Перезагрузка компьютера

**taksa** · 23.11.2009, 11:18

Доброго времени суток. Стоит XP SP3, при входе в учётку происходит перезагрузка.
Спасибо заранее

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 23.11.2009, 12:25

выполните скрипт

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DelBHO('{DB57DC83-5B50-B294-DAC5-E568216871FE}');
 DelBHO('{44AAE27F-EDEE-4420-8DB3-267C7C80AE50}');
 QuarantineFile('D:\Documents and Settings\Администратор\Application Data\msmedia.dll','');
 QuarantineFile('f:\3d91b45812e6d49d5dc4d2bb8e5e\wgasetup.exe','');
 DeleteService('Winru47');
 DeleteService('Winnq03');
 DeleteService('Winjm58');
 DeleteService('Wineh36');
 QuarantineFile('D:\WINDOWS\System32\Drivers\Wineh36.sys','');
 DeleteService('grande48');
 QuarantineFile('D:\WINDOWS\system32\drivers\grande48.sys','');
 DeleteService('clr_optimization_v2.0.50727_32TrkWks');
 QuarantineFile('D:\WINDOWS\system32\1028u.exe','');
 QuarantineFile('D:\WINDOWS\system32\ACDSeew.exe','');
 DeleteService('TlntSvrSharedAccess');
 DeleteService('RSVPRasAuto');
 DeleteService('MessengerEapHost');
 QuarantineFile('D:\WINDOWS\system32\3076v.exe','');
 QuarantineFile('D:\WINDOWS\system\svchost.exe','');
 DeleteService('Darkness');
 DeleteFile('D:\WINDOWS\system\svchost.exe');
 DeleteFile('D:\WINDOWS\system32\3076v.exe');
 DeleteFile('р%Ђ|x srv');
 DeleteFile('D:\WINDOWS\system32\1028u.exe');
 DeleteFile('D:\WINDOWS\system32\drivers\grande48.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Wineh36.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winjm58.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winnq03.sys');
 DeleteFile('D:\WINDOWS\System32\Drivers\Winru47.sys');
 DeleteFile('f:\3d91b45812e6d49d5dc4d2bb8e5e\wgasetup.exe');
 DeleteFile('D:\Documents and Settings\Администратор\Application Data\msmedia.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил
повторите логи

**taksa** · 23.11.2009, 14:29

Выполнил скрипт

**thyrex** · 23.11.2009, 14:59

Пофиксите в HiJack

Код:

F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\WINDOWS\system32\drivers\svchost.exe,
O2 - BHO: (no name) - {88888888-8888-8888-8888-888888888888} - (no file)
O20 - AppInit_DLLs: D:\WINDOWS\system32\

Выполните скрипт в AVZ

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\mlmivfv.wli','');
 QuarantineFile('D:\WINDOWS\system32\drivers\svchost.exe','');
 DeleteService('WmiApSrvCOMSysApp');
 DeleteService('TlntSvrSharedAccess');
 QuarantineFile('D:\WINDOWS\system32\ACDSeewi.exe','');
 DeleteService('MDMClipSrv');
 QuarantineFile('D:\WINDOWS\system32\ACDSeew.exe','');
 DeleteService('SysmonLogRasAuto');
 DeleteService('RSVPRasAuto');
 DeleteService('helpsvcNetDDEdsdm');
 QuarantineFile('d:\documents and settings\all users\application data\sp\sp.dll','');
 DeleteFile('D:\WINDOWS\system32\ACDSeew.exe');
 DeleteFile('D:\WINDOWS\system32\ACDSeewi.exe');
 DeleteFile('D:\WINDOWS\system32\drivers\svchost.exe');
 DeleteFile('D:\WINDOWS\mlmivfv.wli');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','aux4');
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('WmiApSrvCOMSysApp');
 BC_DeleteSvc('TlntSvrSharedAccess');
 BC_DeleteSvc('MDMClipSrv');
 BC_DeleteSvc('SysmonLogRasAuto');
 BC_DeleteSvc('RSVPRasAuto');
 BC_DeleteSvc('helpsvcNetDDEdsdm');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи (в нормальном режиме)

**taksa** · 23.11.2009, 16:11

В нормальном режиме уходит на перезагрузку, пришлось опять из безопасника делать

**thyrex** · 23.11.2009, 17:11

Нужно ждать вердикт вирлаба

**taksa** · 23.11.2009, 17:26

ok жду. Спасибо

**thyrex** · 23.11.2009, 21:34

Такой лог сделайте http://virusinfo.info/showpost.php?p=457118&postcount=1

**taksa** · 24.11.2009, 11:08

Сделал

**thyrex** · 24.11.2009, 11:55

Код:

D:\WINDOWS\system32\nvrtm.dll
D:\WINDOWS\system32\cooper.mine
D:\WINDOWS\Prefetch\EXPLORER.EXE

Пришлите согласно Приложения 2 правил

**CyberHelper** · 25.11.2009, 11:55

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 20
В ходе лечения обнаружены вредоносные программы:
1. d:\windows\system32\acdseewi.exe - Backdoor.Win32.IRCNite.fj ( BitDefender: Backdoor.IRCBot.ACVP, AVAST4: Win32:Malware-gen )
2. d:\windows\system32\3076v.exe - Trojan-Dropper.Win32.Agent.bimb ( DrWEB: BackDoor.IRC.Nite.28, BitDefender: Trojan.Generic.2821203, AVAST4: Win32:Malware-gen )