Показано с 1 по 13 из 13.

Winupd01 ??? (заявка № 75455)

  1. #1
    Junior Member Репутация
    Регистрация
    06.04.2010
    Сообщений
    86
    Вес репутации
    25

    Exclamation Winupd01 ???

    Добрый день.
    Прблема в следующем:
    На компьютере стоит и антивиру Касперского 2010, началось все неожиданно, начали появлятся сообщения о подозрительной активности: winupd01.exe и другие названия.
    Лечил CureIt, Касперским. Ничего не находится.
    Кроме этого, постоянно в файле hosts появляется куча мусора на 4,5 Мб, видимо из-за этого зависает инет, не входит на сайты производитей антивирусов и т.д.
    Собрал инфу avz, HijackThis - вообще не запускался, после переименования - запускается на 5 секунд, после этого комп перезагружается.
    В безопасном режиме не грузится (перезагружается).

    Помогите, плиз.
    Вложения Вложения

  2. Реклама
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    Закройте все открытые приложения, кроме АVZ и Internet Explorer.
    Отключите
    - ПК от интернета/локалки
    - Выгрузите антивирус и/или Файрвол
    - Закройте все программы
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     QuarantineFile('C:\Program Files\Ask.com\UpdateTask.exe','');
     QuarantineFile('C:\WINDOWS\system32\zoojydobe.exe','');
     QuarantineFile('C:\WINDOWS\system32\vaquuh.exe','');
     QuarantineFile('C:\WINDOWS\system32\punumooqua.exe','');
     QuarantineFile('C:\WINDOWS\system32\nouhouquou.exe','');
     QuarantineFile('C:\Documents and Settings\1\Application Data\xmkk.exe,explorer.exe,C:\Documents and Settings\1\Application Data\gnwwy.exe','');
     QuarantineFile('C:\Documents and Settings\1\Application Data\xmkk.exe','');
     QuarantineFile('C:\WINDOWS\system32\Drivers\sptd.sys','');
     StopService('uohdiybxyeyeo');
     DeleteService('uohdiybxyeyeo');
     QuarantineFile('C:\WINDOWS\system32\huzoonuroz.exe','');
     QuarantineFile('C:\WINDOWS\system32\lavityza.exe','');
     StopService('u9ial4y7a');
     DeleteService('u9ial4y7a');
     QuarantineFile('srservice.sys','');
     QuarantineFile('C:\Program Files\Ask.com\GenericAskToolbar.dll','');
     TerminateProcessByName('c:\windows\system32\winupd01.exe');
     QuarantineFile('c:\windows\system32\winupd01.exe','');
     DeleteFile('c:\windows\system32\winupd01.exe');
     BC_DeleteFile('c:\windows\system32\winupd01.exe');
     DeleteFile('C:\Program Files\Ask.com\GenericAskToolbar.dll');
     DeleteFile('C:\WINDOWS\system32\huzoonuroz.exe');
     DeleteFile('C:\Documents and Settings\1\Application Data\xmkk.exe');
     DeleteFile('C:\Documents and Settings\1\Application Data\xmkk.exe,explorer.exe,C:\Documents and Settings\1\Application Data\gnwwy.exe');
     DeleteFile('C:\WINDOWS\system32\nouhouquou.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','liculi');
     DeleteFile('C:\WINDOWS\system32\punumooqua.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mepim');
     DeleteFile('C:\WINDOWS\system32\vaquuh.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','hasoonnyh');
     DeleteFile('C:\WINDOWS\system32\zoojydobe.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','coorot');
     DeleteFile('C:\Program Files\Ask.com\UpdateTask.exe');
     DeleteFile('C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job');
     DeleteFileMask('C:\Program Files\Ask.com', '*.*', true);
     DeleteDirectory('C:\Program Files\Ask.com');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteRepair(13);
     ExecuteRepair(11);
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)

  4. #3
    Junior Member Репутация
    Регистрация
    06.04.2010
    Сообщений
    86
    Вес репутации
    25
    После запуска этих скриптов компьютер начал постоянно перезагружаться. Невозможно зайти не в обычном, не в безопасном режиме.
    Пришлось вставлять диск с WinXP и запускать установку, потом выбирать восстановление системы. После установки винды в режиме восстановления, визуально все осталось по прежнему.
    Я собрал инфу AVZ, а HijackThis по прежнемы вызывает перезагрузку.
    Вложения Вложения

  5. #4
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

    - Отключите ПК от интернета/локалки
    - Отключите Антивирус и Файрвол.
    - Отключите Системное восстановление.

    В AVZ выполните скрипт:

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
     TerminateProcessByName('c:\windows\system32\winupd01.exe');
     QuarantineFile('C:\WINDOWS\system32\moosuzuhop.exe','');
     QuarantineFile('C:\WINDOWS\system32\drivers\AtapiDrv.sys','');
     DelBHO('{1F460357-8A94-4D71-9CA3-AA4ACF32ED8E}');
     DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
     QuarantineFile('C:\Program Files\Ask.com\GenericAskToolbar.dll','');
     QuarantineFile('C:\WINDOWS\system32\lavityza.exe','');
     QuarantineFile('C:\WINDOWS\system32\cypoocemu.exe','');
     QuarantineFile('C:\WINDOWS\system32\jottiriquif.exe','');
     QuarantineFile('c:\windows\system32\supportappxl\autodect.exe','');
     QuarantineFile('c:\windows\system32\winupd01.exe','');
     DeleteFile('c:\windows\system32\winupd01.exe');
     DeleteFile('C:\WINDOWS\system32\jottiriquif.exe');
     DeleteFile('C:\WINDOWS\system32\cypoocemu.exe');
     DeleteFile('C:\WINDOWS\system32\lavityza.exe');
     DeleteFile('C:\Program Files\Ask.com\GenericAskToolbar.dll');
     DeleteFile('C:\WINDOWS\system32\drivers\AtapiDrv.sys');
     DeleteFile('C:\WINDOWS\system32\moosuzuhop.exe');
     DeleteService('u9ial4y7a');
     DeleteService('i8eayoayplje');
     DeleteService('o94iauuen0izeym');
     DeleteService('pui9areugbr');
     BC_DeleteFile('c:\windows\system32\winupd01.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_DeleteSvc('u9ial4y7a');
    BC_DeleteSvc('i8eayoayplje');
    BC_DeleteSvc('o94iauuen0izeym');
    BC_DeleteSvc('pui9areugbr');
    BC_Activate;
    SetAVZPMStatus(True);
     ExecuteRepair(13);
     ExecuteRepair(9);
    ExecuteWizard('TSW', 2, 2, true);
    RebootWindows(true);
    end.

    После перезагрузки

    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
    Сделайте новые логи.

  6. #5
    Junior Member Репутация
    Регистрация
    06.04.2010
    Сообщений
    86
    Вес репутации
    25
    Все запустил, вот результаты.

    При попытке загрузки карантина, сайт пишет:
    Результат загрузки
    Ошибка загрузки. Данный файл уже был загружен
    Вложения Вложения

  7. #6
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

    - Отключите Антивирус и Файрвол.

    В HiJackThis пофиксите:

    Код:
    O4 - HKLM\..\Run: [ctfmon.exe] ctfmon.exe
    O4 - HKLM\..\Run: [Internet Connection Wizard Setup Tool] C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe
    O24 - Desktop Component 0: (no name) - http://t3.gstatic.com/images?q=tbn:tuj_pm6VbvpIIM:http://ibud.ua/userfiles/image /Okna/Rehau/rehau_1.jpg

    В AVZ выполните скрипт:

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
     QuarantineFile('C:\WINDOWS\system32\Drivers\sptd.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\lvmvdrv.sys','');
     QuarantineFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe','');
     QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
     QuarantineFile('C:\WINDOWS\system32\SupportAppXL\AutoDect.exe','');
     DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
     DeleteFile('C:\Program Files\Internet Explorer\Connection Wizard\icwsetup.exe');
    DeleteService('ICF');
    BC_DeleteSvc('ICF');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.

    После перезагрузки

    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
    Сделайте новые логи. (лога virusinfo_syscure.zip не вижу)

  8. #7
    Junior Member Репутация
    Регистрация
    06.04.2010
    Сообщений
    86
    Вес репутации
    25
    Все запустил, высылаю результаты
    Вложения Вложения

  9. #8
    Global Moderator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для миднайт
    Регистрация
    28.03.2009
    Адрес
    Voronezh
    Сообщений
    9,466
    Вес репутации
    729
    В AVZ выполните скрипт:

    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    ClearQuarantine;
     QuarantineFile('C:\System Volume Information\_restore{BAD745E9-5E4E-484A-8B19-F0A5701B5907}\RP1\A0002384.exe:exe.exe:$DATA','');
     DeleteFile('C:\System Volume Information\_restore{BAD745E9-5E4E-484A-8B19-F0A5701B5907}\RP1\A0002384.exe:exe.exe:$DATA');
     BC_DeleteFile('C:\System Volume Information\_restore{BAD745E9-5E4E-484A-8B19-F0A5701B5907}\RP1\A0002384.exe:exe.exe:$DATA');
    BC_ImportDeletedList;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После перезагрузки

    Код:
    begin 
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
    end.
    Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
    Логи повторите.

  10. #9
    Junior Member Репутация
    Регистрация
    06.04.2010
    Сообщений
    86
    Вес репутации
    25
    выполнено
    Вот логи и карантин
    Вложения Вложения

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    524
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     QuarantineFile('C:\WINDOWS\system32\LVCOMSX.EXE','');
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    + Сделайте лог MBAM.
    Последний раз редактировалось polword; 08.04.2010 в 14:36. Причина: Добавлено

  12. #11
    Junior Member Репутация
    Регистрация
    06.04.2010
    Сообщений
    86
    Вес репутации
    25
    Лог MBAM
    Вложения Вложения

  13. #12
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,573
    Вес репутации
    2915
    Удалите в МВАМ
    Код:
    Зараженные ключи в реестре:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Fci (Rootkit.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DbgMgr (Malware.Trace) -> No action taken.
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ICF (Rootkit.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe (Security.Hijack) -> No action taken.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  14. #13
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,541
    Вес репутации
    941

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 13
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\system volume information\_restore{bad745e9-5e4e-484a-8b19-f0a5701b5907}\rp1\a0002384.exe:exe.exe:$data - Trojan.Win32.Inject.aojz ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Generic.3604041, AVAST4: Win32:Rootkit-gen [Rtk] )
      2. c:\windows\system32\svchost.exe:exe.exe:$data - Trojan.Win32.Inject.aojz ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Generic.3604041, AVAST4: Win32:Rootkit-gen [Rtk] )


  • Уважаемый(ая) Корнилов Сергей, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Вирусы в локальной сети после winupd01
      От pipsun в разделе Помогите!
      Ответов: 6
      Последнее сообщение: 24.04.2010, 12:21
    2. Вирус winupd01.exe на всех компах по локалке
      От Strannik1009 в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 21.04.2010, 20:54
    3. winupd01.exe в ctfmon'e, помогите
      От nomiDs в разделе Помогите!
      Ответов: 9
      Последнее сообщение: 17.04.2010, 14:49

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01440 seconds with 23 queries