Просто огромное кол-во РАЗНЫХ вирусов!

[сергиус]

Дорогие хэлперы!
У соседки есть древний комп на XP SP1, он безбожно тормозил. Хотел обновить до SP2, но он пишет, что надо обладать правами админа (хотя я под админом и вхожу). DRWeb нашёл кучу вирусов-троянов, но после проверки автозагрузки полная проверка тормозится и комп не реагирует на команды. Ситуация осложнена тем, что оптический привод не работает, и утилиты приходится запускать с флешки - которая, конечно сразу заражается... И в безопасном режиме комп не грузится. Вообщем я пофиксил, сделал логи, но на флешке (на своём уже проверил) было около 40 троянов, не знаю, скажется ли это на логах. Первый скрипт AVZ не смог выполнить - запускал несколько раз, но когда уже все диски проверены и выходят последние строчки в окне ("если вы подозреваете вирусы - обратитесь на virusinfo и т.д.") комп виснет и не появляется окошка скрипты выполнены - и лог не записывается. В итоге только 2 лога.
Помогите.

[light59]

а проверять AVPTool пробовали?
Скачайте AVZ у меня из подписи и попробуйте сделать недостающий лог.

[сергиус]

Удалось запустить AVP Tool, но система жутко тормозит - за 3 часа проверено 3% (58 вирей найдено). Оставлю работающим на всю ночь - пусть прочесывает. Завтра если всё удачно будет новые логи сделаю.

[сергиус]

Увы, с AVP tool системе удалось проверить за 18 часов только 10%!!! Найдено 65 вирусов. Проверку пришлось прервать. А вот с полиморфным AVZ удалось сделать все логи. На всякий случай ещё раз HIJACK'ом пофиксил. Очень надеюсь на вашу помощь - ситуация патовая - система тормозит жутко. По прежнему не имею прав админа и доступа к безопасному режиму.

[Гриша]

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\DOCUME~1\ВЛАД\LOCALS~1\Temp\winnnpmwm.exe','');
 QuarantineFile('C:\WINDOWS\system\Fun.exe','');
 QuarantineFile('C:\WINDOWS\dc.exe','');
 DeleteService('HBKernel32');
 DeleteService('f28907d');
 DeleteService('c6424110');
 DeleteService('b770ca2');
 DeleteService('b71fe93');
 DeleteService('b1a18a3e');
 QuarantineFile('C:\WINDOWS\System32\b1a18a3e.sys','');
 DeleteService('HBKernel');
 DeleteService('ati2mqxx');
 DeleteService('ICF');
 QuarantineFile('C:\WINDOWS\System32\icf.exe.exe:ext.exe','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\HBKernel.sys','');
 QuarantineFile('C:\WINDOWS\System32\Drivers\ati2mqxx.sys','');
 QuarantineFile('C:\WINDOWS\Update.dll','');
 QuarantineFile('C:\WINDOWS\System32\dpppaaid.dll','');
 QuarantineFile('C:\WINDOWS\System32\csrss.dll','');
 QuarantineFile('C:\WINDOWS\System32\2EF0D734.dll','');
 QuarantineFile('C:\WINDOWS\Fonts\Framdee.ttf','');
 QuarantineFile('c:\windows\system32\rs32net.exe','');
 TerminateProcessByName('c:\windows\system32\rs32net.exe');
 DeleteFile('c:\windows\system32\rs32net.exe');
 DeleteFile('C:\WINDOWS\Fonts\Framdee.ttf');
 DeleteFile('C:\WINDOWS\System32\2EF0D734.dll');
 DeleteFile('C:\WINDOWS\System32\3D144530.dll');
 DeleteFile('C:\WINDOWS\System32\4506AD31.dll');
 DeleteFile('C:\WINDOWS\System32\4D023DE9.dll');
 DeleteFile('C:\WINDOWS\System32\4FBFD5A4.dll');
 DeleteFile('C:\WINDOWS\System32\56BC86C7.dll');
 DeleteFile('C:\WINDOWS\System32\5934EA2B.dll');
 DeleteFile('C:\WINDOWS\System32\66AFCB56.dll');
 DeleteFile('C:\WINDOWS\System32\83baaed7.dll');
 DeleteFile('C:\WINDOWS\System32\93DEE065.dll');
 DeleteFile('C:\WINDOWS\System32\950D1600.dll');
 DeleteFile('C:\WINDOWS\System32\9CA963CA.dll');
 DeleteFile('C:\WINDOWS\System32\A1A6BC2E.dll');
 DeleteFile('C:\WINDOWS\System32\A55F538E.dll');
 DeleteFile('C:\WINDOWS\System32\a7d8317f.dll');
 DeleteFile('C:\WINDOWS\System32\AAC70E2B.dll');
 DeleteFile('C:\WINDOWS\System32\B6E23E89.dll');
 DeleteFile('C:\WINDOWS\System32\BA7EDF54.dll');
 DeleteFile('C:\WINDOWS\System32\bcpjnnoc.dll');
 DeleteFile('C:\WINDOWS\System32\bcppfamm.dll');
 DeleteFile('C:\WINDOWS\System32\C8FFD223.dll');
 DeleteFile('C:\WINDOWS\System32\csrss.dll');
 DeleteFile('C:\WINDOWS\System32\D9C002DD.dll');
 DeleteFile('C:\WINDOWS\System32\DA63E650.dll');
 DeleteFile('C:\WINDOWS\System32\DFB3DAC5.dll');
 DeleteFile('C:\WINDOWS\System32\dpppaaid.dll');
 DeleteFile('C:\WINDOWS\System32\E0D39066.dll');
 DeleteFile('C:\WINDOWS\System32\E1384213.dll');
 DeleteFile('C:\WINDOWS\System32\E4814792.dll');
 DeleteFile('C:\WINDOWS\System32\E783C505.dll');
 DeleteFile('C:\WINDOWS\System32\eblgakcn.dll');
 DeleteFile('C:\WINDOWS\System32\f22488be.dll');
 DeleteFile('C:\WINDOWS\System32\F65BDEC7.dll');
 DeleteFile('C:\WINDOWS\System32\F8E07BB2.dll');
 DeleteFile('C:\WINDOWS\System32\fhneocbi.dll');
 DeleteFile('C:\WINDOWS\System32\gcjedcek.dll');
 DeleteFile('C:\WINDOWS\system32\gepqkg.dll');
 DeleteFile('C:\WINDOWS\System32\ghhnbggk.dll');
 DeleteFile('C:\WINDOWS\System32\gnpfkmfi.dll');
 DeleteFile('C:\WINDOWS\System32\goibnkci.dll');
 DeleteFile('C:\WINDOWS\System32\hdhbejjk.dll');
 DeleteFile('C:\WINDOWS\System32\kjeocpoj.dll');
 DeleteFile('C:\WINDOWS\System32\lapoejlc.dll');
 DeleteFile('C:\WINDOWS\System32\lfjjofnf.dll');
 DeleteFile('C:\WINDOWS\System32\lgljbjgb.dll');
 DeleteFile('C:\WINDOWS\System32\lncclemn.dll');
 DeleteFile('C:\WINDOWS\System32\mdjioeeo.dll');
 DeleteFile('C:\WINDOWS\System32\nndhleni.dll');
 DeleteFile('C:\WINDOWS\System32\sh09018.dll');
 DeleteFile('C:\WINDOWS\Update.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\HBKernel.sys');
 DeleteFile('C:\WINDOWS\System32\icf.exe.exe:ext.exe');
 DeleteFile('C:\WINDOWS\System32\b1a18a3e.sys');
 DeleteFile('C:\WINDOWS\System32\b71fe93.sys');
 DeleteFile('C:\WINDOWS\System32\b770ca2.sys');
 DeleteFile('C:\WINDOWS\System32\c6424110.sys');
 DeleteFile('C:\WINDOWS\System32\f28907d.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\HBKernel32.sys');
 DeleteFile('C:\WINDOWS\SVIQ.EXE');
 DeleteFile('C:\WINDOWS\dc.exe');
 DeleteFile('C:\WINDOWS\system\Fun.exe');
 DeleteFile('C:\DOCUME~1\ВЛАД\LOCALS~1\Temp\winnnpmwm.exe');
 DeleteFile('explore.exe');
 DeleteFile('gepqkg.dll');
 DeleteFile('nmncpfmj.dll');
 DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(10);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.

Пришлите карантин по правилам и повторите логи...

[сергиус]

Карантин сделал.
Результат загрузки
Файл сохранён как 090122_011600_virus_49779ea0b6104.zip
Размер файла 147757
MD5 c5c6c548387fd068137c91beca4c202c
При проверке флешки на моём компе вирусы находятся. Логи сделал заново.

[light59]

Пофиксите

O20 - AppInit_DLLs: gnpfkmfi.dll,hdhbejjk.dll,bcpjnnoc.dll,nndhleni.dll,a7d8317f.dll,mdjioeeo.dll,fhneocbi.dll,lncclemn.dll,f22488be.dll,83baaed7.dll,lgljbjgb.dll,goibnkci.dll,ghhnbggk.dll,lfjjofnf.dll,eblgakcn.dll,dpppaaid.dll,bcppfamm.dll,gcjedcek.dll,lapoejlc.dll,kjeocpoj.dll,
O20 - Winlogon Notify: gepqkg - C:\WINDOWS\
O21 - SSODL: ThunderAdvise - {97421D0D-E07F-40DF-8F07-99597B9585AD} - (no file)

в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\WINDOWS\System32\csrss.dll');
 DeleteFile('C:\WINDOWS\System32\sh09018.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati2mqxx.sys');
 DeleteService('ati2mqxx');
 DeleteFile('2EF0D734.dll');
 DeleteFile('3D144530.dll');
 DeleteFile('4506AD31.dll');
 DeleteFile('4D023DE9.dll');
 DeleteFile('4FBFD5A4.dll');
 DeleteFile('56BC86C7.dll');
 DeleteFile('5934EA2B.dll');
 DeleteFile('66AFCB56.dll');
 DeleteFile('83baaed7.dll');
 DeleteFile('93DEE065.dll');
 DeleteFile('950D1600.dll');
 DeleteFile('9CA963CA.dll');
 DeleteFile('A1A6BC2E.dll');
 DeleteFile('A55F538E.dll');
 DeleteFile('AAC70E2B.dll');
 DeleteFile('B6E23E89.dll');
 DeleteFile('BA7EDF54.dll');
 DeleteFile('C8FFD223.dll');
 DeleteFile('C:\WINDOWS\System32\01AFE3DC.dll');
 DeleteFile('D9C002DD.dll');
 DeleteFile('DA63E650.dll');
 DeleteFile('DFB3DAC5.dll');
 DeleteFile('E0D39066.dll');
 DeleteFile('E1384213.dll');
 DeleteFile('E4814792.dll');
 DeleteFile('E783C505.dll');
 DeleteFile('F8E07BB2.dll');
 DeleteFile('a7d8317f.dll');
 DeleteFile('bcpjnnoc.dll');
 DeleteFile('bcppfamm.dll');
 DeleteFile('dpppaaid.dll');
 DeleteFile('eblgakcn.dll');
 DeleteFile('f22488be.dll');
 DeleteFile('fhneocbi.dll');
 DeleteFile('gcjedcek.dll');
 DeleteFile('ghhnbggk.dll');
 DeleteFile('gnpfkmfi.dll');
 DeleteFile('goibnkci.dll');
 DeleteFile('hdhbejjk.dll');
 DeleteFile('kjeocpoj.dll');
 DeleteFile('lapoejlc.dll');
 DeleteFile('lfjjofnf.dll');
 DeleteFile('lgljbjgb.dll');
 DeleteFile('lncclemn.dll');
 DeleteFile('mdjioeeo.dll');
 DeleteFile('nndhleni.dll');
 DeleteFile('C:\Documents and Settings\Влад\Local Settings\Temp\009.exe');
 DeleteFile('C:\Documents and Settings\Влад\Local Settings\Temporary Internet Files\Content.IE5\KTY3CDAR\009[2].exe');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteSvc('nvmini');
 BC_DeleteSvc('b1a18a3e');
 BC_DeleteSvc('ati2mqxx');
BC_Activate;
RebootWindows(true);
end.

логи повторите. Темп-папки ещё почистите.

[сергиус]

Пофиксил, логи прицепляю. Теперь появилась ещё одна проблема - исчезло меню пуск и автозагрузка (т.е. полностью полоска со значками внизу) и невозможно выполнение операции копировать-вставить (данные строчки даже не появляются при правом клике).
Во время фиксации в Hijack пишет: you have a particulary large amount of hijacked domains. It's better to delete the file itself then tp fix each item (у вас слишком большое кол-во hijack-доменов. Возможно лучше сначала удалить сам файл и потом пофиксить каждое значение)

[light59]

Скрипт делали в полиморфе?

Скачать IceSword
-Запустите программу. Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл

C:\WINDOWS\System32\Drivers\ati2mqxx.sys

-Нажмите по нему правой кнопкой мыши и выберите force delete.
-На запрос потверждения ответьте "да".
и без перезагрузки в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('F65BDEC7.dll');
 DeleteFile('C:\WINDOWS\System32\Drivers\ati2mqxx.sys');
 DeleteService('ati2mqxx');
BC_ImportDeletedList;
 BC_DeleteSvc('ati2mqxx');
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteRepair(16);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.

логи повторяем.

Добавлено через 1 минуту

SP1 надо фиксить... Да и НОД в очередной раз курил в сторонке...

[drongo]

эх ты, студент, студент- флешку то надо было с защитой от записи вставлять,(с перемычкой флешки надо покупать) если заражать флешку не хотел
логи тоже в полиморфном сделать.

[сергиус]

Всё сделал, но пуск так и не появился.
Логи сделал полиморфом - прикрепляю. Постепенно начинает потряхивать ситуёвина эта.

[Гриша]

В AVZ, пункт 13 восстановления сделайте и полную проверку CureIT...

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\windows\\system32\\b1a18a3e.sys - Trojan-GameThief.Win32.Magania.anej (DrWEB: Trojan.NtRootKit.1934)
  2. c:\\windows\\system32\\csrss.dll - Backdoor.Win32.Small.gzp (DrWEB: Trojan.MulDrop.29469)
  3. c:\\windows\\system32\\dpppaaid.dll - Trojan-GameThief.Win32.OnLineGames.bkrn
  4. c:\\windows\\system32\\drivers\\hbkernel.sys - Trojan-GameThief.Win32.OnLineGames.syng (DrWEB: Trojan.PWS.Gamania.13206)
  5. c:\\windows\\system32\\rs32net.exe - Trojan.Win32.Agent.bkan (DrWEB: BackDoor.Bulknet.320)
  6. c:\\windows\\system32\\2ef0d734.dll - Trojan-GameThief.Win32.Magania.anfc (DrWEB: Trojan.PWS.Wsgame.origin)
  7. c:\\windows\\update.dll - Trojan.Win32.Qhost.ktn