Показано с 1 по 20 из 20.

Помогите убрать вирус! (заявка № 115200)

  1. #1
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23

    Thumbs up Помогите убрать вирус!

    Здравствуйте! Скачал я одну прогу и запустил установку. Компьютер сразу стал перезагружаться. Браузеры перестали открывать все страницы. Антивирусом аваст сделал быструю проверку процессов, памяти. Аваст выдал что все процессы заражены трояном. Хотя этого не может быть. При подключении к интернету устанавливаются сами много разных не видимымиых соединений типа bk-in-f100.1e100.net, 80-239-254-43.customer.teliacarrier.com 80 (http), axx175.distributed.zenon.net 80 (http) Established (установлено соединение) и другие . Аваст блокирует какие-то соединения - постоянно вылазиет окно блокировки. Я сделал восстановление системы. После этого Аваст перестал нормально запускаться, точнее служба avast. Я его удалил. Проверил утилитой MBAM в безопасном - нашел какие-то незначительные вирусы. В программе Anvir Task Manager смотрел - Какие-то странные драйвера появились: aq9qtwkp.sys - ATA/ATAPI Port Driver и spoe.sys, способ запуска - in Kernel. Оба как будто находятся в \system32\drivers, но там таких файлов нет и эти имена через некоторое время и после перезагрузки изменяются. Отключить драйвер не получается. После восстановления системы браузеры стали открывать странички.
    --------------
    Посмотрите логи пожалуйста и Подскажите что это за вирус? а то уже не первый раз нахожу похожее - толькко до этого восстановление системв помогало.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,269
    Вес репутации
    327
    Уважаемый(ая) alexx1, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    Здравствуйте!!!

    - Выполните в АВЗ:
    Код:
    begin
     QuarantineFile('c:\windows\system32\ctfmon.exe','');
     QuarantineFile('c:\windows\explorer.exe','');
    BC_ImportAll;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится

    После перезагрузки:
    - Выполните в АВЗ:
    Код:
    begin
     CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

    - Сделайте лог ComboFix.
    Последний раз редактировалось Techno; 19.01.2012 в 23:31. Причина: Добавлено

  5. Techno получил(а) благодарность за это сообщение от


  6. #4
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Techno, сделал скрипты и лог, посмотрите пожалуйста!!!
    Что мне еще надо сделать подскажите?
    Вложения Вложения
    • Тип файла: txt log.txt (16.9 Кб, 4 просмотров)

  7. #5
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
    Код:
    KillAll::
    
    File::
    c:\windows\system32\1C5.tmp
    c:\windows\system32\155.tmp
    
    Driver::
    
    
    NetSvc::
    
    
    Folder::
    
    
    Registry::
    [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
    "IE8_01"= -
    "IE8_02"= -
    
    FileLook::
    
    DirLook::
    Reboot::
    После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

    Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

    Как самочувствие после ComboFix'а?

  8. Techno получил(а) благодарность за это сообщение от


  9. #6
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Techno, во время работы Combofix вылетала ошибка:
    pev.3EXE - приложение будет закрыто. Нажал на Отладку и продолжилось выполнение.
    Посмотрите пожалуйста лог...
    ------ После ComboFix вроде нормально, но так сразу непонятно. Например из мелочей пропала языковая панель в трее.
    ---- Комп стал стабильнее работать, меньше стал притормаживать.
    --- Очень БЛАГОДАРЕН!!!! -----
    Меня еще беспокоят установленные соединения с Интернетом. Когда открываю какую-нибудь любую страничку в инете появляются еще другие (не в браузере) - Через прогу Anvir Task Manager смотрелEstabilished порт 80) Через некоторое время становится (Listen):
    www-12-05-prn1.facebook.com
    jim5.mail.ru
    bk-in-f102.1e100.net
    host01.rax.ru
    mc.yandex.ru ..... и другие бывают
    --- Это нормальные соединения? или что-то отсылается от меня на эти сайты??? Подскажите, а то не разбираюсь
    Вложения Вложения

  10. #7
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Techno, А что за вирус я поймал? Просто интересно ... у меня было уже похожее но безобиднее

  11. #8
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    Цитата Сообщение от alexx1 Посмотреть сообщение
    Это нормальные соединения?
    Нет. Каким браузером пользуетесь?

    Цитата Сообщение от alexx1 Посмотреть сообщение
    А что за вирус я поймал?
    Папку C:\Qoobox\Quarantine запакуйте с паролем virus и загрузите в этой теме http://virusinfo.info/showthread.php?t=37678&page=56

  12. Techno получил(а) благодарность за это сообщение от


  13. #9
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Techno, пользуюсь Opera. Сейчас смотрел около 15 соединений каких-то левых было, в IE - намного лучше - несколько штук непонятных. Мне лучше Opery переустановить, настройки оперы все удалить?
    ----- Папку C:\Qoobox\Quarantine загрузил ...
    Файл сохранён как 120121_182518_Quarantine_4f1b030e51fc1.zip
    --- Посмотрите пожаалуйста ....

  14. #10
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,568
    Вес репутации
    709
    Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

    по карантину ответил там.

  15. regist получил(а) благодарность за это сообщение от


  16. #11
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Посмотрите пожалуйста новые логи ....
    Вложения Вложения

  17. #12
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,568
    Вес репутации
    709
    Проведите процедуру, которая описана в первом сообщении тут. Результат загрузки напишите в сообщении здесь.

    Добавлено через 11 минут

    Прокси 127.0.0.1:1122 сами прописывали ?
    Если нет то профиксите в HijackThis
    Код:
    R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:1122
    Этот IP, DNS вам знакомы? если нет, тоже фиксить
    Код:
    O17 - HKLM\System\CCS\Services\Tcpip\..\{5E97B384-D493-407F-BA99-7F11EF6FEB63}: NameServer = 195.82.134.6 62.33.183.254
    + для порядка профиксте следующие записи
    Код:
    O2 - BHO: (no name) - AutorunsDisabled - (no file)
    O2 - BHO: (no name) - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
    O9 - Extra button: (no name) - AutorunsDisabled - (no file)

  18. regist получил(а) благодарность за это сообщение от


  19. #13
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    --- Загрузил файл:
    Файл сохранён как 120122_195848_virusinfo_files_WORKGROU-M6HQD2_4f1c6a7864b46.zip
    Размер файла 40331009
    MD5 555b27009945e33e20c0ce6a5f8e8abb
    ------
    Прокси 127.0.0.1:1122 сам прописывал, но пофиксил на всяк случай
    NameServer = 195.82.134.6 62.33.183.254 - это 2 моих DNS
    Остальное - пофиксил
    ------
    Подскажите Что мне еще сделать?

    Добавлено через 11 минут

    У меня еще такой вопрос: 2 драйвера новые появились после вируса, как я в начале темы писал.
    Посмотрите в последнем логе AVZ (скрипт №4):
    Функция NtSetValueKey (F7) перехвачена (80579A53->BA6FF19A), перехватчик spst.sys. Еще драйвер aob906f6.sys (IDE/ATAPI Port Driver Microsoft) есть в системе. Эти 2 драйвера мне кажется зловреды: имена этих файлов меняются при каждой перезагрузке. В первый раз вместо spst.sys - было название spoe.sys - его как будто удалили. Но эти драйвера появляются снова с другими именами - причем файлов с такими именами на компе на самом деле нет.
    Последний раз редактировалось alexx1; 23.01.2012 в 00:20. Причина: Добавлено

  20. #14
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    лог AVZ (скрипт №4)
    Вложения Вложения

  21. #15
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379

  22. #16
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.08.2010
    Сообщений
    24,568
    Вес репутации
    709
    Цитата Сообщение от alexx1 Посмотреть сообщение
    вместо spst.sys - было название spoe.sys
    это от эмулятора дисков.

  23. regist получил(а) благодарность за это сообщение от


  24. #17
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Загрузил лог MBAM (вроде там чисто - только кряки , кейгены) - посмотрите ...
    Вложения Вложения

  25. #18
    Senior Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Techno
    Регистрация
    25.08.2009
    Адрес
    Россия
    Сообщений
    10,961
    Вес репутации
    379
    Какие проблемы остались?

  26. Techno получил(а) благодарность за это сообщение от


  27. #19
    Junior Member Репутация
    Регистрация
    19.10.2010
    Сообщений
    21
    Вес репутации
    23
    Все нормально стало. IE хорошо работает. Оперу переустановлю с обновлением.
    ------ СПАСИБО ЗА ПОМОЩЬ!!!!!!!! -------------

  28. #20
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,557
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 6
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) alexx1, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Помогите убрать вирус TR/Agent.VB.1945`.
      От Леонора в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 14.02.2012, 19:00
    2. Непонятный вирус, помогите убрать его
      От sprayspray в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 22.10.2011, 21:49
    3. помогите убрать вирус
      От FellomoN в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 16.08.2011, 21:37
    4. помогите убрать вирус xdx.exe
      От kvlad4 в разделе Помогите!
      Ответов: 15
      Последнее сообщение: 21.02.2011, 12:58

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00307 seconds with 23 queries