Win32.Bagle.beu Не могу запустить AVZ, не является приложением win32 :)

[mk_]

Доброго времени суток.
Подхватил троян, nod32 его пропустил (базы новые) kaspersky online показал на Win32.Bagle.beu
ОС Win Vista home premium
Не могу запустить AVZ,
ag=y (AVZGuard) не помогает (и переименовывал..), nod32, outpost - также не дает запустить (ошибка таже)
в безопасном режиме удалось запустить только hijackthis
жду советов, спасибо.

[light59]

Запустите AVZ с ключом AM=Y

[mk_]

Запустите AVZ с ключом AM=Y

avz.exe am=y
отказано в доступе.
не выходит, есть еще варианты?

[Макcим]

Сделайте лог Gmer

[mk_]

в нормальном режиме windows Gmer открылся с ошибкой, ругался на loadDriver ugrdypob.sys недостаточно системных ресурсов для завершении операции

сканировать он мог только services, reg, files - остальные галочки не доступны.
C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe - этот файл в логе был мною удален еще когда работал outpost, ибо начал куда то лезть в интернет.

в safemode gmer загрузился нормально, галочки все есть, прилагаю оба лога.

[Макcим]

Выполните скрипт в Gmer

tjgf960i.exe -killall 
tjgf960i.exe -del service srosa
tjgf960i.exe -killfile "C:\Users\mk_\AppData\Roaming\drivers\wfsintwq.sys"
tjgf960i.exe -killfile "C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe"
tjgf960i.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\srosa"
tjgf960i.exe -reboot

Сделайте свежий лог Gmer + логи по правилам. Должно получиться.

[mk_]

скрипт не выполнился...внизу в окошко выдало абракадабру

попробую ручками..

файлы удалить не вышло, gmer выдает - неверный дескриптор

[Макcим]

Попробуйте ещё раз.

[mk_]

пробовал много раз
я вам писал выше, что gmer запускается с ошибкой
на чистой машине этот же gmer запускается нормально...

[Макcим]

Я подправил скрипт. Запустите его в нормальном режиме, если не получается то в безопасном.

[Alex_Goodwin]

Для лечения бигля есть спец. скрипт. И есть полиморфная версия АВЗ.

[mk_]

в нормальном - ошибки по каждой строчке скрипта, в безопасном при выполнении синий экран смерти..

Добавлено через 55 секунд

Для лечения бигля есть спец. скрипт. И есть полиморфная версия АВЗ.

можно подробнее?

[gjf]

Попробуйте собрать логи с помощью полиморфного AVZ md5: 2091925798b7909e010e3f7e328c5f0d

[mk_]

Попробуйте собрать логи с помощью полиморфного AVZ md5: 2091925798b7909e010e3f7e328c5f0d

происходит тоже что и с переименованным avz с ключом am=y на полсекунды окошко открывается затем его убивают

[Aleksandra]

1. Скачайте avast! antirootkit tool у меня в подписи.

2. Запустите его и просканируйте им машину.

3. Как закончит проверять, выберите "Fix now" и перегрузитесь.

4. После перезагрузки в диспетчере убейте процесс winupgro.exe.

5. Поставьте на проверку CureIt. Все что найдет удаляйте.

6. Попробуйте запустить AVZ и сделать логи.

[mk_]

avast - сканирует находит паразитов, но когда начинает сканить реестр виснет, винда выдает ошибку.

5. Поставьте на проверку CureIt. Все что найдет удаляйте.

- CureIt уже сканировал, ничего не нашел он

Поскольку через несколько дней самолет в другую страну, теряю надежду к лечению и собираюсь форматить.
Подскажите по собственному опыту, стоит ли дальше .... либо легче переустановить винду. Также, где можно почитать про то - какие действия совершает данный троянчик, успел ли он что то отослать? пропустил ли его аутпост и тд..?

[Aleksandra]

Подскажите по собственному опыту, стоит ли дальше ....

Стоит. Попробуем иначе.

Добавлено через 6 минут

Скачайте IceSword. В разделе "Registry" по "My computer" жмем правой кнопкой "Find Text" вбиваем "srosa" все что найдет удаляйте правой кнопкой Delete. Далее еще раз запускаем avast и пробуем...

Добавлено через 4 минуты

Как искать и удалять ключи реестра с помощью IceSword.

[mk_]

avast - сканирует находит паразитов, но когда начинает сканить реестр виснет, винда выдает ошибку.

Aleksandra, коли он вис при скане реестра я просканил без реестра, аваст успешно удалил.
сейчас им же посканю реестр...

ура) мини ура), похоже есть результаты, avast при повторном скане на файлы и процессы ничего не нашел, прои скане реестра тоже, Gmer запустился без ошибок, также ничего не нашел (красным по крайнее мере не выделил
Avz запустился, логи делаю?

[Aleksandra]

Вы все таки удалите в IceSword то, что я написала. Так даже правильнее будет.

[mk_]

странно...на чистом компе IceSword запускается (winXP), на зараженном нет, пишет initialize faild (win vista)....

перестал запускаться AVZ также на полсекунды...

4. После перезагрузки в диспетчере убейте процесс winupgro.exe.
ибо вот это сделать забыл, убил его сейчас..
после убиВства, avz запустился...
при попытке запустить лечение AVZ - Ошибка инициализации в протоколе пишет..
вопрос - что дальше делать?