Помогите удалить вирус!!!!

**Koss** · 10.11.2007, 03:18

У меня на компьютере появился вирус stardrv.exe Использую Avast Antivirus,Ad-Awar - удалять не хотят. Постоянно появляются трояны,удаляю они опять появляются , stardrv.exe вообще не хочет удаляться То он есть ,то его нет.Компьютер очень сильно тормозит и даже зависает.Запустился Active Desktop и не понятно как его отключить До этого постоянно выдавал ошибку explorer.exe,сечас перестал,"центр безопасности" говорит ,что компьютер не защищён (файерволл отключен). Прошу помочь и посоветовать что делать.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Bratez** · 10.11.2007, 03:26

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\Mstray.exe','');
 QuarantineFile('\SystemRoot\System32\DRIVERS\tcpip.sys','');
 QuarantineFile('C:\WINDOWS\system32\vdmmslel.exe','');
 QuarantineFile('C:\WINDOWS\LINKINFO.dll','');
 DeleteFile('C:\WINDOWS\Mstray.exe');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. Должно заметно полегчать.

Поищите через AVZ: Сервис - Поиск файлов... такой файл: advfzgmi.exe. Если найдется - добавьте в карантин. Затем пришлите весь карантин согласно приложению 3 правил.

**Koss** · 10.11.2007, 03:38

Огромное спасибо за оперативность! Я ушёл спать. Завтра обязательно выполню скрипт, и посмотрим, что будет дальше.

Не подскажете ещё, как отключить Active Desktop? Поисковики предлагают сделать это на закладке Web: Properties - Desktop - Customize Desktop... но проблема в том, что у меня закладки Web в указанном месте вообще нет (

**Bratez** · 10.11.2007, 05:04

После отправки карантина
1. Пофиксите в HijackThis:

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
O20 - Winlogon Notify: kerberos4 - C:\WINDOWS\

2. Выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\a3dr.exe','');
QuarantineFile('C:\WINDOWS\system32\acctresb.exe','');
QuarantineFile('C:\WINDOWS\system32\3076r.exe','');
QuarantineFile('C:\WINDOWS\system32\adptifl.exe','');
QuarantineFile('C:\WINDOWS\system32\3com_dmir.exe','');
QuarantineFile('C:\WINDOWS\system32\1025t.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinlz.exe','');
QuarantineFile('C:\WINDOWS\system32\adsmsextj.exe','');
QuarantineFile('C:\WINDOWS\system32\acluip.exe','');
QuarantineFile('C:\WINDOWS\system32\a3dapiz.exe','');
QuarantineFile('C:\WINDOWS\system32\12520437j.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsx.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinl.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsv.exe','');
QuarantineFile('C:\WINDOWS\system32\2052z.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsp.exe','');
DeleteFile('C:\WINDOWS\system32\a3dr.exe');
DeleteFile('C:\WINDOWS\system32\acctresb.exe');
DeleteFile('C:\WINDOWS\system32\3076r.exe');
DeleteFile('C:\WINDOWS\system32\adptifl.exe');
DeleteFile('C:\WINDOWS\system32\3com_dmir.exe');
DeleteFile('C:\WINDOWS\system32\1025t.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinlz.exe');
DeleteFile('C:\WINDOWS\system32\adsmsextj.exe');
DeleteFile('C:\WINDOWS\system32\acluip.exe');
DeleteFile('C:\WINDOWS\system32\a3dapiz.exe');
DeleteFile('C:\WINDOWS\system32\12520437j.exe');
DeleteFile('C:\WINDOWS\system32\activedsx.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinl.exe');
DeleteFile('C:\WINDOWS\system32\activedsv.exe');
DeleteFile('C:\WINDOWS\system32\2052z.exe');
DeleteFile('C:\WINDOWS\system32\activedsp.exe');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

3. Пришлите новый карантин согласно приложению 3 правил.

4. Сделайте новые логи.

Добавлено через 1 час 22 минуты

Не подскажете ещё, как отключить Active Desktop?

Разберемся и с этим, только сначала заразу надо вылечить.

**Koss** · 10.11.2007, 20:43

Спасибо большое))Я всё сделал как вы сказали, но какие-то ошибки всё рано остались))) Новые логи я приложил)) Проверьте пожалуйсто

**rubin** · 10.11.2007, 20:57

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\vdmmslel.exe','');
 QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
 QuarantineFile('C:\WINDOWS\system32\adptifl.exe','');
 QuarantineFile('C:\WINDOWS\system32\acctresb.exe','');
 QuarantineFile('C:\WINDOWS\system32\1025t.exe','');
 QuarantineFile('C:\WINDOWS\system32\3076r.exe','');
 QuarantineFile('C:\WINDOWS\system32\3com_dmir.exe','');
 QuarantineFile('C:\WINDOWS\system32\ActiveSkinlz.exe','');
 QuarantineFile('C:\WINDOWS\system32\adsmsextj.exe','');
 QuarantineFile('C:\WINDOWS\system32\acluip.exe','');
 QuarantineFile('C:\WINDOWS\system32\a3dapiz.exe','');
 QuarantineFile('C:\WINDOWS\system32\12520437j.exe','');
 QuarantineFile('C:\WINDOWS\system32\activedsx.exe','');
 QuarantineFile('C:\WINDOWS\system32\ActiveSkinl.exe','');
 QuarantineFile('C:\WINDOWS\system32\activedsv.exe','');
 QuarantineFile('C:\WINDOWS\system32\2052z.exe','');
 QuarantineFile('C:\WINDOWS\system32\activedsp.exe','');
 QuarantineFile('C:\WINDOWS\LINKINFO.dll','');     
 DeleteFile('C:\WINDOWS\system32\vdmmslel.exe');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\system32\3076r.exe');
 DeleteFile('C:\WINDOWS\system32\acctresb.exe');
 DeleteFile('C:\WINDOWS\system32\adptifl.exe');
 DeleteFile('C:\WINDOWS\system32\3com_dmir.exe');
 DeleteFile('C:\WINDOWS\system32\ActiveSkinlz.exe');
 DeleteFile('C:\WINDOWS\system32\adsmsextj.exe');
 DeleteFile('C:\WINDOWS\system32\acluip.exe');
 DeleteFile('C:\WINDOWS\system32\a3dapiz.exe');
 DeleteFile('C:\WINDOWS\system32\12520437j.exe');
 DeleteFile('C:\WINDOWS\system32\activedsx.exe');
 DeleteFile('C:\WINDOWS\system32\ActiveSkinl.exe');
 DeleteFile('C:\WINDOWS\system32\activedsv.exe');
 DeleteFile('C:\WINDOWS\system32\2052z.exe');
 DeleteFile('C:\WINDOWS\system32\activedsp.exe');
 DeleteFile('C:\WINDOWS\LINKINFO.dll');     
 BC_ImportAll;
 BC_Activate;
 ExecuteSysClean;
 RebootWindows(true);
end.

Затем опять повторите логи...

**Koss** · 11.11.2007, 00:42

Спасибо))) Сделал!!! Пока всё равно находит ошибки и подозрительные файлы

**V_Bond** · 11.11.2007, 01:09

пофиксите ...

Код:

O4 - HKLM\..\Run: [xswdmse] advfzgmi.exe
O4 - HKLM\..\Run: [xswdmse] advfzgmi.exe

выполните скрипт ...

Код:

begin
BC_DeleteSvc('DnscacheSchedule');
BC_DeleteSvc('gusvcRpcSs');
BC_DeleteSvc('HidServupnphost');
BC_DeleteSvc('HTTPFilterxmlprov');
BC_DeleteSvc('HTTPFilterxmlprovPolicyAgent');
BC_DeleteSvc('MSDTCHTTPFilterxmlprov');
BC_DeleteSvc('RasManRemoteAccess');
BC_DeleteSvc('srserviceEventlog');
BC_DeleteSvc('TapiSrvProtectedStorage');
BC_DeleteSvc('TapiSrvProtectedStoragedmserver');
BC_DeleteSvc('TrkWksProtectedStorage');
BC_DeleteSvc('VSSFastUserSwitchingCompatibility');
BC_DeleteSvc('VSSFastUserSwitchingCompatibilityRasAuto');
BC_DeleteSvc('WmdmPmSNRSVP');
BC_DeleteSvc('wuauservIDriverT');
BC_Activate;
RebootWindows(true);
end.

повторите лог HijackThis

**Koss** · 11.11.2007, 01:56

Cделал)Во время выполнения скрипта ,сразу появилось окно "Скрипт выполнин без ошибок" и компьютер тут же перезагрузился. Лог от "hijackthis " приложил.

**V_Bond** · 11.11.2007, 02:00

выполните скрипт ...

Код:

begin
BC_DeleteSvc('NtLmSspVSSFastUserSwitchingCompatibilityRasAuto');
BC_Activate;
RebootWindows(true);
end.

повторите лог HijackThis

**Bratez** · 11.11.2007, 02:50

Было:
Trojan-Spy.Win32.KeyLogger.rp
Trojan-Proxy.Win32.Slaper.aq
и в большом количестве Backdoor.Win32.IRCBot.apc

**Koss** · 11.11.2007, 02:59

Скрипт выполнил))) лог "hijackthis" вложил. Посмотрите пожалуйсто))

**Koss** · 11.11.2007, 03:35

Спасибо всем огромное!!!!!!!Уже стало на много лучше)))))))))))

Не подскажете ещё, как отключить Active Desktop? Поисковики предлагают сделать это на закладке Web: Properties - Desktop - Customize Desktop... но проблема в том, что у меня закладки Web в указанном месте вообще нет (

**V_Bond** · 11.11.2007, 11:46

Запрет на Active Desktop

**Alex_Goodwin** · 11.11.2007, 12:16

+ Поменяйте пароли.

**rubin** · 11.11.2007, 13:45

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из этого Вам не нужно?

**Koss** · 11.11.2007, 22:56

Спасибо!!!! Active Desktop исчез))) Но:1. У меня остался чёрный экран с красной надписью, в правом нижнем углу ,что мой компьютер в опасности!!!! Посоветуйте пожалуйсто ,что с этим делать.2.Не могли бы вы утоточнить какие пароли мне нужно изменить 3.Так же, какие службы из перечисленных мне стоит оставить,просто я обычный User и практически в этом не разбираюсь,возможно кроме самых необходимых, мне остальные и не нужны,посоветуйте ,какие оставить))))

**rubin** · 11.11.2007, 22:59

1. Повторите логи, возможно, что-то осталось.
2. Желательно все, был кейлоггер, записывает с клавиатуры все подряд...
3. Локальная сеть есть?

**Koss** · 11.11.2007, 23:30

У меня стоит Акадо.

**rubin** · 11.11.2007, 23:35

Сами мы не местные, что такое Акадо сразу и не скажем

(гугль помог)
Тогда можно отключить все:

Код:

begin
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
ExecuteSysClean;
end.

Добавлено через 42 секунды

Кстати, чтобы понять что за окно у Вас появляется, все еще жду логов

Помогите удалить вирус!!!! (заявка № 14040)

Опции темы

Помогите удалить вирус!!!!

Похожие темы

Помогите удалить вирус

Помогите удалить вирус

NOD не может удалить вирус win32/Protector.N вирус,помогите!!

помогите удалить вирус

помогите удалить вирус

Ваши права в разделе