Вирус убил сеть на компе, после лечения она не восстановилась.

[Cipr]

Нотебук стал тормозить, после перезагрузки Skype, Viber, mTorent написали, что не найден DNSAPI.dll. и не загрузились.
Пролечил нотебук по инструкции в безопасном режиме Dr.Web CureIt! а затем Kaspersky Virus Removal Tool. оба понаходили троянов - все полечили (поубивали). Тормоза вроде прекратились но сеть так и не появилась. ни браузер, ни OutLook, ни FTP-клиент сеть не видят,
пишут (сервер не найден). Только Яндекс диск вроде как синхронизировался. файл DNSAPI.dll также отсутствует. Выполнил сканирование вашими утилитами. Логи прилагаю, правда получилось всего 2. Прошу помощи в решении проблемы. Спасибо.

[Info_bot]

Уважаемый(ая) Cipr, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

файл DNSAPI.dll также отсутствует

Ну так ищите нужный и восстанавливайте

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\daugava\Irosioe.bat','');
 QuarantineFile('C:\Program Files (x86)\DealPlyLive\Update\DealPlyLive.exe','');
 QuarantineFile('C:\Users\Vasiliy\AppData\Roaming\Dealply\UPDATE~1\UPDATE~1.EXE','');
 DeleteFile('C:\Users\Vasiliy\AppData\Roaming\Dealply\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\Dealply.job','32');
 DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineCore.job','32');
 DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineUA.job','32');
 DeleteFile('C:\Program Files (x86)\DealPlyLive\Update\DealPlyLive.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineCore','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineUA','64');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Cipr]

Спасибо за помощь.
Карантин выслал, новые логи прилагаю.
По поводу файла DNSAPI.dll. Он был на месте, только программы Skype, Viber, mTorent его не видели. Я нашел в сети другой и заменил его, при перезагрузке Виндовс сказала, что у меня пиратская копия (сети не было вообще). Вернул файл на место и после перезагрузки его все увидели. Скайп даже заработал (и сообщения и звонки ходят). Все остальное осталось как и было: ни браузер, ни OutLook, ни FTP-клиент сеть не видят (сообщение "сервер не найден"), хотя интернет из командной строки пингуется без проблем. (Локалка кстати есть). Ваши скрипты и логи делал уже после этого.
Еще раз Спасибо. Жду дальнейших инструкций.

[thyrex]

Сделайте лог полного сканирования МВАМ

[Cipr]

Добрый вечер.
Сканирование запустил утром... работает уже 8 с половиной часов, отсканировано больше 705 тыс файлов, касперский при сканировании показал почти 5 миллионов...
ждус....

- - - - -Добавлено - - - - -

Ага, проверка файловой системы закончилась, показал 735 тыс. файлов, проверил за 9 часов. теперь идет эвристический анализ.

- - - - -Добавлено - - - - -

Еще раз добрый вечер.
Таки все закончилось.
Лог прилагаю.

[thyrex]

Удалите в МВАМ все, кроме

,PUP.ChromePasswordTool, D:\!Util\ChromePass\ChromePass.exe, , [400f457124663bfb86db331116f0bf41], 
Trojan.Agent, F:\!!_Transcendet_!!\Prog\ADOBECS4_LICENSE_MANAGER_v1.0.rar, , [0847bbfb404af73fb51ca91e52b07b85], 
PUP.Optional.Bundle, F:\DownLoad\PDFWriterSetup.exe, , [d57a6b4b276394a26f5f6bf0e21f9a66], 
Adware.WhenU, F:\DownLoad\daemon409-x86.rar, , [da75fcbac1c911258c9b49f4788e20e0], 
PUP.Optional.OpenCandy, F:\DownLoad\DAEMONToolsUltra240-0280.exe, , [aca38432fe8ce0568527fd5deb1b916f], 
PUP.PWDump, F:\DownLoad\RockXP4.exe, , [9db2298d4149e94d19fd4cbaee18837d], 
PUP.PWDump, F:\DownLoad\RockXP4.rar, , [400f278f1c6e989e7b9b7c8a7f874cb4], 
Malware.Packer, F:\DownLoad\AoA_DVD_Creator_v1.8.5.rar, , [014e7b3bf49689ad58fbbec4ef11a25e], 
PUP.Hacktool.Patcher, F:\DownLoad\WinRARv3.70b8.rar, , [54fb694d692155e1c882922dba46ff01], 
Trojan.Agent, F:\DownLoad\No_black.rar, , [bd92d9dd53370a2cecedcafd3bc716ea], 
Trojan.Downloader, F:\DownLoad\Программы\Windows_XP_activation_Crack(all_versions).exe, , [cc83eacc4149ba7c25c2ddee0bf7d22e], 
RiskWare.Tool.CK, F:\Films\monkrus\Corel.DRAW.Graphics.Suite.X5.15.0.0\Keygen.exe, , [341b437325656dc9be2f7c4060a251af], 
Adware.Vomba, F:\Flashka\Old\daemon410-x86.exe, , [470866503b4fc175c85bff3e81850cf4], 
RiskWare.Tool.HCK, F:\Flashka\Old\Progi\Keygen.exe, , [c28d03b39af0d0669e4f6179639ff010], 
PUP.PWDump, F:\Flashka\Old\Progi\RockXP4.rar, , [381734822c5e6acc4accf610b55130d0], 
PUP.PWDump, F:\Flashka\Old\Install\RockXP4.exe, , [88c74b6b2d5d67cff3233ec855b1629e], 
PUP.PWDump, F:\Flashka\Old\Install\RockXP4.rar, , [70dff6c0a0eaf2443ed8a75fc244d42c], 
HackTool.Agent.CK, F:\Flashka\Old\Install\WinRar v3.41 Rus\wrar341ru.exe, , [79d612a47812f04698ebddd3e41e956b], 
PUP.Optional.RegCleanerPro, F:\Install\rcpsetup_softonic_englobal.exe, , [b19e12a4e1a9ee486cdd3d044fb2b947], 
PUP.Optional.InstallCore, F:\Install\TeamViewer_Setup_ru1.exe, , [74db73433159191d799750eb1ee32ad6], 
PUP.Optional.OpenCandy, F:\Install\DTLite4461-0328.exe, , [5af5a61090fa76c03676dc7e8f77ea16], 
PUP.Optional.InstallMonstr.A, F:\Install\install_flashplayer11x32_mssa_aaa_aih.exe, , [96b9ded81c6ec96d950b443acc35669a], 
PUP.ChromePasswordTool, F:\Install\!! Old\chromepass.zip, , [6de28c2ae0aa69cd035e4cf816f0d030], 
RiskWare.Tool.CK, F:\Install\!! Old\Grafika\Corel\Corel13\CRACK\cdrsuitkg.exe, , [86c93c7a3c4e81b5f5b82a19ad59db25], 
HackTool.Agent.CK, F:\Install\!! Old\Kontora\WinRar v3.41 Rus\wrar341ru.exe, , [8dc28e281b6f3600542f713f7d8559a7], 
PUP.Optional.Somoto, F:\Install\!! Old\_v9898\UnlockRoot_downloader_by_UnlockRoot.exe, , [ed620aacb2d8b5818262f06945c1e41c], 
RiskWare.Tool.CK, F:\PrintHouse1\Install\!!Мой телефон\Nokia\OPM2751.zip, , [133cf5c11179a5919dde97f0a45c53ad], 
RiskWare.Tool.CK, F:\PrintHouse1\Install\!!Мой телефон\Nokia\Oxygen.Phone.Manager.II.for.Nokia.2.7.Retail.rar, , [ed62f0c6e4a64fe73942dfa8a25ef808], 
Backdoor.Hupigon, F:\PrintHouse1\Install\Games\Diablo_II_Lord_of_Destruction_v1[1].09D_No-CD_Crack.zip, , [a4ab368009812d09a43f3b9a10f0a858], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\1.53\dm_t153d.zip, , [62ed08ae2a60280ebd9978c8719505fb], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\1.53\crack\damn_thebat153dkmkr.exe, , [9bb42a8cfe8c7eb870e683bdb5511de3], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\1.53\crack\damn_thebat153dptch.exe, , [cf80486ed3b7a294411542fe56b0af51], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\1.62\DAMN_keygen.zip, , [ada220962c5e56e092c4d56b53b32dd3], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\1.62\DAMN_keygen\DAMN_TheBat160km.exe, , [72dd15a16921f83eabab39076f97ba46], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\Bat 30 Professional\bat3.x.x.rar, , [b59a506644469e983a4ae9e019e9ad53], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\Bat 30 Professional\the_bat3.x.x.exe, , [8cc38036e1a993a3077dffca60a26c94], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\TheBat_1_62\DAMN_keygen.zip, , [e96645713c4e91a5afa7063ac5411fe1], 
Trojan.Agent.CK, F:\PrintHouse1\Install\BAT\TheBat_1_62\DAMN_keygen\DAMN_TheBat160km.exe, , [c08f7e38ec9e71c5d97d0f3162a4d927], 
Backdoor.Hupigon, F:\PrintHouse1\Install\Recowery\Recowermyfile\loader.exe, , [b09f5462b9d10b2ba79df8af0df86898], 
Backdoor.Hupigon, F:\PrintHouse1\Install\Recowery\Recowermyfile\recovermyfilesv2.61loaderbyteshunter.zip, , [91bee7cf622857df96ae5c4bba4b13ed], 
Malware.Packer.Gen, F:\PrintHouse1\Util\ARC\WinRAR\KeyGen.exe, , [c18e4a6c7d0dc175c5c0b5cd2dd3c33d],

[Cipr]

Добрый день.
Выполнил Вашу инструкцию. (правда пришлось делать сканирование заново...)
К сожалению с интернетом ничего не поменялось.
по прежнему "сервер не найден"...
Жду дальнейших указаний.
Спасибо.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Cipr]

Сканирование сделал.
Логи прилагаю.

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
GroupPolicyScripts: Restriction <======= ATTENTION
BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} ->  No File
BHO: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} ->  No File
Toolbar: HKU\S-1-5-21-1742675638-2831833125-2592328832-1000 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  No File
Handler: livecall - {828030A1-22C1-4009-854F-8E305202313F} -  No File
Handler: msnim - {828030A1-22C1-4009-854F-8E305202313F} -  No File
CHR StartupUrls: Default -> "hxxp://mystart.incredibar.com/?a=6OyRVfqhLR&i=26&did=10963&loc=skw"
CHR DefaultSearchURL: Default -> hxxp://mystart.incredibar.com/?a=6OyRVfqhLR&i=26&did=10963&loc=skw&search={searchTerms}
CHR DefaultSearchKeyword: Default -> mystart.incredibar.com/
AlternateDataStreams: C:\ProgramData\TEMP:58D8F144
AlternateDataStreams: C:\Users\Все пользователи\TEMP:58D8F144
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[Cipr]

Добрый день.
Инструкции выполнил, файл прилагаю.
К сожалению пока ничего не поменялось.

[mrak74]

Воспользуйтесь командой sfc/ scannow - тут ссылка с описанием. Понадобится диск с дистрибутивом ОС.

[Cipr]

Командой воспользовался.
Написало, что все нашло и исправило. Лог прилагаю.
После перезагрузки винда написала, что моя копия не прошла проверку на подлинность и опять перестал читаться dnsapi.dll - упал скайп. теперь сети нет вообще и локалки тоже . и ничего не пингуется... . Без локалки - это вообще жесть... бегаю с флешкой между машинами.
Что делать дальше?
З.Ы. шаманство с переименование файла dnsapi.dll, которое помогло в начале теперь не помогло...
З.Ы.2. диск с дистрибутивом команда не попросила... (Он, кстати, есть... самый настоящий...)

[mrak74]

После перезагрузки винда написала, что моя копия не прошла проверку на подлинность

Т.е. соединение сетевое все таки произошло изначально. При наличии настоящего диска с лицензией подобных проблем по идее не должно было возникнуть.

сделайте лог MiniToolBox

[Cipr]

Лог высылаю.
З.Ы. не берусь утверждать, но мне кажется что в виндовс встроен некий механизм самодиагностики, который и выдал сообщение, что копия не подлинная, при этом сети не было (возможно какое то не соответствие версий файлов или типа того).
З.Ы.2. Винда лицензионная боксовая и диск есть, но его не спрашивали...
З.Ы.3. Периодически всплывает совет переставить виндовс, потому что в файлах какие то изменения произошли (толком не успеваю прочитать...) Переставлять не хочется категорически... куча настроек, потом буду все это неделю собирать заново.. а счас работы полно...

[mrak74]

Итак. У Вас повреждены:

Error: (10/15/2015 10:05:09 PM) (Source: Service Control Manager) (User: )
Description: Служба "DHCP-клиент" завершена из-за ошибки
%%5

Error: (10/15/2015 10:05:09 PM) (Source: Service Control Manager) (User: )
Description: Служба "DNS-клиент" завершена из-за ошибки
%%5

Error: (10/15/2015 10:09:59 PM) (Source: Service Control Manager) (User: )
Description: Служба "Центр обновления Windows" зависла при запуске.

С DNSAPI.dll после копирования, необходимо зарегистрировать библиотеку.
В командной строке (cmd.exe) введите команды:

regsvr32 /u dnsapi.dll

и нажмите Enter. Для отмены регистрации файла.
Далее,

regsvr32 /i dnsapi.dll

Enter. Для регистрации файла заново.

Скачайте Windows Repair (All In One), распакуйте, запустите, закладка "Repairs", Отметьте пункты 13 - Repair Network и 27 - Set Windows Services To Default Startup. После выбора этих пунктов, нажмите кнопку
Start Repairs. Перезагрузите компьютер, проверьте проблему после перезагрузки.

[Cipr]

команда "regsvr32" выдает сообщение:
"Модуль dnsapi.dll загружен, но точка входа DllUnregisterServer не найдена.
Проверьте, что dnsapi.dll является правильным файлом Dll или OCX и повторите попытку"..

Уже вытащил этот файл руками из дистрибутива и поменял - сообщение тоже " не найдена точка входа..."
зато Винда снова стала лицензионной! появилась локалка, поднялся ЯндексДиск и Адгуард... т.е. сетка есть...
правда она гдето в глубоком фоне.... Skype, Viber, mTorent по прежнему dnsapi.dll почесть не могут и не загружаются, ну и для всего остального - сервер не найден... Хотя сервера пингуются и трейсятся...

применил утилиту Windows Repair, к сожалению ничего не поменялось. Логи прилагаю.

З.Ы. может в ручную еще какие то файлы из дистрибутива восстановить? какие отвечают за DNS службу?
З.Ы.2. или накатить сверху винду в режиме восстановления? (правда из этого ничего хорошего у меня еще ни разу не получалось...)

[mrak74]

З.Ы. может в ручную еще какие то файлы из дистрибутива восстановить? какие отвечают за DNS службу?

По логам журналов Windows проблема не только со службой DNS, существует негласная зависимость работы служб, возможно проблема какой либо 3-ей службы в итоге влияет на службу DNS. В ручном режиме это будет долго и кропотливо.

З.Ы.2. или накатить сверху винду в режиме восстановления?

Тоже в принципе вариант, все важное системное и недостающие покорёженные ветки реестра должны восстановится.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены