AntivirusXP 2008+Virtumonde+M64

**ToHuka** · 19.09.2008, 20:11

Izvinite, 4to latinskimi. Na kompjutere netu russkogo wrifta.

Pozhalujsta pomogite udalitj virusi. Vesj denj uwlo 4tobi Kaspersky proskaniroval na nali4ie virusov. 4to-to udalilosj, no estj fajli, kotorie jakobi udaljatsa posle restarta. Na desktope tabli4ka Spyware detected + postojanno vilezaet Antivirus 2008 i prosit zaregistrirovatsa. Ne znaju uzhe 4to i delatj

Zaranee spasibo i ewjo raz prowu prowjenija za latinskie bukvi.

Sovsem zabila, prikladivaju logi:

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Rene-gad** · 19.09.2008, 20:46

По ссылкам в Правилах скачайте АВЗ и Хайджек, обновите базы АВЗ.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Iexplore.exe','');
 QuarantineFile('C:\WINDOWS\system32\pphcv8bj0e5tp.exe','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winrb33.sys','');
 QuarantineFile('C:\Documents and Settings\All Users\Start Menu\Programs\Startup\office.exe','');
 QuarantineFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr','');
 QuarantineFile('C:\WINDOWS\system32\lphcv8bj0e5tp.exe','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\gliide.sys','');
 QuarantineFile('D:\autorun.inf','');
 DeleteService('AppleWMPNetworkSvc');
 DeleteService('SNDSrvcgusvc');
 DeleteService('NlaRDSessMgr');
 DeleteService('gliide');
 DeleteService('Winrb33'); 
 DeleteFile('D:\autorun.inf');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\gliide.sys');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\lphcv8bj0e5tp.exe');
 DeleteFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr');
 DeleteFile('C:\Documents and Settings\All Users\Start Menu\Programs\Startup\office.exe');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winrb33.sys');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\pphcv8bj0e5tp.exe');
 DeleteFile('C:\WINDOWS\system32\Iexplore.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('AppleWMPNetworkSvc');
 BC_DeleteSvc('SNDSrvcgusvc');
 BC_DeleteSvc('NlaRDSessMgr');
 BC_DeleteSvc('gliide');
 BC_DeleteSvc('Winrb33'); 
executerepair(5);
executerepair(6);
executerepair(8);
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

Код:

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

**ToHuka** · 19.09.2008, 21:29

Ja o4enj izvenjajusj za svju negramotnostj; a gde nahodjatsa kew provodniki?

**Гриша** · 19.09.2008, 21:42

Очистите этим http://www.filehippo.com/download_ccleaner/

**ToHuka** · 20.09.2008, 10:53

Sdelala vsjo soglasno instrukcii. S desktopa tabli4ka 4to prisutstvujut kakie to virusi propala, no Antivirus XP 2008 tak i vilaziet. Segodnja s utra tabli4ka 4to spyware detected pojavilasj snova

**Rene-gad** · 20.09.2008, 10:57

Сообщение от ToHuka

Ja o4enj izvenjajusj za svju negramotnostj; a gde nahodjatsa kew provodniki?

Ссылку в тексте не видели? Почему только 2 лога?

**ToHuka** · 20.09.2008, 11:02

4estno, ne ponjala kak delatj etot syscure.zip.

**Rene-gad** · 20.09.2008, 11:03

4estno, ne ponjala kak delatj etot syscure.zip.

Для теx, кто в танке
По ссылкам в Правилах скачайте АВЗ, обновите базы АВЗ.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
begin
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\lphcv8bj0e5tp.exe','');
 QuarantineFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr','');
 QuarantineFile('C:\Program Files\rhcr8bj0e5tp\rhcr8bj0e5tp.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winen11.sys','');
 DeleteService('Winen11');
 DeleteService('is-49PVEW32Time');
 DeleteService('IDriverT');
 DeleteService('ClipSrvstisvc');
 QuarantineFile('Winpa08.sys','');
 QuarantineFile('c:\windows\system32\drivers\Winpa08.sys','');
 QuarantineFile('c:\program files\rhcr8bj0e5tp\rhcr8bj0e5tp.exe','');
 QuarantineFile('c:\windows\system32\pphcv8bj0e5tp.exe','');
 QuarantineFile('c:\windows\system32\drivers\281.exe','');
 DeleteFile('c:\windows\system32\drivers\281.exe');
 DeleteFile('c:\windows\system32\pphcv8bj0e5tp.exe');
 DeleteFile('c:\program files\rhcr8bj0e5tp\rhcr8bj0e5tp.exe');
 DeleteFile('Winpa08.sys');
 DeleteFile('c:\windows\system32\drivers\Winpa08.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winen11.sys');
 DeleteFile('C:\Program Files\rhcr8bj0e5tp\rhcr8bj0e5tp.exe');
 DeleteFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr');
 DeleteFile('C:\WINDOWS\system32\lphcv8bj0e5tp.exe');
end.
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winen11');
 BC_DeleteSvc('is-49PVEW32Time');
 BC_DeleteSvc('IDriverT');
 BC_DeleteSvc('ClipSrvstisvc');
executerepair(5);
executerepair(6);
executerepair(8);
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

Код:

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

**ToHuka** · 20.09.2008, 11:12

Na4aljnuju stadiju prodelala soglasno pravilam. Prosto ne ponjala punkt "Sdelajte povtornie logi". Eto v AVZ?

**Rene-gad** · 20.09.2008, 13:17

Прочитайте первую строчку в сообщении 2. Что там не понятно?

**ToHuka** · 20.09.2008, 13:52

Nu vrode bi vsjo ponjala

Spasibo!

**Rene-gad** · 20.09.2008, 14:16

Нарушения правил при сборе информации для раздела Помогите.

- Не обновлены базы АВЗ. Обновите базы Файл/Обновление баз.
- Не выключено системное восстановление.

Логи выполненные с нарушением правил, как не отображающие состояние системы и не дающие возможности, назначить правильное лечение, в дальнейшем рассматриваться не будут.
Спасибо за понимание.

Скачайте IceSword , поищите и скопируйте файлы:

Код:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\system32\Drivers\Winsd77.sys

Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью force delete
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\drivers\wpsdrvnt.sys','');
 QuarantineFile('WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\lphcv8bj0e5tp.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Winsd77.sys','');
 QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
 QuarantineFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr','');
 QuarantineFile('c:\windows\system32\drivers\500.exe','');
 DeleteService('Winsd77');
 DeleteService('SCardSvrRpcLocator');
 DeleteService('AddFiltrDnscache');
 DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
 DeleteFile('c:\windows\system32\drivers\500.exe');
 DeleteFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Winsd77.sys');
 DeleteFile('WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\lphcv8bj0e5tp.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('Winsd77');
 BC_DeleteSvc('SCardSvrRpcLocator');
 BC_DeleteSvc('AddFiltrDnscache');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

Код:

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.

**FEV74** · 20.09.2008, 21:20

Ewjo odna popitka

Pozhalujsta, posmotrite logi!

**Гриша** · 20.09.2008, 23:21

В IceSword найдите и сделайте этим файлам Force Delete:

Код:

C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\Drivers\Winsd77.sys

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('Winsd77');
 DeleteService('AppleLiveUpdate');
 DeleteService('PolicyAgentMSMQ');
 DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
 DeleteFile('C:\WINDOWS\system32\Drivers\Winsd77.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winsd77');
BC_DeleteSvc('AppleLiveUpdate');
BC_DeleteSvc('PolicyAgentMSMQ');    
BC_Activate;
ExecuteRepair(5 );
ExecuteRepair(6 );
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');    
RebootWindows(true);
end.

Повторите логи...

**ToHuka** · 21.09.2008, 13:20

Visilaju logi. Po-moemu, sistemnoe vosstanovlenie bilo o4erednoj raz vklju4eno. Prosto kompjuter uhodit v standby i piwet 4to computer has just recovered from serious error.

Nadpisj s desktopa is4ezaet pri restarte, no kak toljko delaju shut down i zanovo zapuskaju komp, spyware detected... pojavljaetsa opjatj.

**Гриша** · 21.09.2008, 14:46

Пофиксить

Код:

O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Documents and Settings\Antonina Vaganova\Local Settings\Temp\GoogleToolbarInstaller_ru.exe','');
 DeleteService('TrkWksHidServ');
 DeleteService('SwPrvSENS');
 DeleteService('RemoteAccessLightScribeService');
 DeleteService('NtLmSsplanmanworkstation');
 QuarantineFile('c:\windows\system32\lphcv8bj0e5tp.exe','');
 TerminateProcessByName('c:\windows\system32\lphcv8bj0e5tp.exe');
 DeleteFile('c:\windows\system32\lphcv8bj0e5tp.exe');
 DeleteFile('C:\WINDOWS\system32\blphcv8bj0e5tp.scr');
 DeleteFile('C:\Documents and Settings\Antonina Vaganova\Local Settings\Temp\GoogleToolbarInstaller_ru.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('TrkWksHidServ');
BC_DeleteSvc('SwPrvSENS');
BC_DeleteSvc('RemoteAccessLightScribeService');
BC_DeleteSvc('NtLmSsplanmanworkstation');
BC_Activate;
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
RebootWindows(true);
end.

Пришлите карантин по правилам,очистите временные файлы и кеш браузера,там сидит довнолоадер,который качает новый зоопарк,повторите логи...

**ToHuka** · 21.09.2008, 18:36

Pozhalusjta, posmotrite logi!

**Rene-gad** · 21.09.2008, 18:50

Ничего подозрительного.
Жалобы есть?

**ToHuka** · 21.09.2008, 18:53

Nadpisj s desktopa tak i ne udalilasj...a tak vrode bi zhalob netu.

**Rene-gad** · 21.09.2008, 20:35

- Выполните скрипт

Код:

begin
executerepair(5);
executerepair(6);
executerepair(8);
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
RebootWindows(true);
end.

После перезагрузки проинформируйте о состоянии ПК.

AntivirusXP 2008+Virtumonde+M64 (заявка № 30493)

Опции темы

Похожие темы

Antivirus XP 2008

Win32/adware.Virtumonde & ..Virtumonde.Fp

AntivirusXP 2008

AntivirusXP 2008

Ваши права в разделе