пожалуйста, выручите с Packed.Generic.233

[kotzilla]

Здравствуйте!
3 дня назад на комп самостоятельно установилась прога, которая мгновенно объявила себя супер антивирем, "просканила" комп, найдя чего-то там и предложила зарегиться. SAV ее обнаружил и стал "бороться". Удалил не все. Я удалил все что смог и просканил комп CUREit`ом. Потом снес SAV и поставил SEP. И вот уже 3 дня он безуспешно пытается изгнать Packed.Generic.233!!! Находит его, просит ребута, после этого снова его находит и так далее... Уже и автовосстановление системы отключил и Temp чистил. Но после ребута в Temp снова появляются 2 файла - можт это они и есть. Файлы типа BN6(7,.tmp
Сегодня произвел все действия, которые описаны у вас в правилах.
Нужные файлы прилагаю.
Заранее благодарю!

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 QuarantineFile('C:\WINDOWS\system32\msword98.exe','');
 DeleteFile('C:\Documents and Settings\AMD\msword98.exe');
 DeleteFile('C:\WINDOWS\system32\msword98.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[kotzilla]

простите, но в карантине ничего нет. это нормально?
логи присылать?

[V_Bond]

да

[kotzilla]

я так понимаю, это ответ на оба вопроса...)))
логи высылаю

[kotzilla]

кстати, если это важно, то пока ничего не изменилось - Symantec все так же находит этот Packed.Generic.233
о! только теперь (вот прям сейчас) он написал "Исправлен путем удаления", вместо "Требуется перезагрузка"

[V_Bond]

выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\Ntfs.sys','');
 QuarantineFile('C:\WINDOWS\TEMP\BNF.tmp','');
 QuarantineFile('c:\windows\system32\braviax.exe','');
 QuarantineFile('c:\windows\temp\bnf.tmp','');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
 DeleteFile('c:\windows\temp\bnf.tmp');
 DeleteFile('c:\windows\system32\braviax.exe');
 DeleteFile('C:\WINDOWS\TEMP\BNF.tmp');
 DeleteFile('C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

[kotzilla]

карантин выслал
готовлю логи

[kotzilla]

высылаю логи

[kotzilla]

извините, пожалуйста! я очень благодарен, что вы тратите на меня время, но не можем ли мы продолжить завтра? очень спать хочется )))

[thyrex]

1. Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 TerminateProcessByName('c:\windows\temp\bn13.tmp');
 QuarantineFile('c:\windows\temp\bn13.tmp','');
 DeleteFile('c:\windows\temp\bn13.tmp');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

2. Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

3. C:\WINDOWS\system32\Drivers\Ntfs.sys заменить по этой методике

4. Обновите базы AVZ

5. Сделайте новые логи

[kotzilla]

карантин выслал. прошло?

Добавлено через 3 минуты

C:\WINDOWS\system32\Drivers\Ntfs.sys заменить по этой методике
насчет вот этого не очень понял. у меня окна ломаные и дистрибутива этого файла нет. что делать? новые логи делать?

[Rene-gad]

новые логи делать?

Зачем? Нужно файл заменить, он вирусом заражен. Откуда - ищите сами, сорри.

[kotzilla]

Еще раз провел чистку CUREit`ом
вот 2 записи касающиеся файла, который вы мне рекомендовали заменить:
1) ntfs.sys - C:\Windows\system32\dllcache - BackDoor.Bulknet.404 - Исцелен
2) ntfs.sys - C:\Windows\system32\drivers - BackDoor.Bulknet.404 - Исцелен

Так же найдено и удалено много чего другого. Есть скрин. Могу выслать.

[Rene-gad]

Есть скрин. Могу выслать.

Не надо, теперь логи по правилам давайте.

[kotzilla]

новые логи

и еще такой вопрос (если файл все таки невылечен). есть возможность получить ПО МЫЛУ незараженный файл. подойдет?

[Rene-gad]

и еще такой вопрос (если файл все таки не вылечен). есть возможность получить ПО МЫЛУ незараженный файл. подойдет?

Похоже, что вылечен. А в принципе - подойдет, если система - донор имеет тот же сервис пак и язык интерфейса.
В статье же про это написано.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-Пофиксите

O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe

-Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
 DeleteFile('C:\WINDOWS\system32\regedit.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.

После перезагрузки:

- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).

[kotzilla]

Прошу посмотреть всё ли нормально у меня

Вот 3 файла

После этого действия
"-Пофиксите
Код:
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe"
я перегрузил комп, согласно инструкции. Мастер оборудования нашел какое-то новое оборудование, хотя я ничего не "втыкал"
Теперь в "Оборудовании" числится какое-то неопознанное устройство.

ВАсе остальное сделал. Логи высылаю

карантин выслал

[Rene-gad]

Удалите Bonjour.
В логах ничего подозрительного. Жалобы есть?

Добавлено через 32 секунды

Теперь в "Оборудовании" числится какое-то неопознанное устройство

Удалите его.

[kotzilla]

Ну жалобы были только от антивиря ))
Пока все нормально, от Симантека срабатываний нет!
Огромное спасибо!!!!

А корректно будет поинтересоваться ЧТО ЭТО БЫЛО? И откуда у ЭТОГО ноги растут?