вирус не лечится
Похоже проник в систему вирус, отображает сообщения об adaware и просит скачать обновление для windows. Стал недоступен пункт "Панель управления" в меню "Пуск", при попвтке зайти в некоторые системные каталоги говорит что функции ограничены и просит сообщить администратору.
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Нарушения правил при сборе информации для раздела Помогите.
- Не выключено системное восстановление.
- Не выключен установленный антивирус.
Логи выполненные с нарушением правил рассматриваться не будут.
Повторите 3 лога в соответствии с правилами.
Спасибо за понимание.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- Выполните скрипт 1
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); SetServiceStart('srservice', 4); QuarantineFile('C:\WINDOWS\shell.exe',''); QuarantineFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe',''); QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe',''); QuarantineFile('C:\WINDOWS\system32\spoolvs.exe',''); QuarantineFile('Explorer.exe C:\WINDOWS\shell.exe',''); DelBHO('{28A73C97-A538-08EE-FA8A-1CF3009DB0D0}'); QuarantineFile('C:\Program Files\altcmd\altcmd32.dll',''); DelBHO('{2940074F-729F-4DF6-B300-96048173ED39}'); RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}'); RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CT id=e codeBase=http://www.www2.p0rt2.com/files/epl60bf2.cab classid=clsid:33331111-1111-1111-1111-615111193427}'); QuarantineFile('C:\WINDOWS\system32\printer.exe',''); DeleteFile('C:\WINDOWS\system32\printer.exe'); DeleteFile('C:\Program Files\MyExpressSearch\My Express Search Toolbar\my_express_search.dll'); DeleteFile('C:\Program Files\altcmd\altcmd32.dll'); DeleteFile('Explorer.exe C:\WINDOWS\shell.exe'); DeleteFile('C:\WINDOWS\system32\spoolvs.exe'); DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe'); DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe'); DeleteFile('C:\WINDOWS\shell.exe'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
- Выполните скрипт 2
После перезагрузки:Код:begin executerepair(1); executerepair(5); executerepair(6); executerepair(8); executerepair(9); executerepair(11); executerepair(16); executerepair(17); RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Последний раз редактировалось Rene-gad; 27.08.2008 в 16:26.
Не отключается восстановление системы! При любой попытке говорит что у меня нет прав на изменение, к тому-же исчез пункт меню пуск - ПАНЕЛЬ УПРАВЛЕНИЯ
Я добавил в скрипт остановку службы восстановления. Выполняйте скрипт, делайте логи - будем смотреть.
Высылаю логи
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите
- Выполните скриптКод:R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.myexpresssearch.com R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.besttoolbars.net/ O20 - AppInit_DLLs: C:\WINDOWS\system32\wowfx.dll
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\WINDOWS\system32\wowfx.dll',''); DeleteFile('C:\WINDOWS\system32\wowfx.dll'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Еще логи
Удалите Аd-Aware, откройте редактор реестра, пройдите в папку HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Contro l\SecurityProviders, ключ SecurityProviders в правой панели 2 раза щелкнуть.
Содержимое д.б.
Закройте редактор реестра.Код:msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll
Перегрузитесь, повторите лого от п.10 правил.
Все опять вернулось на свое место! Опять сообщения в трее об adaware и необходимости сходить на сайт за обновлением антивируса, это после того как я выполнил последние ваши рекомендации, а до этого вроде все иправлялось. Что-же делать. Снова повторить ваши скрипты?
А я Вас просил, удалить Ad-Aware. Удалите, выполните пункт 2 правил.Сообщение от germantk
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите
- Выполните скриптКод:F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\shell.exe O4 - HKLM\..\Run: [Printer] C:\WINDOWS\system32\printer.exe O4 - HKCU\..\Run: [Spoolsv] C:\WINDOWS\system32\spoolvs.exe O4 - Startup: findfast.exe O4 - Global Startup: autorun.exe O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('c:\windows\shell.exe',''); QuarantineFile('C:\WINDOWS\Installer\{BE16CD3F-FE02-42CD-8F0B-00FB1214AA89}\_26F9B95512BF_4EB0_A5A7_4E9C21DEF37B.exe',''); QuarantineFile('C:\WINDOWS\system32\printer.exe',''); QuarantineFile('C:\WINDOWS\system32\spoolvs.exe',''); QuarantineFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe',''); QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe',''); DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe'); DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe'); DeleteFile('C:\WINDOWS\system32\spoolvs.exe'); DeleteFile('c:\windows\shell.exe'); DeleteFile('C:\WINDOWS\system32\printer.exe'); DeleteFile('C:\WINDOWS\Installer\{BE16CD3F-FE02-42CD-8F0B-00FB1214AA89}\_26F9B95512BF_4EB0_A5A7_4E9C21DEF37B.exe'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Панели управления снова нет на месте
выполните скрипт ...
пишлите карантин согласно приложения 3 правил ...Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DelBHO('{6226BA26-C017-4007-928C-DE9715C6FA67}'); DeleteService('CSRBC01'); QuarantineFile('C:\WINDOWS\system32\Drivers\csrbc01.sys',''); DeleteFile('C:\WINDOWS\system32\Drivers\csrbc01.sys'); DeleteFile('wowfx.dll'); DeleteFile('C:\Program Files\MyExpressSearch\My Express Search Toolbar\my_express_search.dll'); BC_ImportDeletedList; ExecuteSysClean; executerepair(5); executerepair(6); executerepair(8); BC_Activate; RebootWindows(true); end.
повторите логи ...
Новые логи
в логах ничего плохого ...
УРААА! Все заразы больше нет. огромное спасибо
Снова эта зараза появилась. У меня 2 учетных записи, жена вошла под другой записью и снова проявился этот вирус. Присылаю логи и картинки якобы системных сообщений
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-Пофиксите
- Выполните скриптКод:F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\shell.exe O4 - HKLM\..\Run: [Printer] C:\WINDOWS\system32\printer.exe O4 - HKCU\..\Run: [Spoolsv] C:\WINDOWS\system32\spoolvs.exe O4 - Startup: findfast.exe O4 - Global Startup: autorun.exe O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\WINDOWS\system32\printer.exe',''); QuarantineFile('C:\WINDOWS\system32\spoolvs.exe',''); QuarantineFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe',''); QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe',''); QuarantineFile('c:\windows\shell.exe',''); DeleteFile('c:\windows\shell.exe'); DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe'); DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe'); DeleteFile('C:\WINDOWS\system32\spoolvs.exe'); DeleteFile('C:\WINDOWS\system32\printer.exe'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
- Очистите темп-папки, кэш проводников и корзину. Повторите операцию для всех учеток.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
Ощущение де жа вю. Вроде бы вирусы исчезают, но через несколько перезагрузок снова появляются
Посылаю логи. Не удаляются и не копируются некоторые файлы в папке C:/windows/temp
Perflib_Perfdata_4ac.dat
Perflib_Perfdata_784.dat
И каталог _avast4_
При попытке удалить эти файлы из под любой учетной записи собщает что они заняты другой программы. Если пытаюсь удалить не из Windows, файлы отсутствуют.
Также браузер Opera не отображает страницы, сообщение что нет подключения к интернет.
выполните скрипт ....
повторите логи ...Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteFile('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\autorun.exe'); DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe'); DeleteFile(' %Systemroot%\system32\WinAvXX.exe'); DeleteFile('C:\WINDOWS\system32\printer.exe'); DeleteFile('C:\WINDOWS\system32\spoolvs.exe'); DeleteFile('C:\WINDOWS\system32\umonit.exe'); DeleteFile('C:\WINDOWS\shell.exe'); BC_ImportDeletedList; ExecuteSysClean; ExecuteRepair(6); ExecuteRepair(8); ExecuteRepair(11); ExecuteRepair(16); ExecuteRepair(17); BC_Activate; RebootWindows(true); end.
Логи
Уважаемый(ая) germantk, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
Ваши права в разделе
