Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 29.

Вирус блокирует virusinfo.info, безопасный режим, создает папки с запусочными файлами (заявка № 40954)

  1. #1
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29

    Exclamation Вирус блокирует virusinfo.info, безопасный режим, создает папки с запусочными файлами

    Вирус блокирует в броузере любую страницу содержащую фразу virusinfo.info. Даже при вводе в гугле этого слова комп виснет наглухо - помогает лишь конпка ресет. Такой же результат только по слову kaspersky. На сайт захожу с другого компа.

    невозможно также загрузить безопасный режим - дальше черного экрана дело не идет.
    Утилиты cureit и AVP tool от заразы не лечат - они даже не находят вирусов (которые я искал, естественно в обычном режиме. из за чего - написано выше).
    Также вирус создает на диске D (не системный) в папке films разные папки с запусочныи файлами под названиями заголовков бульварной прессы (увеличение груди, половых органов и так далее).

    Также запускает програмку автораном (значок появляется на панели быстрого запуска) - про пополнение счета и создает соответственный ярлык на рабочем столе.

    Нод32,3 с обновленными базами также ничего не находит.
    Очень прошу помочь.

    Логи прикрепляю
    Последний раз редактировалось rodmanizer; 06.03.2009 в 18:23.

  2. Реклама
     

  3. #2
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('C:\WINDOWS\system32\mscoco.exe','');
    DeleteFile('C:\WINDOWS\system32\mscoco.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите карантин согласно приложению 3 правил
    (загружать тут: http://virusinfo.info/upload_virus.php?tid=40954).
    Сделайте новые логи.
    I am not young enough to know everything...

  4. #3
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    Карантин оказался пуст. Во время выполнения выше указанного скрипта мелькнуло сообщение "Ошибка карантина"

    Зайти на сайт все также невозможно - комп виснет.

    Логи:
    Последний раз редактировалось rodmanizer; 06.03.2009 в 18:23.

  5. #4
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    Убрал из скрипта параметр перезагрузки. ВОт лог выполнения скрипта с ошибками карантина. Может чем то поможет

    1.1 Поиск перехватчиков API, работающих в UserMode
    Анализ kernel32.dll, таблица экспорта найдена в секции .text
    Анализ ntdll.dll, таблица экспорта найдена в секции .text
    Анализ user32.dll, таблица экспорта найдена в секции .text
    Анализ advapi32.dll, таблица экспорта найдена в секции .text
    Анализ ws2_32.dll, таблица экспорта найдена в секции .text
    Анализ wininet.dll, таблица экспорта найдена в секции .text
    Анализ rasapi32.dll, таблица экспорта найдена в секции .text
    Анализ urlmon.dll, таблица экспорта найдена в секции .text
    Анализ netapi32.dll, таблица экспорта найдена в секции .text
    1.2 Поиск перехватчиков API, работающих в KernelMode
    Драйвер успешно загружен
    SDT найдена (RVA=08B520)
    Ядро ntoskrnl.exe обнаружено в памяти по адресу 804D7000
    SDT = 80562520
    KiST = 804E48A0 (284)
    Функция NtCreateKey (29) перехвачена (80577925->F74D70E0), перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtEnumerateKey (47) перехвачена (80578E1C->F74F5CA2), перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtEnumerateValueKey (49) перехвачена (80587691->F74F6030), перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtOpenKey (77) перехвачена (80572BFC->F74D70C0), перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtQueryKey (A0) перехвачена (80578A1C->F74F610, перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtQueryValueKey (B1) перехвачена (8057303F->F74F5F8, перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Функция NtSetValueKey (F7) перехвачена (80582294->F74F619A), перехватчик spei.sys
    >>> Функция воcстановлена успешно !
    >>> Код перехватчика нейтрализован
    Проверено функций: 284, перехвачено: 7, восстановлено: 7
    1.3 Проверка IDT и SYSENTER
    Анализ для процессора 1
    Анализ для процессора 2
    Проверка IDT и SYSENTER завершена
    1.4 Поиск маскировки процессов и драйверов
    Поиск маскировки процессов и драйверов завершен
    Драйвер успешно загружен
    1.5 Проверка обработчиков IRP
    \FileSystem\ntfs[IRP_MJ_CREATE] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_CLOSE] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_WRITE] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_INFORMATION] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_INFORMATION] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_EA] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_EA] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_VOLUME_INFORMATION] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_VOLUME_INFORMATION] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_DIRECTORY_CONTROL] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_FILE_SYSTEM_CONTROL] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_DEVICE_CONTROL] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_LOCK_CONTROL] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_QUERY_SECURITY] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_SET_SECURITY] = 8ADD41F8 -> перехватчик не определен
    \FileSystem\ntfs[IRP_MJ_PNP] = 8ADD41F8 -> перехватчик не определен
    Проверка завершена
    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\mscoco.exe)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\mscoco.exe)
    Карантин с использованием прямого чтения - ошибка

    Удаление файла:C:\WINDOWS\system32\mscoco.exe
    >>>Для удаления файла C:\WINDOWS\system32\mscoco.exe необходима перезагрузка
    Автоматическая чистка следов удаленных в ходе лечения программ

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,624
    Вес репутации
    1287
    Скачайте файл http://rapidshare.com/files/199106177/toto.pif (это более свежая версия AVZ, но в ней не обновляются базы).
    Сохраните в отдельную папку и выполните 2-й стандартный скрипт.
    Файл с результатами (virusinfo_syscheck.zip) приложите к теме.

  7. #6
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    Скрипт выполнил - лог выложил
    Вложения Вложения

  8. #7
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для light59
    Регистрация
    14.07.2008
    Адрес
    Пермь
    Сообщений
    5,492
    Вес репутации
    585
    Пролечитесь, как написано тут http://support.kaspersky.ru/faq/?qid=208636215.
    И с новым комплектов логов снова к нам. Будем продолжать.

  9. #8
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    И снова добрый день

    Пролечился я КидоКиллером, точнее попытался. При скане показало, что комп чист. (Был у меня конфикер когда-то, но я его замочил)

    Скрин прилагаю. Также установил все последние обновления для безопасности на винду.

    Также при сборе инфы AVZ указало на вот это. Может что-то с ним сделать?
    C:\WINDOWS\system32\ntshrui.dll --> Подозрение на Keylogger или троянскую DLL
    C:\WINDOWS\system32\ntshrui.dll>>> Поведенческий анализ
    Типичное для кейлоггеров поведение не зарегистрировано

    Ну и новый комплект логов
    Изображения Изображения
    • Тип файла: jpg scan.JPG (49.0 Кб, 14 просмотров)
    Вложения Вложения

  10. #9
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    up

    Добавлено через 44 секунды

    Прикреплял логи вчера. Два раза. Сообщение под модерацией и почему то не публикуется. Исправьте неполадки.
    Последний раз редактировалось rodmanizer; 06.03.2009 в 12:14. Причина: Добавлено

  11. #10
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1781
    Удалите старые логи через мой кабинет, вложения и попробуйте прикрепить...

  12. #11
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Я открыл сообщение с логами, извините за задержку.
    Удалять и прикреплять заново не нужно.

    Выполните скрипт в AVZ:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\Program Files\Windows NT\Accessories\mswrd6.dat\event.ini\avp.exe .','');
    BC_ImportALL;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите новый карантин согласно приложению 3 правил.
    I am not young enough to know everything...

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,624
    Вес репутации
    1287
    И поищите по всему диску С файлы:
    Код:
    *.exe .
    Именно с точкой на конце через пробел.
    Подробная инструкция: http://virusinfo.info/showthread.php?t=4567

  14. #13
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    Снова ошибка карантина как в моей авз, так и в той, на которую мне дали ссылку на закачку.

    Поискал файлы *.exe .

    AVZ показал, что просмотрено 66447, найдено 1461

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,624
    Вес репутации
    1287
    Сделайте так.
    В диалоге AVZ Поиск файлов для диска C задайте имя файла: *.*
    Размер: = 939520
    Интересуют такие, которые находятся в папках с расширением ini.
    Пришлите нам 2 таких файла, скопировав их в карантин.

  16. #15
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1781
    Нужно прислать как карантин по красной ссылке, из темы уберите...

  17. #16
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    Извиняюсь, выслал

    Добавлено через 1 час 14 минут

    Карантин "долетел"? Или произошел сбой опять? есть потребность выслать еще раз?

    Извиняюсь за настырность
    Последний раз редактировалось rodmanizer; 06.03.2009 в 20:07. Причина: Добавлено

  18. #17
    Expert Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.03.2008
    Сообщений
    14,832
    Вес репутации
    1781
    Ждем ответ ВирЛаба...

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,624
    Вес репутации
    1287
    Закройте все программы.
    Запустите AVZ, включите AVZGuard.
    Повторите поиск с теми параметрами что я указал выше.
    Удалите найденные файлы, нажимая кнопку Удалить отмеченные файлы.
    Перезагрузите компьютер не закрывая AVZ.

  20. #19
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для AndreyKa
    Регистрация
    08.01.2005
    Адрес
    Россия
    Сообщений
    13,624
    Вес репутации
    1287
    Цитата Сообщение от rodmanizer
    Также запускает програмку автораном (значок появляется на панели быстрого запуска) - про пополнение счета и создает соответственный ярлык на рабочем столе.
    Скопируйте файл на который этот ярлык указывает в карантин.
    Загрузите добавленный файл по ссылке Прислать запрошенный карантин верху этой темы.

  21. #20
    Junior Member Репутация
    Регистрация
    03.03.2009
    Сообщений
    17
    Вес репутации
    29
    На ваш сайт уже заходит. На диске D пока папки не создает. Что касается того ярлыка, думаю просто совпадение - удалил ту папку, куда ярлык ссылается - после перезагрузки он не появляется.

    Но в безопасный режим все равно не заходит. может проблема в винде (что то заглючило)
    В любом случае вот логи
    Вложения Вложения

  • Уважаемый(ая) rodmanizer, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Вирус блокирует сайт virusinfo.info
      От longudoz в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 21.11.2011, 16:57
    2. Ответов: 5
      Последнее сообщение: 27.09.2010, 21:24
    3. Ответов: 9
      Последнее сообщение: 14.08.2009, 18:42
    4. Ответов: 1
      Последнее сообщение: 27.02.2009, 10:27
    5. Ответов: 1
      Последнее сообщение: 27.02.2009, 07:54

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00640 seconds with 23 queries