Поймал какую-то гадость

[RKP]

Антивирус фаервол ругнулся на какойто процес который шлет UDP запросы. Заблокировал. Но всеравно он шлет по другим адресам. Кое то убил из автозапуска. Но все равно остаются левые процессы.
Да и эта гадость спряталась в корзине и запускалась от имени CTFMON.exe.
Если надо могу выслать бакупсы от hijackthis

[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 SetServiceStart('Probe', 4);
 SetServiceStart('mhk', 4);
 QuarantineFile('C:\WINDOWS\system32\autorun.exe','');
 QuarantineFile('C:\PROGRA~1\Ahead\NEROTO~1\DRIVES~1.EXE','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\probe.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\mhk.sys','');
 QuarantineFile('C:\WINDOWS\system32\nl_msg.dll','');
 DeleteFile('C:\WINDOWS\system32\Drivers\mhk.sys');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\probe.sys');
 DeleteFile('C:\WINDOWS\system32\autorun.exe');
 DeleteService('Probe');
 DeleteService('mhk');
 BC_ImportALL;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил

логи повторите

[RKP]

После выполнения скрипта умерла клавиатура. В досе работает. Драйвер для этого устройства был отключен. Возможно, необходимые функции исполняет другой драйвер. (Код 32)

Нажмите кнопку "Диагностика", чтобы запустить мастер диагностики для данного устройства.

[RKP]

После выполнения скрипта умерла клавиатура.
В диспетчере устройств стоит восклицательный знак.Нажимаешь свойства выдаёт такую надпись
"Драйвер для этого устройства был отключен. Возможно, необходимые функции исполняет другой драйвер. (Код 32)

Нажмите кнопку "Диагностика", чтобы запустить мастер диагностики для данного устройства."
Пытался переставить драйвер, то-же самое.

Это произошло после перезагрузки компьютера. С загрузочного диска загружаешься клавиатура работает. Как все починить???

[RKP]

Вы не пробывали без клавы сделать логи и их отправить. Что мне Сделать. Ни ответа не привета.

[akok]

н-да увлекся

AVZ - файл - просмотр карантина - выбрать дату выполнения скрипта:
Поставить галку напротив C:\WINDOWS\system32\Drivers\mhk.sys
Нажать кнопку востановить.
Перезагрузиться.

Добавлено через 19 минут

Если не выйдет, прийдется накатить драйвера клавиатуры с диска

[Bratez]

Можно просто удалить клавиатуру в Диспетчере устройств и перезагрузиться, тогда система сама установит стандартный драйвер клавиатуры.

[RKP]

н-да увлекся

AVZ - файл - просмотр карантина - выбрать дату выполнения скрипта:
Поставить галку напротив C:\WINDOWS\system32\Drivers\mhk.sys
Нажать кнопку востановить.
Перезагрузиться.

Добавлено через 19 минут

Если не выйдет, прийдется накатить драйвера клавиатуры с диска

Это драйвер от системы криптографии. Я его уже восстановил.

Добавлено через 1 минуту

Можно просто удалить клавиатуру в Диспетчере устройств и перезагрузиться, тогда система сама установит стандартный драйвер клавиатуры.

Непомогало. Даже установка нового драйвера.

Добавлено через 6 минут

Все починил. Принес с работы ноут и сравнил все строки реестра где встречалась клавиатура. Короче там порт был поменян. Поменял как на ноуте и все заработало.Видать какой-то перехватчик в вирусе был.

[RKP]

После воостановления клавиатуры присылаю новые логи.
Система постоянно лезет на unknown.hostforweb.com/

[RKP]

Пожалуйста посмотрите новые логи

[akok]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\WINDOWS\system32\jpicpl32.cpl','');
 QuarantineFile('C:\Program Files\NetLimiter\nl_lsp.dll','');
 QuarantineFile('C:\WINDOWS\UnInst32.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\klif.sys','');
 QuarantineFile('C:\WINDOWS\system32\nl_msg.dll','');
 QuarantineFile('c:\windows\system32\hotfixq0306270.exe','');
 DeleteFile('C:\WINDOWS\services.exe');
 RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{DE625294-70E6-45ED-B895-CFFA13AEB044}');
 BC_ImportALL;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил


Включите AVZPM и повторите логи.