MSK]

Здравствуйте,
Неделю назад вирус net-worm.win32.kido.ih удалялся, доступ к сайту virusinfo.info и сайту майкрософт был восстановлен программами AVZ и KVTM.
Сейчас проблема такая - зависает курсор мыши при входе в игру BF2 и только в мультиплеере.
Не знаю может опять какой-то вирус. KVTM пока не проверял так как всю ночь она работала помню часов 5-6.
Проверьте логи пожалуйста может там вирус какой снова.
У меня нет никаких интернет фильтров, компьютер на них притормаживает.

AVZ - virusinfo_syscheck.zip его нет у меня в папке логов AVZ. Как мне его получить - непонятно, остальные файлы я нашёл и приложением прикрепил.

[Info_bot]

Уважаемый(ая) Барахольщик MSK, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Кидо очень любит пользователей с дырявыми системами, а потому ставьте Internet Explorer 8.0, иначе Кидо будет вечно жить с вами.

1. Загрузите GMER по одной из указанных ссылок:
   Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
2. Временно отключите драйверы эмуляторов дисков.
3. Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
4. Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
5. После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
   
   
   • Sections
   • IAT/EAT
   • Show all
6. Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
7. Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
8. После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
9. Подробную инструкцию читайте в руководстве

[Барахольщик MSK]

Спасибо сейчас буду делать всё. У меня тут АВЗ работает я скрипт №2 делаю, может этот virusinfo_syscheck.zip файл будет.
Я правильно делаю? Сейчас дождусь как он досканирует и всё сделаю.

1. Установил IE 8
2. Скачал GMER и запустил, выбрал диски C и G (это один и тот же диск на одной части которого установлен XP SP1 а на другой XP SP3, далее следовал инструкции и вот такая ерунда случилась см. фото. Когда отменил отладку программа GMER прекратила работу и закрылась.

Как мне быть? Можно и удалить Visual Studio там критичных работ нет, да и наверняка они останутся где то в архиве.

[mike 1]

Можно и удалить Visual Studio там критичных работ нет,

Закройте все неиспользуемые программы перед запуском GMER.

[Барахольщик MSK]

Сейчас попробую.


Всё повторилось. Сейчас выбрал только системный (активную часть системного - G) снова GMER вызвал отладчик Visual Studio (я там пытаюсь шкодить (программировать) по видеоурокам).
Может попробовать согласиться на отладку и посмотреть что будет? Не поможет - удалю. и GMER сканирование перезапущу тогда.

Пробовал с разделом С (неактивная часть системного, на котором XP SP1 и сама игра находится) всё тоже самое повторилось.


Вроде заработал GMER Scan - я отключил в Диспетчере задач "JTIdebugger", "sqlservr" и "sqlwriter" - они были устанавлены одним пакетом с Visual Studio и каждый раз видны в диспетчере. Принудительно их закрыл и GMER пошёл. Сейчас GMER старается сканирует по активному разделу G где XP SP3 установлен и я ещё по неактивному сейчас разделу С сделаю, где XP SP1 установлен и где непосредственно игра находится.

Скоро будут файлы от GMER.

Что-то GMER всё ещё сканирует, уже минут 5 (раздел G), как завершит , прикреплю результат.

[mike 1]

Попробуйте. Если не получится, то создайте ярлык для gmer, а в свойствах ярлыка в поле "Объект" в конце допишите -nodriver, сохраните и запустите gmer с созданного ярлыка.

[Барахольщик MSK]

Хорошо. GMER всё ещё сканирует и завозился с этим Visual Studio 2010, ему видимо это очень интересно. Буду ждать его.


И двух часов не прошло! Готово.



По сектору С этого же диска LOG доставлю попозже, может там что-то будет нужное.

[mike 1]

1. Откройте Блокнот и скопируйте в него текст скрипта

3w0ktoy9.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\apkfbrf"
3w0ktoy9.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\apkfbrf"
3w0ktoy9.exe -reboot

2. Нажмите Файл - Сохранить как
3. Выберите папку, в которую сохранили 3w0ktoy9.exe (gmer)
4. Укажите Тип файла - Все файлы (*.*)
5. Введите имя файла cleanup.bat и нажмите кнопку Сохранить
6. Запустите cleanup.bat

ВНИМАНИЕ: Компьютер перезагрузится!!!

Сделайте новый лог gmer

[Барахольщик MSK]

Инструкцию выполнил. Сейчас жду LOG. Будет примерно через 2 часа.

[mike 1]

Просьба отвечать тогда когда лог уже готов. Мне не удобно отслеживать темы, где через час что-то добавляют.

[Барахольщик MSK]

Я понял. Инструкцию выполнил. Повторный GMER *LOG готов.

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Барахольщик MSK]

Готово.

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM\...\Policies\Explorer\Run: [C41BD815-CD67-4F8B-9B67-F610292FD4FC] => G:\Documents and Settings\Admin\Application Data\Adobe\NativePlugin\OOBA\PPAPI\C41BD815-CD67-4F8B-9B67-F610292FD4FC\B9E55082-9A71-4B27-A9F6-631816A88AD6.exe [938992 2016-06-08] ()
   G:\Documents and Settings\Admin\Application Data\Adobe\NativePlugin\OOBA\PPAPI\C41BD815-CD67-4F8B-9B67-F610292FD4FC
   HKU\S-1-5-21-1614895754-1454471165-1417001333-1003\...\Run: [C41BD815-CD67-4F8B-9B67-F610292FD4FC] => G:\Documents and Settings\Admin\Application Data\Adobe\NativePlugin\OOBA\PPAPI\C41BD815-CD67-4F8B-9B67-F610292FD4FC\B9E55082-9A71-4B27-A9F6-631816A88AD6.exe [938992 2016-06-08] ()
   CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
   NETSVC: apkfbrf -> no filepath.
   StandardProfile\GloballyOpenPorts: [4349:TCP] => Enabled:xqprwvh
   EmptyTemp:

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

[Барахольщик MSK]

Сделал.

Я на разделе С не могу настройки сетевой карты проверить, комп виснет когда вызываю -Сетевые подключения/Свойства/Настроить. У меня сетевая карта настроена на пакеты 8 кб. и 10 мбит/сек полудуплекс, так как в ней какие то неполадки были, если 100мбит/сек полный дуплекс включать то связь постоянно разрывалась и потом подключение происходило заново и так много-много раз на всём протяжении интернет-сессии.

Ещё 1 баг вылез - когда я выбираю операционную систему на разделе С у меня комп также виснет и не могу зайти туда, но удалось в безопасном режиме правда делать там в нём нечего. Также при выборе ОС на разделе G всё стопорится и зависает, а если ждёшь таймер и ничего не трогаешь, то Ос на разделе G загружается нормально. Такая картина короче. Хотел АВЗ или KVTM запустить на разделе С непосредственно где игра находится и ОС XP SP1, но не получилось.

Синяя проблема решилась после отключения всех девайсов от ПК -телефона, флешки, вебкамеры. Принтер выключен - там наверное тоже есть память какая-то где вирус мог отсидеться - поэтому я все девайсы сразу подключил перед проверками.

[mike 1]

Я думаю эти проблемы с вирусами не связаны. В идеале конечно лучше систему обновить, т.к. XP уже давно снята с поддержки.

[Барахольщик MSK]

Ясно. На разделе G в общем проблем не было. Мне вот удалось запустить АВЗ на разделе С, собственно там глюки с игрой. Посмотрите файлы АВЗ пожалуйста там он на что-то ругался вроде.

Вопрос такой/идея: Почему вы через удалённый доступ не заходите и не лечите ПК? Это же намного удобней и быстрей.

[mike 1]

Ну здесь вообще раритет какой-то.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 TerminateProcessByName('c:\windows\system32\ssms.exe');
 QuarantineFile('c:\windows\system32\ssms.exe','');
 DeleteFile('c:\windows\system32\ssms.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','Windows Update');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

В обязательном порядке скачайте и установите все обновления безопасности windows + SP3.
Особенное внимание обратите на эти заплатки
MS08-067
MS08-068
MS09-001

Установите Internet Explorer 8

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Загрузите GMER по одной из указанных ссылок:
   Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)
2. Временно отключите драйверы эмуляторов дисков.
3. Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
4. Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.
5. После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
   
   
   • Sections
   • IAT/EAT
   • Show all
6. Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
7. Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
8. После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.
   
   !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
9. Подробную инструкцию читайте в руководстве

[Барахольщик MSK]

IE 8 не могу на раздел С установить так как надо будет обновлять до XP SP2. В этом случае вскроются дефекты видеокарты и игра не будет работать. На XP SP1 эти дефекты проявляются крайне редко, с этой целью он у меня и установлен в первозданном виде. Соответственно заплаты установить тоже не могу - они требуют обновления до XP SP2. OS Vista тоже не подходит, ставил её но дефекты видеокарты проявляются также как и на XP SP2 или SP3. Дефекты - гаснет экран или зависает комп целиком. Поэтому играть в BF2 можно только на разделе С с установленным XP SP1.

Файлы после выполненных скриптов. Хайджек запускался из активного раздела С с диска D (там папка со всеми файлами антивирусов) но почему то он изучает неактивный раздел G, где XP SP3, а не раздел С с установленным XP SP1. Может он тоже не видит старенькую ОС на разделе C?

Добавил GMER LOG.

Там он красным выделил какой-то сервис ***hidden*** и указал на файл rrucp.dll в папке C/Windows/system32 кажется. Но я не стал ничего удалять дождался лога и оставил всё как есть.