Вирусы 7

[BMW]

Здравствуйте Уважаемые !! Знакомая девушка принесла компьютер , проблема в следующем - Комп не загружается в нормальном режиме грузиться до приветствия и уходит в перегруз Можно запустить только в Безопасном режиме. Проверил Кюретом нашел кучу троянов , а также заражен файл "winlogon.exe" который находиться в папке Windows.
Вижу в автозагрузке кучу гадостей + процессы нафиг которые н енужны и не известны в диспетчере задач висят

Зашел в папочку ТЭМП и увидел там Винлогон выгрузил его из процесса и грохнул но проблема не исчезла

Прилагаю логи посмотрите плиз.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
 QuarantineFile('C:\WINDOWS\system32\basegddxo32.dll','');
 QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe','');
 DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe');
 DeleteFile('C:\WINDOWS\system32\basegddxo32.dll');
 DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612} ');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин по правилам,повторите логи.

[BMW]

Файл сохранён как 080602_021050_virus_48439cfa35229.zip
Размер файла 22108
MD5 10caadb21015d2bd90fbdd2674818274

карантин выслал , логи щас повторю

Пока не могу еще в нормальном режиме загрузиться ! Делаю в безопасном

[BMW]

новые логи

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
 QuarantineFile('C:\WINDOWS\farkrish.exe','');
 DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин,повторите логи с п.10 правил

[BMW]

не нравиться мне вот это "[KernelFaultCheck] %systemroot%\system32\dumprep 0 -k" - висит в автозагрузке.

карантин выслал
Файл сохранён как 080602_031511_virus_4843ac0fafbf6.zip
Размер файла 218122
MD5 192a5eac4e00b452d4b953f5e485feec

новые логи, проверил архив карантина на вирустотал - показывает что файлы чистые

Так же пока зайти в нормальном режиме не могу, все делаю в безопасном

[BMW]

я так полагаю если убрать вот это "[KernelFaultCheck] %systemroot%\system32\dumprep 0 -k" с автозагрузки то он не должен перегружаться . Правильно я мыслю ?

[PavelA]

Да. Правильно.
Это вызов автомат. перезагрузки при появлении ошибок. Если перенастроить это дело, то будет БСОД, на котором можно прочитать кто виноват.

[BMW]

Да. Правильно.
Это вызов автомат. перезагрузки при появлении ошибок. Если перенастроить это дело, то будет БСОД, на котором можно прочитать кто виноват.

БСОД не вылетил как только рабочий стол появляется при нормальной загрузке комп берет и в перегруз уходит. И опять появляется в автозагрузке этот файл и еще там висит вот эта гадость "farkrish"

[PavelA]

Выполнить скрипт. Файл этот гугл не знает, попробуем глохнуть.

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  DeleteFile('C:\WINDOWS\farkrish.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

[BMW]

Вызвал БСОД ссылается на файл amon.sys так же в корне диска С обнаружил файл 367.tmp полагаю его можно грохнуть

Добавлено через 3 минуты

в нормальный режим все так же зайти не могу

[PavelA]

Значит, задача будет просто: деинсталлировать НОД, а потом установить заново.

[BMW]

Значит, задача будет просто: деинсталлировать НОД, а потом установить заново.

Вот что я и сделал еще даже не прочитал сообщение Щас качаю каспера и поставлю. А в логах ничего подозрительного нет которые я последние отправлял ?

[PavelA]

Твоего 'C:\WINDOWS\farkrish.exe' Симантек убил на подлете. Он был в посл. карантине.

Добавлено через 59 секунд

Trojan.Peacomm.D - 'C:\WINDOWS\farkrish.exe' по Симантеку.
По описанию, может завершать процессы антивирусов, поэтому м.б. Нод в этих бедах не был виноват.

[BMW]

Твоего 'C:\WINDOWS\farkrish.exe' Симантек убил на подлете. Он был в посл. карантине.

Добавлено через 59 секунд

Trojan.Peacomm.D - 'C:\WINDOWS\farkrish.exe' по Симантеку.
По описанию, может завершать процессы антивирусов, поэтому м.б. Нод в этих бедах не был виноват.

Ну я так и подумал что вирусня НОД убила и начала резвиться по полной Спасибо вам огромное . Ну если зловредов нет значит закрываем тему. Сейчас как раз пишу в нормальном Режиме