Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 26.

Крепкий вирус... (заявка № 78406)

  1. #1
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24

    Question Крепкий вирус...

    Предыистория: примерно месяц назад заразился вирусом. Файлы в папке Windows "winxp.exe", "systemxp.exe" и так далее. Полазил, где-то на этом форуме в какой-то там теме нашел скрипт лечения, у парня был такой же вирус. Да! Я незнал, что каждый случай уникален... В общем, выполнил скрипт, вроде файлы удалились. Уже как с неделю началось следующее...

    Симптомы: в игре AVA (сетевой шутер) и Метро2033 каждые 30-40 секунд на 7-9 сек. начинаются сильные тормоза. Параллельно играю в Сталкер ЗП - тормозов нет... Нельзя просмотреть скрытые файлы и папки. Выбираю опцию -> "Ок" и ничего не происходит. Также при загрузке пользователя помимо рабочего стола вторично открывается explorer, от чего открывается проводник. В "Documets and Settings" через какое-то время постоянно создаются две папки с маленьким рандомным набором символов. Не так давно удалил, сейчас их нет, нет возможности посмотреть. =\ Уверен, есть еще полно косяков.

    А, еще. В моей личной папке, заметил дня три назад, появился файл "death of winxp.exe". Походу установочный, весит 1.96Кб. Отправлять сюда?

    Прежде чем приступить к диагностике (все программы я скачал), хочу, чтобы вы посмотрели на скриншот. Есть вопрос про пункт 5 "Восстановление системы". Хрен его поймет, отключено восстановление системы или нет.


    Помимо этого проблема с пунктом 2. При полной проверке компьютера у CureIT постепенно падает скорость проверки. В начале примерно 3Мб\сек. Часов через пять скорость дошла до 90КБ\с, хотя поверилось только чуть больше половины... Нашел в папке TEMP один вирус Trojan.Logger:19995. Назывался "...winxp_.bak". Удалил, но ничего не изменилось.
    Та же петрушка и с Kaspersky Virus Removal Tool.

    Заранее спасибо.

  2. Реклама
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ARMA9000
    Регистрация
    16.09.2009
    Сообщений
    1,987
    Вес репутации
    89
    Выполняйте правила запроса.

    Цитата Сообщение от emayo Посмотреть сообщение
    . Полазил, где-то на этом форуме в какой-то там теме нашел скрипт лечения, у парня был такой же вирус. Да! Я незнал, что каждый случай уникален...
    Какой скрипт выполняли помните?

  4. #3
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    У меня не настолько офигенная память...)

    В процессе произошел один косяк. Запустил sуscure с включенным интернетом. AVZ обнаружил 7 каких-то кривых функций, восстановил. Также был обнаружен вирус в папке с игрой Backdoor.Win32.VB.bqv. после чего AVZ отправил его в карантин
    Интернет отключил, сделал повторный анализ. Ниже будет этот лог.
    Вложения Вложения
    Последний раз редактировалось emayo; 15.05.2010 в 23:21.

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ARMA9000
    Регистрация
    16.09.2009
    Сообщений
    1,987
    Вес репутации
    89
    Профиксить:
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
    Выполнить скрипт:
    Код:
    begin
     QuarantineFile('C:\Games\AVA\binaries\plugins\codec_flac.dll','');
     QuarantineFile('C:\DOCUME~1\F942~1\LOCALS~1\Temp\pohci13F.sys','');
     QuarantineFile('C:\WINDOWS\system32\drivers\NAV\1000000.07D\SRTSP.SYS','');
     QuarantineFile('C:\Program Files\Multi Password Recovery\block_reader.sys','');
    end.
    Карантин загрузить по красной ссылке. Сделать лог GMER(ссылка в подписи).

  6. #5
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    все сделал еще вчера, но GMEr проверял долго, пришлось перенести на сегодня.
    Вот лог:
    Вложения Вложения

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ARMA9000
    Регистрация
    16.09.2009
    Сообщений
    1,987
    Вес репутации
    89
    Сохраните приведённый ниже текст в файл cleanup.bat в ту же папку, где находится jnpeof8c.exeслучайное имя утилиты (gmer).
    Код:
    jnpeof8c.exe -del service jqosetcv 
    jnpeof8c.exe -del Reg "HKLM\SYSTEM\CurrentControlSet\Services\jqosetcv"
    jnpeof8c.exe -del Reg "HKLM\SYSTEM\ControlSet002\Services\jqosetcv"
    jnpeof8c.exe -reboot
    И запустите сохранённый пакетный файл cleanup.bat.
    Внимание: Компьютер перезагрузится!
    Сделайте новый лог gmer+ логи по правилам.

  8. #7
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    Сделал как сказал. В процессе работы .bat файла, во время выполнения второй строки вылетело "Не найден указанный модуль". Дальше все по плану.

    второй explorer при загрузке рабочего стола больше не вылетает. Больше изменений не наблюдал. А так AVZ там же нашел Backdoor, так же перехватил 7 функции, только про функцию "jqosetcv" не крякнул.
    Вложения Вложения

  9. #8

  10. #9
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    А так AVZ там же нашел Backdoor, так же перехватил 7 функции
    больше разве не будет?
    Скрытые файлы и папки не могу просмотреть.

    Так. Игра тормозит так же как и раньше. После проверки avz он снова подозревает тот же файл на подозрения backdoor'a, плюс постоянно работает перехватчиком spwm.sys. Или такой же файл с другим названием.

    Отключил потенциально опасные службы "обнаружения SSDP", "планировщик Заданий" и "Диспетчер сеанса справки для удаленного рабочего стола".

    Вопрос: может ли это быть вызвано отключенной службой "DNS-клиент", и насколько он важен для сетевого шутера?
    Последний раз редактировалось emayo; 16.05.2010 в 21:11.

  11. #10
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    Еще, кстати, в процессах висит rundll32.exe. Чего он там забыл - хрен его знает, может от ПО какого. А может и вирус...
    Игра раньше не тормозила, и вообще все было в порядке. Никто за это время по компу не бил, рядом с батареей не ставил и пр. 95% что это вирус вертит процессор =\

  12. #11
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    01.06.2007
    Сообщений
    3,112
    Вес репутации
    266
    Пофиксите в Hijackthis:
    Код:
    O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)
    O2 - BHO: Доступ к платному контенту FieryAds v2.0.2 - {6D125299-C2A9-4DBC-BEC3-6F7124E39A41} - (no file)
    O4 - HKLM\..\Policies\Explorer\Run: [] 
    O4 - HKLM\..\Policies\Explorer\Run: [systemxp] C:\WINDOWS\systemxp.exe
    Закройте все программы, выполните скрипт в AVZ:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('C:\WINDOWS\systemxp.exe','');
     QuarantineFile('C:\DOCUME~1\F942~1\LOCALS~1\Temp\pohci13F.sys','');
     DeleteService('pohci13F');
     DeleteFile('C:\DOCUME~1\F942~1\LOCALS~1\Temp\pohci13F.sys');
     DeleteFile('C:\WINDOWS\systemxp.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','systemxp');
    BC_ImportALL;
    ExecuteSysClean;
    BC_Activate;
    ExecuteRepair(6);
    RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил Прислать запрошенный карантин вверху темы. Сделайте новые логи по правилам virusinfo_syscheck.zip и hijackthis.log

  13. #12
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    Блин первый раз нормально отправил, а сейчас забыл пароль на архив поставить, емое простите мужики!!!((
    А так все готово! Сейчас проверю вылечился или нет!

    Блин, снова при проверке AVZ, он перехватывает какие-то функции, перехватчик файл spru.sys (или другой с таким же почти названием), а дальше вообще не определяет..... Все еще подозревает codec_flac.dll в папке с игрой((
    Еще 4 (может больше, может меньше) процесса GoogleUpdate.exe при запуске системы висят. Вроде со временем отпадают, остается один. Памяти на них выделяемой, это от 6Мб до 900Кб, не меняется.
    Скрытые файлы и папки все еще нельзя просмотреть....
    Вложения Вложения
    Последний раз редактировалось emayo; 19.05.2010 в 14:41.

  14. #13
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    файл spru.sys - это от эмулятора дисков.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  15. #14
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    то есть этот перехват функции - стандартный? чтоб мне знать на будущее)

    И еще! Вы про файл "death of winxp.exe" забыли?? Все там же висит, активности вроде никакой.

  16. #15
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    А, еще. В моей личной папке, заметил дня три назад, появился файл "death of winxp.exe". Походу установочный, весит 1.96Кб. Отправлять сюда?
    ---
    Присылайте через карантин AVZ.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  17. #16
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    Эмм... А он его и не детектирует никак.
    Отправлю так
    Последний раз редактировалось emayo; 19.05.2010 в 15:59.

  18. #17
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    Значит так. В AVZ: Сервис - поиск на диске - ищем death of winxp.exe -- если найдется, то помещаем в карантин и присылаем через красную ссылку.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  19. #18
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    Готово.

  20. #19
    VIP Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    07.07.2005
    Адрес
    Moscow region
    Сообщений
    30,463
    Вес репутации
    2495
    По Вирустотал файл чистый. Можно его просто удалить.
    Павел
    AVZ HijackThis помощь с 10-00 до 18-00МСК

    Windows7, SEP(work)
    WindowsXP KIS(home)

    На up не реагирую

  21. #20
    Junior Member Репутация
    Регистрация
    12.05.2010
    Сообщений
    22
    Вес репутации
    24
    Сделал.
    Кстати в диспетчере задач пропали все имена пользователей. Только "бездействие системы" с "SYSTEM". Перезагрузка не помогает.... знаю, фигня, но мало ли)

  • Уважаемый(ая) emayo, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Страница 1 из 2 12 Последняя

    Похожие темы

    1. Крепкий Winlock
      От LongSnake в разделе Помогите!
      Ответов: 23
      Последнее сообщение: 13.11.2009, 07:03

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01138 seconds with 22 queries