Вирус с модулем hldrrr.exe

[Alex392]

Здравствуйте! Большая просьба помочь!
Вообщем вирус скачал ослом, думал патч, открыл и.........
Сначала вылетел NOD с надписью ошибка ядра, затем в файервол стала ломиться программа с названием hldrrr.exe. AVZ и другие антивирусы не запускаются, система виснит или синий экран, безопасный режим не работает, тоже синий экран. Загрузился с Live CD переименовал AVZ, запустился но базы не обновляет, проверку тоже не производит, пишет, что произошла ошибка инициализации.
Информацию удалось собрать только с помощью hijackthis

[V_Bond]

Загрузиться с Live CD удалить следующие файлы:
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe
запустить авз сделать логи ...

[Alex392]

Загрузился с Live CD
удалил
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
остального нет
вирус востановился

[rubin]

AVPTool попробуйте скачать... если запустится - сделайте полную проверку

[Alex392]

AVP проверить не получилось. На стадии инсталяции ошибки инициализации. С Live CD AVP что-то нашел, удалить не смог, проверял до синего экрана и перезагрузка.

Добавлено через 31 минуту

XoftSpySE пишет, что у меня Bagle IX Worm. Удаление в реестре строки software\firstrrrun ничего не дает.

[kps]

Попробуйте так:
1) Отключите восстановление системы как написано в правилах (если еще не отключили).
2) Очистите кеш интернета.
3) Попробуйте удалить папку C:\WINDOWS\system32\drivers\down вместе со всем ее содержимым (если эта папка есть, конечно).
4) Загрузитесь с установочного диска Windows, там зайдите в Консоль Восстановления и попробуйте удалить с помощью команды Консоли del файлы, перечисленные V_Bond. (Альтернатива - удалить их, загрузившись с LiveCD)

[Alex392]

Выполнил скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\drivers\srosa. sys','');
QuarantineFile('c:\windows\system32\wintems.exe',' ');
QuarantineFile('c:\windows\system32\drivers\hldrrr .exe','');
DeleteFile('c:\windows\system32\drivers\hldrrr.exe ');
DeleteFile('c:\windows\system32\wintems.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys' );
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.

Зараза вроде убита. Посмотрите, пожалуйста скрипты, может что осталось?

[V_Bond]

выполните скрипт ...

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\pcmesh\aws\aws.exe','');
 DeleteService('srosa');
 DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
 DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ...

[Alex392]

прошу прощения выслал без пароля

Добавлено через 23 минуты

А как восстановить загрузку в безопасном режиме, после действия вируса такая способность пропала.
Спасибо

[wise-wistful]

Да, кто нужен в карантин и не попал. Поищите aws.exe при помощи АВЗ Сервис-поиск файлов на диске и пришлите согласно приложению 2 правил.
Сделайте новый комплект логов, посмотрим ушли враги или нет.

Добавлено через 2 минуты

А как восстановить загрузку в безопасном режиме, после действия вируса такая способность пропала.
Спасибо

В АВЗ файл--восстановление системы, Выбираете 10.Восстановление настроек загрузки в SafeMode ставите галочку, внизу нажимаете кнопку Выполнить отмеченные операции.

[Alex392]

aws.exe не нашел.
Это как-то к делу относится

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\JNLPFile\Shell \Open\Command\ = "C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe" "%1"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\App Paths\javaws.exe\ =
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\App Paths\javaws.exe\ = C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Uninstall\{3248F0A8-6813-11D6-A77B-00B0D0160030}\DisplayIcon = C:\Program Files\Java\jre1.6.0_03\\bin\javaws.exe
-- Поиск в HKEY_CURRENT_USER --
HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\User Trusted External Applications\"C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe" =
HKEY_CURRENT_USER\Software\Netscape\Netscape Navigator\Viewers\application/x-java-jnlp-file = "C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe"
-- Поиск в HKEY_CLASSES_ROOT --
HKEY_CLASSES_ROOT\JNLPFile\Shell\Open\Command\ = "C:\Program Files\Java\jre1.6.0_03\bin\javaws.exe" "%1"

Добавлено через 1 минуту

комплект логов вышлю позже, уезжаю

[V_Bond]

это к делу не относится ....
пофиксите

O4 - HKCU\..\Run: [PCMesh Anonymous Web Surfing] C:\Program Files\pcmesh\aws\aws.exe

[Alex392]

Спасибо за помощь!
Безопасный режим восстановился, вроде обошлось без жертв.
Высылаю логи.

[rubin]

Все чисто, проблемы решены?

[Alex392]

Да, спасибо большое за помощь.

[rubin]

Советуем прочитать электронную книгу "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов. Мы будем Вам очень благодарны!

Удачи!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения вредоносные программы в карантинах не обнаружены