kryptik.cf

[loa]

Здравствуйте,

NOD32 сигнализировал о вирусе kryptik.cf.
Пролез он, вероятнее всего, через chrome.

Как рекомендовано в методичке, запустил cureit (нашел 10 разных подозрительных объектов), потом скрипты. После cureit антивирус опять ругался, уже на что-то другое "черве-троянообразное".

Подозрительна постоянная активность соединения с сетью. При этом загрузка сайтов тормозит, сообщение сюда с того компа не разместилось.

Скрипты прилагаю.

Заранее спасибо,
Олег.

[Rene-gad]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 StopService('nbf0565');
 StopService('kor5eff');
 StopService('hlo5443');
 StopService('bsq60ec');
 QuarantineFile('C:\WINDOWS\System32\drivers\hti8899.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\bsq60ec.sys','');
 QuarantineFile('C:\Program Files\Microsoft Common\svchost.exe','');
 DeleteService('nbf0565');
 DeleteService('kor5eff');
 DeleteService('hlo5443');
 DeleteService('bsq60ec');
 DeleteFile('C:\WINDOWS\System32\drivers\hti8899.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\bsq60ec.sys');
 DeleteFile('C:\Program Files\Microsoft Common\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('nbf0565');
 BC_DeleteSvc('kor5eff');
 BC_DeleteSvc('hlo5443');
 BC_DeleteSvc('bsq60ec');
BC_Activate;
RebootWindows(true);
end.

После перезагрузки:
- Очистите темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
- Сделайте повторные логи

virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log

- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

[loa]

Господа,

Выполнить следующий шаг лечения не получается, потому что комп наотрез отказывается загружаться
Перегружался даже на начальном экране (где про версию биоса, объем памяти и т.п.). Что совсем странно.

В итоге удалось загрузиться только в safe mode. Запустил с горя еще раз cureit, он нашел зараженный файл в папке nod\infected ("карантинная"?) и в данный момент проверяет все диски.

Наверное, проще переставить ХР напрочь. Благо, там не так уж много чего реально нужного (и, наоборот, много мусора за почти три года без переустановки). И сразу забаррикадироваться против напасти как следует

[Rene-gad]

В итоге удалось загрузиться только в safe mode

Скрипт можно выполнить и в безопасном режиме - хуже не будет. А переставить ось никогда не поздно. Если надумаете переставлять - установите все сервис паки до первого выхода в сеть.

[loa]

Скрипт можно выполнить и в безопасном режиме - хуже не будет. А переставить ось никогда не поздно. Если надумаете переставлять - установите все сервис паки до первого выхода в сеть.

Правильно ли я понимаю, что удаляемое (?) скриптом как раз может мешать нормальной загрузке?

[Rene-gad]

Правильно ли я понимаю, что удаляемое (?) скриптом как раз может мешать нормальной загрузке?

Давайте выполним скрипт, закачаем карантин по правилам и подождем ответа из Вирлаба Гадание по руке не делаем...

[loa]

Давайте выполним скрипт, закачаем карантин по правилам и подождем ответа из Вирлаба Гадание по руке не делаем...

OK
Стоит ли до скрипта запустить второй сканер (как указано в самом начале "правил")? Или это в данный момент без толку?

[Rene-gad]

Стоит ли до скрипта запустить второй сканер

Вы имеете ввиду АВПТул? Вы же уже Куреитом проверялись! Не нужно.

[loa]

Ясно. Вечером поставлю больному очередную клизму

Добавлено через 10 часов 46 минут

Больной с трудом принял клизму в виде скрипта, и после нее ему совсем поплохело. Не загружается ни в каком режиме. Черный экран с курсором мышки.

С горем-пополам из черного экрана в safe mode через ctrl-alt-del добрался до cmd, исталлировал (!) far Благо, он сразу потом запускается. Сохранил что надо было с диска c: на другие и буду его форматить/переставлять винду.

За помощь, тем не менее, спасибо!
Как минимум, я выяснил, что nod32 надо срочно менять на что-либо "более прочное".