Показано с 1 по 12 из 12.

Userini + подмена диспетчера задач (заявка № 80681)

  1. #1
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24

    Exclamation Userini + подмена диспетчера задач

    Добрый вечер.
    Помогите пожалуйста!
    обнаружил вирус userini
    в avz в мастере устранения проблем выдается "подмена диспетчера задач" - проблема появляется вновь через секунду.
    в безопасном режиме userini поудалял но после запуска диспетчера задач появляется вновь помогите пожалуйста!!! большое спасибо!!!
    Вложения Вложения

  2. Реклама
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для ARMA9000
    Регистрация
    16.09.2009
    Сообщений
    1,987
    Вес репутации
    89
    Отключить восстановление системы, защитное ПО.
    Выполнить скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
     QuarantineFile('C:\Documents and Settings\Хозяйка\Application Data\cift.exe','');
     QuarantineFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\ruaxkvnmto.sys','');
     QuarantineFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\tlmrdaoboxgdys.sys','');
     TerminateProcessByName('c:\windows\temp\wpv571275553049.exe');
     QuarantineFile('c:\windows\temp\wpv571275553049.exe','');
    SetServiceStart('vbyhun', 4);
     DeleteService('vbyhun');
    SetServiceStart('suhjbwgldadulwb', 4);
     DeleteService('suhjbwgldadulwb');
     DeleteFile('c:\windows\temp\wpv571275553049.exe');
     DeleteFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\tlmrdaoboxgdys.sys');
     DeleteFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\ruaxkvnmto.sys');
     DeleteFile('C:\Documents and Settings\Хозяйка\Application Data\cift.exe');
     DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
    BC_Activate;
    ExecuteSysClean;
    ExecuteWizard('TSW', 2, 2, true); 
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится. Карантин загрузить по красной ссылке. БАЗЫ "АВЗ" ОБНОВИТЬ и переделать логи.

  4. #3
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24
    Спасибо большое за отклик.
    Решаю проблему на компе заведующей детсадом, куда ходит мой ребенок (попросила) потому не сразу ответил - извините.

    1. Востановление системы и было отключено раньше.
    2. скрипт выполнил. проскакивали какие-то ошибки во время выполнения (по-моему не мог удалить файлы). Потом перегружался комп сам.
    3. Базы обновил.
    4. Проблема пока не решена...

    п.с. подмененный файл Диспетчера задач походу в D&S\Администратор\Application Date\cift.exe - но не могу его убить как вернуть стандартный? как называется и где накрутить чтоб брал правильный файл Диспетчера задач?

    Огромное спасибо за раннее!
    Вложения Вложения

  5. #4
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24
    карантин загрузил
    Файл сохранён как100612_132746_2010-06-12_4c135312c58ea.zip
    Размер файла460643
    MD5a260f88eb7af459946a536489f572143

  6. #5
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,582
    Вес репутации
    2916
    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    DelCLSID('{MAWF3N5A-LP0C-M0RT-K8MY-JKFA6NW3A}');
     QuarantineFile('C:\WINDOWS\system32\syschange.exe','');
     QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
     QuarantineFile('C:\NOD32\Scanner\scanneris.exe','');
     QuarantineFile('C:\WINDOWS\system32\userini.exe','');
     QuarantineFile('C:\Documents and Settings\Администратор\Application Data\mrpky.exe,explorer.exe,C:\Documents and Settings\Администратор\Application Data\cift.exe','');
    QuarantineFile('C:\Documents and Settings\Администратор\Application Data\mrpky.exe','');
     QuarantineFile('C:\Documents and Settings\Администратор\Application Data\cift.exe','');
     QuarantineFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\xhgaiecmgnlzzq.sys','');
     DeleteService('lrxzkysgwzvytx');
     QuarantineFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\zjqsyaziuz.sys','');
     DeleteService('dmnplxjioiim');
     DeleteFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\zjqsyaziuz.sys');
     DeleteFile('C:\DOCUME~1\892E~1\LOCALS~1\Temp\xhgaiecmgnlzzq.sys');
     DeleteFile('C:\Documents and Settings\Администратор\Application Data\cift.exe');
    DeleteFile('C:\Documents and Settings\Администратор\Application Data\mrpky.exe');
     DeleteFile('C:\Documents and Settings\Администратор\Application Data\mrpky.exe,explorer.exe,C:\Documents and Settings\Администратор\Application Data\cift.exe');
     DeleteFile('C:\WINDOWS\system32\userini.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
     DeleteFile('C:\NOD32\Scanner\scanneris.exe');
     DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
     DeleteFile('C:\WINDOWS\system32\syschange.exe');
    RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Сделайте новые логи в нормальном режиме + лог http://virusinfo.info/showpost.php?p=457118&postcount=1
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  7. #6
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24
    Заработал шустрее, АВЗ больше не сообщает о подмене диспетчера задач! Логи выкладываю.

    погуглил реестр на наличие "userini" - сразу записей небыло, потом появилась: [HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Policies\Explorer\Run]
    "System Profiling"="C:\\WINDOWS\\system32\\syschange.exe"
    "userini"="C:\\WINDOWS\\explorer.exe:userini.e xe"

    не знаю после чего. но сразу небыло
    Вложения Вложения
    Последний раз редактировалось Константин Ш.; 12.06.2010 в 14:27.

  8. #7
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,582
    Вес репутации
    2916
    Логов не видно
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  9. #8
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24
    да забыл. сейчас приаттачил к тому же сообщению.
    послал карантин
    Файл сохранён как100612_142824_2010-06-12_4c136148e9e9f.zip
    Размер файла5477
    MD591c0b8f7ebcb3d1c8d6a2ea3e8309539

    что-то все-таки сидит еще. первый раз запускал скрипт - ничего небыло, второй (логи от него) снова какая-то зараза

    что-то подкидывает userini

  10. #9
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24
    Блин. заметил! вирусы подтягиваются из сети. покак не подключаюсь, все пучком.
    Вот лог mbam-setup.exe - 20 вирусов. Удалять все?
    Вложения Вложения

  11. #10
    Junior Member Репутация
    Регистрация
    10.06.2010
    Сообщений
    7
    Вес репутации
    24
    В общем спасибо.
    По-моему поборол...

  12. #11
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,582
    Вес репутации
    2916
    Удалите в МВАМ
    Код:
    Зараженные ключи в реестре:
    HKEY_CLASSES_ROOT\CLSID\{1408e208-2ac1-42d3-9f10-78a5b36e05ac} (Trojan.BHO) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
    HKEY_CLASSES_ROOT\CLSID\MADOWN (Worm.Magania) -> No action taken.
    
    Зараженные параметры в реестре:
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\userini (Trojan.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\userini (Trojan.Agent) -> No action taken.
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\userini (Trojan.Agent) -> No action taken.
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\userini (Trojan.Agent) -> No action taken.
    
    Зараженные папки:
    C:\Documents and Settings\All Users\Application Data\13219218 (Rogue.Multiple) -> No action taken.
    
    Зараженные файлы:
    C:\WINDOWS\system32\drivers\47089918.sys (Rootkit.Rustock) -> No action taken.
    C:\WINDOWS\system32\wbem\grpconv.exe (Trojan.Dropper) -> No action taken.
    C:\Documents and Settings\Хозяйка\Local Settings\Temporary Internet Files\Content.IE5\J78W9M0P\3[1].exe (Trojan.Dropper) -> No action taken.
    C:\WINDOWS\system32\SelfDel.bat (Malware.Trace) -> No action taken.
    C:\Documents and Settings\Хозяйка\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
    C:\WINDOWS\system32\csrcs.exe (Trojan.Agent) -> No action taken.
    C:\WINDOWS\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
    C:\WINDOWS\system32\sdra64.exe (Spyware.Zbot) -> No action taken.
    C:\WINDOWS\system32\twex.exe (Backdoor.Bot) -> No action taken.
    Сделайте лог http://virusinfo.info/showpost.php?p=493610&postcount=1
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  13. #12
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    47,552
    Вес репутации
    942

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 25
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\documents and settings\администратор\application data\cift.exe - Trojan.Win32.Inject.ardy ( DrWEB: BackDoor.Butter.23, BitDefender: Trojan.Agent.Delf.RMM, AVAST4: Win32:Dracur-D [Cryp] )
      2. c:\documents and settings\хозяйка\application data\cift.exe - Trojan.Win32.Inject.ardy ( DrWEB: BackDoor.Butter.23, BitDefender: Trojan.Agent.Delf.RMM, AVAST4: Win32:Dracur-D [Cryp] )
      3. c:\docume~1\892e~1\locals~1\temp\ruaxkvnmto.sys - Rootkit.Win32.Agent.bhqy ( DrWEB: Trojan.NtRootKit.2965, AVAST4: Win32:Rootkit-gen [Rtk] )
      4. c:\docume~1\892e~1\locals~1\temp\tlmrdaoboxgdys.sy s - Rootkit.Win32.Agent.bhqy ( DrWEB: Trojan.NtRootKit.2965, AVAST4: Win32:Rootkit-gen [Rtk] )
      5. c:\windows\explorer.exe:userini.exe:$data - Email-Worm.Win32.Joleee.ewf ( DrWEB: Trojan.Spambot.6788, BitDefender: Gen:Variant.Bredo.2, AVAST4: Win32:Bredolab-DI [Trj] )
      6. c:\windows\system32\syschange.exe - HEUR:Trojan.Win32.Generic ( DrWEB: Trojan.PWS.Ibank.46, BitDefender: Trojan.Generic.4188226, AVAST4: Win32:Malware-gen )
      7. c:\windows\system32\userini.exe - Email-Worm.Win32.Joleee.ewe ( DrWEB: Trojan.Spambot.6788, BitDefender: Gen:Variant.Bredo.2, AVAST4: Win32:Bredolab-DI [Trj] )


  • Уважаемый(ая) Константин Ш., наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:


    Надеемся больше никогда не увидеть ваш компьютер зараженным!

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.
  • Присоединяйтесь к нам в соцсетях!

    Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

    Похожие темы

    1. Ответов: 9
      Последнее сообщение: 09.10.2011, 15:12
    2. Подмена диспетчера задач
      От inoj в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 01.10.2010, 15:40
    3. Ответов: 5
      Последнее сообщение: 02.09.2010, 00:17
    4. userini.exe в диспетчере задач 4 раза
      От Koroviev в разделе Помогите!
      Ответов: 12
      Последнее сообщение: 19.07.2010, 19:49
    5. Ответов: 7
      Последнее сообщение: 07.05.2010, 19:29

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00239 seconds with 22 queries