Показано с 1 по 13 из 13.

Подчистить остатки - не запускается антивирусное ПО. (заявка № 62693)

  1. #1
    Junior Member Репутация
    Регистрация
    07.08.2008
    Сообщений
    34
    Вес репутации
    31

    Thumbs up Подчистить остатки - не запускается антивирусное ПО.

    Принесли на прошлой неделе очередной ноут. Он был пролечен с LivaCD Dr.Web'a и потом ещё CureIt'ом для уверенности. Вроде как бОльшая часть заразы изведена, но осталась одна проблема - не запускается антивирусное ПО. Логи прикладываю
    Вложения Вложения

  2. Реклама
     

  3. #2
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Aleksandra
    Регистрация
    13.01.2007
    Сообщений
    7,662
    Вес репутации
    2817
    1. Please, disable System Restore and antivirus (if you have).
    2. Execute this script in AVZ:

    Код:
    begin
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
     QuarantineFile('C:\WINDOWS\system32\drivers\Winov63.sys','');
     DeleteService('Winyh20');
     DeleteService('Winuc18');
     DeleteService('Winov63');
     DeleteService('Winah20');
     DeleteService('Udk17');
     DeleteService('tcpsr');
     DeleteService('restore');
     DeleteService('Mud70');
     DeleteService('Hou53');
     DeleteService('Aip76');
     DeleteFile('C:\WINDOWS\System32\Drivers\Aip76.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Hou53.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Mud70.sys');
     DeleteFile('C:\WINDOWS\system32\drivers\restore.sys');
     DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Udk17.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winah20.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winov63.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winuc18.sys');
     DeleteFile('C:\WINDOWS\System32\Drivers\Winyh20.sys');
     DeleteFile('C:\WINDOWS\system32\djki397g.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftWindowsCurrentVersionExplorerSharedTaskScheduler','{B5AF0562-94F3-42BD-F434-2604812C797D}');
     DeleteFile('C:\WINDOWS\system32\hdxjd4g.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWAREMicrosoftWindowsCurrentVersionExplorerSharedTaskScheduler','{B5AC49A2-94F2-42BD-F434-2604812C897D}');
     DeleteFile('WinCtrl32.dll');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','SoftwareMicrosoftWindows NTCurrentVersionWinlogonNotifyWinCtrl32','DLLName');
    BC_ImportDeletedList;
    ExecuteSysClean;
    ExecuteRepair(9);
    BC_Activate;
    RebootWindows(true);
    end.
    After reboot execute this script in AVZ:

    Код:
    begin
     CreateQurantineArchive('C:\quarantine.zip');
    end.
    Upload file C:\quarantine.zip, by link http://virusinfo.info/upload_virus.php?tid=62693

    3. Execute this script in AVZ:

    Код:
    var j:integer; NumStr:string;
    begin
    for j:=0 to 999 do
     begin
        if j=0 then
            NumStr:='CurrentControlSet' else 
            if j<10 then
                NumStr:='ControlSet00'+IntToStr(j) else
                if j<100 then
                    NumStr:='ControlSet0'+IntToStr(j) else
                    NumStr:='ControlSet'+IntToStr(j);
     if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS') then
      begin
      RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS');
      RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\BITS', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
      AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\BITS исправлено на оригинальное.');
      end;
     if RegKeyExistsEx('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv') then
      begin 
      RegKeyResetSecurity('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv');
      RegKeyStrParamWrite('HKLM', 'SYSTEM\'+NumStr+'\Services\wuauserv', 'ImagePath', '%SystemRoot%\System32\svchost.exe -k netsvcs');
      AddToLog('Значение параметра ImagePath в разделе реестра HKLM\SYSTEM\'+NumStr+'\Services\wuauserv исправлено на оригинальное.');
      end;
     end;
    SaveLog(GetAVZDirectory + 'fystemRoot.log');
    end.
    4. Fix in HijackThis:

    O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
    5. Make a new logs.
    Последний раз редактировалось Aleksandra; 07.12.2009 в 17:39.
    Наша служба, будто сердце, отдыха не знает никогда.

  4. #3
    Junior Member Репутация
    Регистрация
    07.08.2008
    Сообщений
    34
    Вес репутации
    31
    In last script there is the mistake: system message is "Ошибка: Undeclared identifier: "RegKeyExistsEx" в позиции 12:19"
    Последний раз редактировалось CyberDyne; 07.12.2009 в 13:53.

  5. #4
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Aleksandra
    Регистрация
    13.01.2007
    Сообщений
    7,662
    Вес репутации
    2817
    В скрипте нет ошибки. Вам необходимо скачать обычную версию AVZ 4.32, обновить базы и выполнить скрипт.
    Наша служба, будто сердце, отдыха не знает никогда.

  6. #5
    Junior Member Репутация
    Регистрация
    07.08.2008
    Сообщений
    34
    Вес репутации
    31
    Ок
    Сделано - АВЗ заработал.

    Карантин загружен.

    Файл сохранён как 091208_092241_Quarantine_4b1df0b196867.zip
    Размер файла 20317
    MD5 75f0ae392148449e0e10c80f494864e6


    Симптомов вроде больше нет.... вроде всё работает.
    Последний раз редактировалось CyberDyne; 08.12.2009 в 09:50.

  7. #6
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Aleksandra
    Регистрация
    13.01.2007
    Сообщений
    7,662
    Вес репутации
    2817
    Повторите логи.
    Наша служба, будто сердце, отдыха не знает никогда.

  8. #7
    Junior Member Репутация
    Регистрация
    07.08.2008
    Сообщений
    34
    Вес репутации
    31
    Сделано.
    Логи загружены
    Вложения Вложения

  9. #8
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Восстановление системы: включено
    Отключить
    Внимание !!! База поcледний раз обновлялась 08.10.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
    Базы обновить, логи переделать

  10. #9
    Junior Member Репутация
    Регистрация
    07.08.2008
    Сообщений
    34
    Вес репутации
    31
    Сделано
    Вложения Вложения

  11. #10
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    - В логах ничего подозрительного.
    - Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
    Перед установкой Сервис Пака необходимо выгрузить все защитные приложения (антивирус, файрвол а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
    - Установите IE 8.
    - Обновите OpenOffice.

  12. #11
    Junior Member Репутация
    Регистрация
    07.08.2008
    Сообщений
    34
    Вес репутации
    31
    Спасибо всем большое за помощь и советы!

    ЗЫ Ребят, вот всё хотел поинтересоваться, как вы так глубоко эту заразу находите и точно знаете какой скрипт надо написать? Вот тоже очень хочу научиться также :-) - у вас есть какой-либо материал по этому поводу или вы очень закрытая организация?

    ЗЫЫ Да и кстати что за зараза-то в итоге была? Как хоть она называется?

  13. #12
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    2997
    Цитата Сообщение от CyberDyne Посмотреть сообщение
    Вот тоже очень хочу научиться также :-)
    http://virusinfo.info/profile.php?do=editusergroups и сделайте заявку на вступление в группу студентов. Запаситесь терпением: наплыв желающих больше, чем мы в состоянии обучить.
    Цитата Сообщение от CyberDyne Посмотреть сообщение
    ЗЫЫ Да и кстати что за зараза-то в итоге была? Как хоть она называется?
    C:\WINDOWS\system32\drivers\Winov63.sys-Trojan-Downloader.Win32.Mutant.aim

  14. #13
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,552
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 1
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\windows\system32\drivers\winov63.sys - Trojan-Downloader.Win32.Mutant.aim ( AVAST4: Win32:Agent-VGV [Wrm] )


  • Уважаемый(ая) CyberDyne, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Помогите почистить остатки зловредов
      От alekseygalkin в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 18.12.2010, 17:03
    2. Подчистить остатки после троянов
      От VVoz4iK в разделе Помогите!
      Ответов: 2
      Последнее сообщение: 01.11.2010, 15:02
    3. Помогите зачистить остатки вирусов
      От Graffias в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 04.09.2010, 20:42
    4. Прошу помочь вычистить остатки гадости.
      От YuriJJ в разделе Помогите!
      Ответов: 14
      Последнее сообщение: 29.03.2010, 18:54
    5. помогите почистить остатки...
      От Antonnio в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 14.01.2008, 19:43

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00724 seconds with 22 queries