Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 22.

Троян FakeAlert и постоянные перезагрузки (заявка № 52239)

  1. #1
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27

    Thumbs up Троян FakeAlert и постоянные перезагрузки

    Прошу всех, кто может чем-нибудь помочь мне с такой проблемой.

    Сначала вылазит окно, мол антивирус нашел вирусы , потом сообщение по-английски в правом нижнем углу экрана, что ваш комп инфицирован spyware, и теперь надо скачать какую то хрень, она сразу же начинает качаться(без согласия пользователя), потом эта antispyware 2010 находит аж 35 вирусов в системе и просит купить лицензию этой проги. Так было не очень давно. С помощью CureIT! я удалил троян fakeAlert, и какой-то Trojan.NtRootKit.3206,и еще какой-то вирус, сидящий в ntfs.sys.
    Теперь,когда я включаю компьютер, все идет как надо: запускается винда, все запустилось без ошибок. После этого, когда я подключаю интернет, вылазит сообщение : "E:\WIND2009\system32\dllcache\figaro.sys - инфицирован Trojan.NtRootKit.3206", если нажать лечить/запретить/перемесить/удалить/переименовать, то компьютер перезагрузится. Еще в правом нижнем углу экрана появился красный кружок с белым крестиком внутри при наведении на него мышкой пишет следующее:

    Your computer is infected!
    Windows has detected spyware infection!
    It is recomended to use special antispyware tools to pervent data loss/ Windows will now download and install the most up-to-date antispyware for you.
    Click here to protect your computer from spyware!
    До подключения компьютера к интернету, все идет нормально.
    Антивирус DRweb, система windows XP.В диспетчере задач сидит процесс braviax.exe, также появилось много svchost.exe и процесс msword98.exe(4 штуки). Я убрал эти процессы из автозапуска, но braviax.exe все равно запускается. Кстати, теперь, когда запускаешь cureit или AVPtool, пишет, что вирусные базы повреждены или путь к ним неправильный(как в обычном, так и в безопасном режиме).
    Вложения Вложения

  2. Реклама
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

    - Отключите ПК от интернета/локалки
    - Отключите Антивирус и Файрвол.
    - Отключите Системное восстановление.

    -Пофиксите
    Код:
    O4 - HKLM\..\Run: [Regedit32] E:\WIND2009\system32\regedit.exe
    O4 - HKLM\..\Run: [braviax] E:\WIND2009\system32\braviax.exe
    O20 - AppInit_DLLs: cru629.dat
    -Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     TerminateProcessByName('e:\wind2009\temp\bn15.tmp');
     QuarantineFile('E:\WIND2009\system32\braviax.exe','');
     QuarantineFile('E:\WIND2009\system32\Drivers\Ntfs.sys','');
     QuarantineFile('E:\WIND2009\TEMP\BN15.tmp','');
     QuarantineFile('E:\WIND2009\system32\cru629.dat','');
     DeleteFile('E:\WIND2009\system32\cru629.dat');
     DeleteFile('E:\WIND2009\TEMP\BN15.tmp');
     DeleteFile('E:\WIND2009\system32\braviax.exe');
    DeleteFileMask('E:\WIND2009\TEMP','*.*',true);
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    SetAVZPMStatus(True);
    RebootWindows(true);
    end.
    После перезагрузки:


    - Файл E:\WIND2009\system32\Drivers\Ntfs.sys замените на чистый: http://virusinfo.info/showthread.php?t=51654
    - Очистите темп-папки, кэш проводников и корзину.
    - Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
    - Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
    - Включите Антвирус и Файрволл
    - Подключите ПК к интернету/локалке
    - Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).

  4. #3
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    1)Темп-папки очистил, кэш проводников и корзину тоже.
    2)логи прикрепил
    3)Не знаю где взять дистрибутив. Как обычно все пошло не так, как вы описали. Во время выполнения скрипта прога висла 2 раза, но потом в папке Quarantine все же появились файлы, но после выполнения пунктов 1-3 раздела правил, они исчезли...
    3)Недавно проверил систему cureit. Прога нашла троян Proxy и 2 трояна FakeAlert, удалил.

    Мне выполнить этот скрипт еще раз?
    Вложения Вложения
    Последний раз редактировалось Rene-gad; 17.08.2009 в 20:15.

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Цитата Сообщение от Monax Посмотреть сообщение
    Мне выполнить этот скрипт еще раз?
    Нет.

    Пофиксите в HijackThis:
    Код:
    O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
    O4 - HKLM\..\Run: [Regedit32] E:\WIND2009\system32\regedit.exe
    Надо заменить ntfs.sys, в остальном все нормально.
    Если так и не нашли, где его взять, скиньте e-mail в личку, я вам пришлю.
    I am not young enough to know everything...

  6. #5
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    Пофиксил, но теперь все равно после подключения к интернету появляется сообщение "E:\WIND2009\system32\dllcache\figaro.sys - инфицирован Trojan.NtRootKit.3206", хоть и компьютер не перезагружается после удаления\переименования\перемещения\запрещения\леч ения. Мэйл я скинул в личку. В процессах по-прежнему сидит braviax.exe и PC_Antispyware2010.exe.

  7. #6
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    Файл выслал.

    После его азмены выполните скрипт в AVZ:
    Код:
    begin
    ClearQuarantine;
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('E:\WIND2009\system32\Drivers\Beep.sys','');
     DeleteFile('E:\WIND2009\system32\braviax.exe');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Пришлите новый карантин согласно приложению 3 правил.
    Сделайте новые логи (только п.2 и 3 раздела Диагностика).
    I am not young enough to know everything...

  8. #7
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    Файл заменил, скрипт выполнил, карантин прислал. Логи вот.
    Вложения Вложения

  9. #8
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,300
    Вес репутации
    1551
    ntfs.sys опять зловредный висит! замените снова.

    Выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('E:\Program Files\PC_Antispyware2010\AVEngn.dll');
     DeleteFile('E:\Program Files\PC_Antispyware2010\htmlayout.dll');
     DeleteFile('E:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe');
     DeleteFile('E:\WIND2009\system32\braviax.exe');
     DeleteFile('E:\WIND2009\braviax.exe');
     DeleteFile('E:\WIND2009\system32\regedit.exe');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.
    Сделайте новые логи (только п.2 и 3 раздела Диагностика).
    I am not young enough to know everything...

  10. #9
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    логи
    Вложения Вложения

  11. #10
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,573
    Вес репутации
    2915
    1. Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('E:\WIND2009\system32\regedit.exe','');
     TerminateProcessByName('e:\wind2009\temp\bn1c.tmp');
     QuarantineFile('e:\wind2009\temp\bn1c.tmp','');
     DeleteFile('e:\wind2009\temp\bn1c.tmp');
     DeleteFile('E:\WIND2009\system32\regedit.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    2.Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

    3. E:\WIND2009\system32\Drivers\Ntfs.sys заменить из дистрибутива по этой методике

    4. Сделайте новые логи
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  12. #11
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    Скрипт выполнил, файл заменил, карантин прислал, вот логи
    Вложения Вложения

  13. #12
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,573
    Вес репутации
    2915
    Уж не знаю, как Вы заменяете, но патченый файл на месте.

    Укажите, пожалуйста, какой командой Вы прописываете для замену
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  14. #13
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    Я вообще-то просто заменяю ctrl+c ctrl+v.....(у меня нет дистрибутива)

    да, сначала я заменил неправильно, в dllcache, после того как Bratez отослал мне его, но теперь я поставил его в E:\WIND2009\system32\Drivers\

    Добавлено через 47 минут

    Ну так что мне теперь делать?......
    Последний раз редактировалось Monax; 17.08.2009 в 19:32. Причина: Добавлено

  15. #14
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    -Пофиксите
    Код:
    O4 - HKLM\..\Run: [PC Antispyware 2010] "E:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe" /hide
    O4 - HKLM\..\Run: [Regedit32] E:\WIND2009\system32\regedit.exe
    -Выполните скрипт
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     TerminateProcessByName('e:\program files\pc_antispyware2010\pc_antispyware2010.exe');
     DeleteFile('e:\program files\pc_antispyware2010\pc_antispyware2010.exe');
     DeleteFile('E:\Program Files\PC_Antispyware2010\htmlayout.dll');
     DeleteFile('E:\Program Files\PC_Antispyware2010\AVEngn.dll');
     DeleteFileMask('E:\Program Files\PC_Antispyware2010','*.*',true);
     DeleteDirectory('E:\Program Files\PC_Antispyware2010');
     DeleteFile('E:\WIND2009\system32\regedit.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    SetAVZPMStatus(True);
    RebootWindows(true);
    end.
    После перезагрузки:
    - Файл E:\WIND2009\system32\Drivers\Ntfs.sys замените тем файлом, который Bratez прислал (надеюсь, что он у Вас где-то не на диске Е:\ находится)
    - Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

  16. #15
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    Заменил, но...почему он должен находиться не не диске Е?
    При проверке AVZ обнаруживает какую-то подмену имени у файлов
    spiderui.exe
    spidernt.exe
    Вложения Вложения

  17. #16
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от Monax Посмотреть сообщение
    Заменил, но...почему он должен находиться не не диске Е?
    У Вас вирус, который заражает файл Ntfs.sys если он находится на диске Е:\ , ergo ...

    Добавлено через 1 минуту

    Цитата Сообщение от Monax Посмотреть сообщение
    При проверке AVZ обнаруживает какую-то подмену имени у файлов
    Это нормально: у Вас Др.Веб работает


    В логах ничего подозрительного. Жалобы есть?
    Последний раз редактировалось Rene-gad; 17.08.2009 в 21:03. Причина: Добавлено

  18. #17
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    А если этот файл находится в архиве? Просто я скачал его из письма на рабочий стол, а рабочий стол на диске Е.
    Как избежать подобного в будущем? Может у microsoft есть патч на винду, просто когда я избавлялся от Kido, то я пролечил комп, скачал и установил патч с их сайта и Kido у меня не появлялся.
    Жалоб нет, спасибо вам!

  19. #18
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от Monax Посмотреть сообщение
    А если этот файл находится в архиве?
    Только если архив защищен паролем
    Как избежать подобного в будущем?
    - Прочитайте Как не стать завсегдатаем раздела Помогите?
    - Установите все важные патчи.
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
    - Установите IE 8

  20. #19
    Junior Member Репутация
    Регистрация
    16.08.2009
    Сообщений
    11
    Вес репутации
    27
    "Установите все важные патчи" - например, какие?
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) - это что?
    "- Установите IE 8" - а если я пользуюсь оперой?

  21. #20
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от Monax Посмотреть сообщение
    "Установите все важные патчи" - например, какие?
    www.windowsupdate.com , Быстрый поиск
    MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180) - это что?
    "то то, что у Вас установлено
    "- Установите IE 8" - а если я пользуюсь оперой?
    Пользуйтесь чем хотите, но ИЕ - часть операционки и должен быть на уровне.

  • Уважаемый(ая) Monax, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 2
      Последнее сообщение: 18.10.2011, 14:10
    2. Постоянные перезагрузки
      От nana_MeDBeD в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 10.03.2011, 04:55
    3. Ответов: 7
      Последнее сообщение: 07.03.2010, 22:47
    4. Постоянные перезагрузки компьютера
      От Oleg_step в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 21.05.2009, 16:24
    5. startdrv.exe и постоянные перезагрузки Windows
      От Tasha9 в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 26.10.2007, 12:25

    Метки для этой темы

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00735 seconds with 22 queries