Определить и выличить

[voleka]

Не удаеться определить к какой модификации относиться и методы лечения. Пробовал разные коды для разблокировки опубликованные на форуме, не помогло. Загружался с Live CD, просматривал содержимое папок, нет таких файлов о которых здесь так же писали. Как определить что это и как в дальнейшем с ним бороться? Возможно немного неудачный снимок.

[drongo]

запустить надо avz на заражённой системе и сделать логи, скопируем экземпляр- будет лечение и возможность предотвращения не только для вас, но и для остальных.

1. На клавиатуре необходимо нажать сочетание клавиш Windows+U, вызывая окно Мастера специальных возможностей:



2. Из указанного меню может быть запущена Экранная лупа, активация которой сопровождается пояснительным текстом:




Нажав на ссылку "Веб-узел Майкрософт", пользователь получает доступ к обозревателю Интернета, а, следовательно, может загружать и запускать антивирусные инструменты - AVZ, AVPTool, CureIt и т.д.

[voleka]

В том то и дело, что и это пробовал, не помогает. Не удается добраться до рабочего стола или куда бы еще... Блокировка полная. Что еще можно сделать?

[thyrex]

А вот это пробовали?

Загрузитесь с виндовского LiveCD или же подключите жесткий диск с больной системой к другому компьютеру. Но ничего не запускайте на подключенном диске!
Проверьте наличие файлика userinit.exe в папке windows\system32.

Далее
1. Запустите regedit и выделите раздел HKEY_USERS.
2. Выберите в меню программы File - Load Hive (Файл - Загрузить куст) и перейдите к папке, где находится реестр вашей Windows (обычно C:\Windows\System32\Config).
3. Выделите файл SOFTWARE без расширения и нажмите Open (Открыть).
4. Введите имя для раздела, который вы загрузили, например, MyHive.
посмотрите Microsoft\Windows NT\Winlogon(в обычном виде это [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
параметр Userinit должен быть такой C:\WINDOWS\system32\userinit.exe, (с запятой)
не забудьте выгрузить куст

Если поможет, проследуете на выполнение правил http://virusinfo.info/showthread.php?t=1235

[voleka]

Загрузился с Live CD. Перешел windows\system32 файл userinit.exe присутствует. Запустил regedit загрузил куст в этом разделе в параметре Userinit c:\windows\help\hlp.exe Что нужно дальше сделать? Удалить этот параметр? И попытаться загрузиться уже с зараженной системы?

[PavelA]

c:\windows\help\hlp.exe - не просто удалить, а куда-нибудь скопировать чтобы потом с нами поделиться.

[thyrex]

Читаем внимательно

параметр Userinit должен быть такой C:\WINDOWS\system32\userinit.exe, (с запятой)

т.е. нужно вместо c:\windows\help\hlp.exe написать C:\WINDOWS\system32\userinit.exe,

[voleka]

В приветствии выбираю пользователя с правами администратора, рабочий стол моргает на мнговенье и в строке выбора пользователя появляется "завершение сеанса" При нажатии windows+U появляется выше указаное окно на фоне приветствия и выбора пользователей без сопровождения пояснительного текста. Так и не получается попасть на рабочий стол и запустить что либо. Что еще можно сделать?

[thyrex]

voleka, Вы точно поправили все, как в предыдущем сообщении №7?

[voleka]

Простите... каюсь... поторопился и сделал не внимательно... имя файла изменил на правильное, а пути остались старые... c:\windows\help\userinit.exe, сейчас установил правильно c:\windows\system32\userinit.exe, попал на рабочий стол... запустил AVZ, сейчас сканирует и готовит отчет.

[drongo]

c:\windows\help\hlp.exe сохранили? иначе всё пойдёт насмарку...

[voleka]

Да, конечно сохранил. Сделал диагностику из правил п1. перезагрузил компьютер, иеперь не удалось попасть на рабочий стол... пришлось воспользоваться методом из поста №2 запустить AVZ еще раз и выполнить скрипт сбора информации для раздела "Помогите!" но логи отличаються и то что находиться в карантине и папке инфецированые и то что приготовлено в архиве virus.zip Что дальше сделать?

[PavelA]

virus.zip грузить по http://virusinfo.info/showthread.php?t=50436

Логи любые сюда в тему.

[voleka]

virus.zip грузить по http://virusinfo.info/showthread.php?t=50436

Получили?

Логи любые сюда в тему.

А как сюда в тему логи показать из папки LOG?

Добавлено через 48 секунд

Результат загрузки
Файл сохранён как 090722_172312_virus_4a6712c0eee48.zip
Размер файла 49816
MD5 c709390f90db387441a37f1e0bd05a33

Файл закачан, спасибо!

Добавлено через 5 минут

hlp.exe в архиве нет, я его удалил из папки windows\help и сохранил в другом разделе винта. Как мне его Вам прислать для иследования?

[PavelA]

Логи Зазиповать и вложить сюда в сообщение.

Файл, из-за которого все началось, найти через AVZ, добавить в карантин и прислать через красную ссылку

[voleka]

Файл, из-за которого все началось, найти через AVZ, добавить в карантин и прислать через красную ссылку

Не нашел как через AVZ добавить файл, просто добавил его в архив.
Результат загрузки
Файл сохранён как 090722_180725_virus_4a671d1d7d8d0.zip
Размер файла 84813
MD5 f40108f83532a0661c5a176407d92e78

Файл закачан, спасибо!

[voleka]

Вот папка лог.

[PavelA]

Восстановление системы: включено -- надо отключить.
В дальнейшем присылай логи раздельно. Не нужно их в один файл запихивать.

Выполнить скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\Windows\Help\hlp.exe','');
 QuarantineFile('C:\WINDOWS\system32\mlhost.exe','');
 QuarantineFile('C:\WINDOWS\mkchik.exe','');
 DeleteFile('C:\Windows\Help\hlp.exe');
 DeleteFile('C:\WINDOWS\system32\mlhost.exe');
 DeleteFile('C:\WINDOWS\mkchik.exe');
 ExecuteRepair(9);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать сюда virusinfo_syscheck.zip и virusinfo_syscure.zip
Карантин загрузить по Правилам Приложение 3

[voleka]

Восстановление системы: включено -- надо отключить.

В какой момент можно будет включить эту функцию?

В дальнейшем присылай логи раздельно. Не нужно их в один файл запихивать.

Понял, в дальнейшем так и буду делать.

Прислать сюда virusinfo_syscheck.zip и virusinfo_syscure.zip

Сделано

Карантин загрузить по Правилам Приложение 3

Результат загрузки
Файл сохранён как 090723_091904_virus_4a67f2c8abfc3.zip
Размер файла 111511
MD5 a2ec6171d68ca89e5f6e76e102fa8e46

Файл закачан, спасибо!

[PavelA]

Вот что было:
'C:\Windows\Help\hlp.exe' - Trojan-Ransom.Win32.SMSer.dy
C:\WINDOWS\mkchik.exe - Зловред Trojan-Spy.Win32.Agent.axky
C:\WINDOWS\system32\mlhost.exe - Зловред Trojan-Clicker.Win32.Delf.cly

Добавлено через 2 минуты

Логи надо было заново сделать.
извини, что не совсем точно написал.