Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 28.

Процессы flec006.exe и hdlrrr.exe, помогите излечиться. (заявка № 31869)

  1. #1
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30

    Thumbs up Процессы flec006.exe и hdlrrr.exe, помогите излечиться.

    В списке процессов стоят два незнакомых процесса - flec006.exe и hdlrrr.exe, загружают ЦП на 100%. Кроме того, в процессах появляются и процессы, имя которых состоят и 6 цифр с расширением .exe
    Проверил комп согласно инструкций и правил. Логи прилагаются.
    Пожалуйста, помогите избавится от зараз.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.09.2004
    Сообщений
    3,510
    Вес репутации
    1276
    Отключите восстановление системы, как написано в правилах.

    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('%System32%\drivers\srosa.sys','');
     QuarantineFile('%System32%\drivers\hldrrr.exe','');
     QuarantineFile('%System32%\wintems.exe','');
     QuarantineFile('%System32%\drivers\mdelk.exe','');
     QuarantineFile('%System32%\mdelk.exe','');
    QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Google\Update\GoogleUpdate.exe','');
     QuarantineFile('C:\Program Files\Google\Web Accelerator\GoogleWebAccToolbar.dll','');
     QuarantineFile('c:\documents and settings\user\application data\m\flec006.exe','');
     DeleteFile('c:\documents and settings\user\application data\m\flec006.exe');
     DeleteFile('%System32%\drivers\hldrrr.exe');
     DeleteFile('%System32%\drivers\srosa.sys');
     DeleteFile('%System32%\wintems.exe');
     DeleteFile('%System32%\drivers\mdelk.exe');
     DeleteFile('%System32%\mdelk.exe');
    BC_ImportALL;
    ExecuteSysClean;
    If DirectoryExists('%System32%\drivers\down') then
    begin
    DeleteFileMask('%System32%\drivers\down', '*.*', true);
    DeleteDirectory('%System32%\drivers\down');
    If DirectoryExists('%System32%\drivers\down') then
    AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
    end
     else
    AddToLog('Папки down нет');
    If DirectoryExists('%System32%\drivers\downld') then
    begin
    DeleteFileMask('%System32%\drivers\downld', '*.*', true);
    DeleteDirectory('%System32%\drivers\downld');
    If DirectoryExists('%System32%\drivers\downld') then
    AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
    end
     else
    AddToLog('Папки downld нет');
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
    begin
    AddToLog('Обнаружен параметр в реестре drvsyskit');
    RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
    AddToLog('Ошибка удаления параметра drvsyskit') else
    AddToLog('Параметр drvsyskit успешно удален');
    end; 
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
    begin
    AddToLog('Обнаружен параметр в реестре german.exe');
    RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
    If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
    AddToLog('Ошибка удаления параметра german.exe') else
    AddToLog('Параметр german.exe успешно удален');
    end; 
    if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
    begin
    AddToLog('Найден ключ реестра FirstRRRun');
    RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
    If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
    AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
    AddToLog('ключ реестра FirstRRRun успешно удален');
    end;
    BC_DeleteSvc('srosa');
    BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
    If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!'); 
    SaveLog(GetAVZDirectory + 'B_d.txt');
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Выполните этот же скрипт еще раз.
    Потом пришлите карантин по правилам и сделайте новые логи.

    Еще прикрепите B_d.txt и boot_clr_B_d.log из папки AVZ.
    Месть - мечта слабых, прощение - удел сильных.
    Поддержать проект можно здесь

  4. #3
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30

    Ïðîáëåìà ñ îòêëþ÷åíèåì âîññòàíîâëåíèÿ ñèñòåìû

    Благодарю за оперативный ответ.
    Столкнулся с проблемой отключения восстановленя системы - заблокированно групповой политикой. не возможности поставить галочку на опцию "Отключить восстановление системы".
    Последний раз редактировалось abonent1978; 11.10.2008 в 15:30. Причина: Character encoding

  5. #4
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Кодировку поправьте

  6. #5
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30

    Не получается "Отключить восстановлени

    Благодарю за оперативный ответ.
    Столкнулся с проблемой отключения восстановленя системы - заблокированно групповой политикой. не возможности поставить галочку на опцию "Отключить восстановление системы".

  7. #6
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Пропустите этот пункт

  8. #7
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30

    Файлы карантина

    Решил проблему с отключением восстановления.
    Вложения Вложения

  9. #8
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Выполните скрипт еще раз и повторите логи...

  10. #9
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30

    Архив карантина

    Архив карантина отправил по аплоуд. Получили?

  11. #10
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Получили

  12. #11
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30

    Повтор логов

    Прилагаю логи полученные после выполнения скрипта
    Вложения Вложения

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Скачайте полную версию АВЗ, обновите базы!!!

    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('c:\windows\system32\drivers\hldrrr.exe');
     DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Повторите логи.

  14. #13
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30
    С полной версией идет ошибка при запуске прогараммы - avz не является приложением win32

  15. #14
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Вы скрипт 2 раза выполняли?

  16. #15
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30
    Да, скрипт прогонял дважды.

  17. #16
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Выполните еще раз и повторите логи...

  18. #17
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30
    Выполнил скрипты, логи прилагаю, кажется уже заразы не мешают, но ЦП остаётся загруженным на 100%. Не могу удалить Касперского - внутреняя ошибка 2318 и безопасный режим винды не работает - синий экран.
    Вложения Вложения

  19. #18
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    Мда, чего не хочет Bagle уходить

    Скачайте Avenger
    Переименуйте программу в football.pif
    Запустите программу, вставьте в окно Avenger "Input script here:" следующий скрипт и запустите (кнопка "Execute"):

    Код:
    Comment:
    Script to delete the Bagle worm
    
    Drivers to disable:
    srosa
    
    Files to delete:
    C:\windows\system32\drivers\srosa.sys
    C:\windows\system32\drivers\hldrrr.exe
    C:\windows\system32\wintems.exe
    C:\windows\system32\mdelk.exe
    C:\windows\system32\drivers\mdelk.exe
    
    Folders to delete:
    C:\WINDOWS\system32\drivers\down
    C:\WINDOWS\system32\drivers\downld
    Компьютер перезагрузится (возможно 2 раза).
    Прикрепите лог Avenger (лог будет здесь: C:\avenger.txt ).

    Повторите логи...

  20. #19
    Junior Member Репутация
    Регистрация
    09.10.2008
    Сообщений
    25
    Вес репутации
    30
    Не получается запустить скрипт, выдает ошибку: Error: can't open file 'C:\cleanup.bat' (error 2: не удается найти указааный файл).

  21. #20
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1782
    AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

    Код:
    begin
     ClearQuarantine;
     QuarantineFile('C:\Program Files\TechniSat DVB\bin\Server4PC.exe','');
     QuarantineFile('C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe','');
     QuarantineFile('C:\Program Files\Nokia\Nokia PC Suite 6\PCSync2.exe','');
     QuarantineFile('C:\Program Files\Free Download Manager\fdm.exe','');
     QuarantineFile('C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe','');
     QuarantineFile('C:\Program Files\Common Files\Acronis\Schedule2\schedhlp.exe','');
     QuarantineFile('C:\Program Files\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe','');
     QuarantineFile('C:\Program Files\Acronis\TrueImageHome\TrueImageMonitor.exe','');
     QuarantineFile('C:\Program Files\Acronis\TrueImageHome\TimounterMonitor.exe','');
     QuarantineFile('C:\Documents and Settings\User\Local Settings\Application Data\Google\Update\GoogleUpdate.exe','');
    BC_ImportQuarantineList;
    BC_Activate;
    RebootWindows(true);
    end.
    Загрузите карантин...

  • Уважаемый(ая) abonent1978, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 9
      Последнее сообщение: 23.07.2012, 17:33
    2. AhnRpta.exe - помогите излечиться
      От johnnie в разделе Помогите!
      Ответов: 10
      Последнее сообщение: 05.03.2010, 21:42
    3. Помогите излечиться
      От smoky74rus в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 29.12.2009, 12:03
    4. Помогите излечиться от этой заразы
      От Rinax в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 14.07.2009, 14:35
    5. Помогите излечиться от вируса.
      От qwerty2009 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 08.03.2009, 17:50

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00138 seconds with 22 queries