Winhelp32.exe и думаю он не один там, заблокирован рееестр [Trojan-PSW.Win32.Agent.lkk, Trojan-Dropper.Win32.Agent.acgt ]

[paradox777]

Не могу вычистить машину от этих прелестей. Стоял clamwin-0.94 ожидали лиц ПО KAV. Теперь и Касперского не могу поставить - в ходе установки выдает последовательно 3 ошибки. .и ошибку записи в реестр ветки автостарта. Так же не может зарегистрироваться. Вобщем прошу помощи.

[Aleksandra]

Скачайте IceSword. Запустите, слева внизу нажмите File, затем найдите:

C:\WINDOWS\System32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\winhelp32.exe
C:\WINDOWS\SYSTEM32\VIDEO.sys

и сделайте им Force Delete.

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DelBHO('{7c6e1044-dbf1-edb3-57bb-d40a130ea5bd}');
 DelBHO('{1f460357-8a94-4d71-9ca3-aa4acf32ed8e}');
 QuarantineFile('c:\windows\system32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\System32\vmmreg32.dll','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
 QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
 QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
 DeleteFile('c:\windows\system32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\System32\vmmreg32.dll');
 DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
 DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
 DeleteFile('C:\WINDOWS\System32\Drivers\Winlr38.sys');
 DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
 DelWinlogonNotifyByKeyName('WinCtrl32');
 DelWinlogonNotifyByKeyName('syncps');
 BC_ImportAll;
 ExecuteSysClean;
 BC_DeleteSvc('video');
 BC_DeleteSvc('Winlr38');
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно приложению 3 правил.
Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=36530

3. Повторите логи.

[paradox777]

Спасибо, Сашенька, что помогаете. С наступающими Вас! Здоровья и денег.
вот логи после исполнения выше перечисленных действий.

[PavelA]

Профиксить:

O20 - AppInit_DLLs: vmmreg32.dll
O20 - Winlogon Notify: syncps - syncps.dll (file missing)
O21 - SSODL: WebProxy - {A744F16C-B2D5-4138-81A2-085CDFCDE83A} - sxmg4.dll (file missing)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,C:\WINDOWS\system32\msupdt.exe,
O2 - BHO: myiebho - {7c6e1044-dbf1-edb3-57bb-d40a130ea5bd} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Еще пару указаний напишу чуть позже.

[paradox777]

Павел, выполнил Ваши указания. Я понимаю что отступление от темы тут не приветствуется, но все же спрошу - с чем мы боремся и как его зовут? Я читал похожие ветки, но там все также безлико.. народ просто радуется освобождению от неприятности, а я хочу еще и знать что это было?

[PavelA]

Боремся вот с этим:
digeste.dll - Backdoor.Win32.Small.had

И еще парочкой паразитных файлов.

З.Ы. Отступления не то чтобы не приветствуются, но и не наказываются.
Спрашивайте, ответим, если сами знаем.

Добавлено через 8 минут

Описание:
sxmg4.dll -
http://www.oral8.cn/viruscom/viruscom_26099.html

Выполнить:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('digeste.dll');
 DeleteFile('sxmg4.dll');
 BC_DeleteFile('sxmg4.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Заменить sfsdll.exe на sfcdll.bak

Сделать новые логи.

[paradox777]

Описание:
sxmg4.dll -
http://www.oral8.cn/viruscom/viruscom_26099.html

Вот по этой ссылке есть SXMG4.DLL removal
как я понял ссылка для информации а не для скачивания этой утилиты и использования ее?

[PavelA]

Да, ссылка для Информации. Мы пытаемся бороться своими методами. Ну, уж если они не проходят, то применяем сторонние.

[paradox777]

спасибо за разъяснения
логи

[PavelA]

Вот это неправильно:
O23 - Service: Kaspersky Anti-Virus (avp) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" -r (file missing)
O23 - Service: Eset HTTP Server (ehttpsrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

Должен быть один.

Далее. AVZ - Сервис - Менеджер Active Setup - удалить то, что там висит.

Добавлено через 1 минуту

Выполните:

begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\drivers\92e9492a.sys','');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин.

[paradox777]

Вот это неправильно:
O23 - Service: Kaspersky Anti-Virus (avp) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" -r (file missing)
O23 - Service: Eset HTTP Server (ehttpsrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

Должен быть один.

Далее. AVZ - Сервис - Менеджер Active Setup - удалить то, что там висит.

это поправим - оставим один AVP просто все что смог подсунуть это нод32, авп при этом корректно удалить не смог.

[PavelA]

'C:\WINDOWS\System32\Drivers\sfc.SYS' - вот этого тоже победили.

[paradox777]

Выполните:

begin
Clearquarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\System32\drivers\92e9492a.sys','');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришлите карантин.

Вот это выполнил - но папка карантина пуста! Так что прислать нечего

Касперский поставился, Нод32 убился благополучно, но осталась проблема в том что есть какоето перенаправление на локал хост. .т.е. все внешни адреса инета смотрятся по одному и тому же локал хосту 127,0,0,1.
Это начинается после попытки касперского зарегестрироваться, т.е. если пингуем адрес сервера регистрации то получаем пинг до локал хоста - вот такие вот пироги. Я видел в логах какойто псевдо прокси.. может это его остатки мудрят?

[PavelA]

Лог Хиджака сделай.

[paradox777]

вот

[PavelA]

Качаем Icesword. в нем находим и удаляем:
C:\WINDOWS\System32\drivers\92e9492a.sys

После него скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 dELETEFile('C:\WINDOWS\System32\drivers\92e9492a.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Далее делаем новые логи.

[paradox777]

Всех, с наступившими!!!!
вот логи

[PavelA]

1.Хвосты Нода остались.
2. Через Icesword файл удалился?
3.sfcfiles.dll скопировать из system32/dllcache

[paradox777]

1.Хвосты Нода остались.
2. Через Icesword файл удалился?
3.sfcfiles.dll скопировать из system32/dllcache

А я както хвосты нода не вижу, вроде корректно анинсталлом удалял. Может посоветуете чем еще почистить, и сразу вопрос.. почему мы избавляемся от нода и его остатков так досконально?

ФАйл вроде удалился.. делал форс делете

а куда скопировать длл?

[PavelA]

А я както хвосты нода не вижу, вроде корректно анинсталлом удалял. Может посоветуете чем еще почистить, и сразу вопрос.. почему мы избавляемся от нода и его остатков так досконально?

Чтобы не мешал работать другому а/вирусу, Касперскому или какому-нибудь другому.

ФАйл вроде удалился.. делал форс делете

Скрипт напишу для очистки остатков.

а куда скопировать длл?

На место в system32.

Добавлено через 2 минуты

Скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteSvc('92e9492a');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\92e9492a.sys');
BC_Activate;
RebootWindows(true);
end.