Страница 1 из 2 12 Последняя
Показано с 1 по 20 из 25.

Помогите! Непонятные файлы: and, ltzqai.exe and, Settings\ae_wall'e\Application в автозапуске (заявка № 83891)

  1. #1
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51

    Thumbs up Помогите! Непонятные файлы: and, ltzqai.exe and, Settings\ae_wall'e\Application в автозапуске

    Помогте решить проблему с непонятными файлами в автозагрузке!
    Settings\ae_wall'e\Application, ltzqai.exe and, and.
    Появляются через некоторое время после загрузки системы. А в папке F:\WINDOWS\system32 появляются файлы 23.exe, 67.exe, 72.exe, 82.exe
    Систему переустанавливал неоднократно. Помогает, но после подключения к инернету появляються вновь. Нужна ваша помощь.
    Последний раз редактировалось lerich; 29.07.2010 в 14:33.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,760
    Вес репутации
    1296
    Закройте все программы
    Отключите
    - ПК от интернета/локалки.
    - Антивирус и Файрвол
    - Системное восстановление


    Выполните скрипт в АВЗ -

    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     TerminateProcessByName('f:\windows\system32\msvmiode.exe');
     QuarantineFile('F:\WINDOWS\system32\zipfldr.dll','');
     QuarantineFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe','');
     QuarantineFile('F:\WINDOWS\system32\msvmiode.exe','');
     DeleteFile('F:\WINDOWS\system32\msvmiode.exe');
     DeleteFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe');  
     DelAutorunByFileName('ltzqai.exe');                                           
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteWizard('TSW',2,2,true);
     ExecuteRepair(11);
     BC_Activate;
     RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.

    После перезагрузки:
    - выполните такой скрипт

    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

    - Повторите логи.
    Последний раз редактировалось olejah; 26.07.2010 в 22:31.

  4. #3
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Не могу выполнить скрипт пишет:
    Ошибка: ')' expected в позиции 10:58

  5. #4
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,760
    Вес репутации
    1296
    Прошу прощения, поправил, выполняйте.

  6. #5
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Всё выполнил. Вот новые логи ->
    Последний раз редактировалось lerich; 29.07.2010 в 14:33.

  7. #6
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Помогите!!! I need help!

  8. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Выполните скрипт в AVZ
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
    QuarantineFile('F:\WINDOWS\system32\23.exe','');
     QuarantineFile('F:\WINDOWS\system32\36.exe','');
     QuarantineFile('F:\WINDOWS\system32\netprotocol.exe','');
     QuarantineFile('F:\WINDOWS\system32\netprotocol.dll','');
     QuarantineFile('F:\WINDOWS\cndrive32.exe','');
     QuarantineFile('F:\Documents and Settings\ae_walle\Главное меню\Программы\Автозагрузка\monoca32.exe','');
     DeleteFile('F:\Documents and Settings\ae_walle\Главное меню\Программы\Автозагрузка\monoca32.exe');
     DeleteFile('F:\WINDOWS\cndrive32.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
     DeleteFile('F:\WINDOWS\system32\netprotocol.dll');
     DeleteFile('F:\WINDOWS\system32\netprotocol.exe');
     DeleteFile('F:\WINDOWS\system32\36.exe');
     DeleteFile('F:\WINDOWS\system32\23.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    Компьютер перезагрузится.

    Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

    Сделайте новые логи + лог gmer + лог http://virusinfo.info/showpost.php?p=457118&postcount=1
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  9. #8
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Всё проделал: Логи ->
    Последний раз редактировалось lerich; 29.07.2010 в 14:33.

  10. #9
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    - Сохраните текст ниже как 1.bat в ту же папку, где находится i6z46sly.exe (GMER) и запустите этот батник(1.bat):
    Код:
    i6z46sly.exe -del service mxgozmg 
    i6z46sly.exe -del file "F:\WINDOWS\system32\uvyxtluk.dll"
    i6z46sly.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\mxgozmg"
    i6z46sly.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\mxgozmg "
    i6z46sly.exe -reboot
    Компьютер перезагрузится.

    После перезагрузки:
    Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     QuarantineFile('F:\Documents and Settings\ae_walle\Local Settings\Temp\~TM94.tmp','');
     QuarantineFile('F:\Documents and Settings\ae_walle\Local Settings\Temporary Internet Files\Content.IE5\IK6VF8HR\c93[1].exe','');
     QuarantineFile('F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\bpxos[1].bmp','');
     QuarantineFile('F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\wfqidi[1].bmp','');
     QuarantineFile('F:\RECYCLER\S-1-5-21-0758566517-3092097049-188403564-7577\syscr.exe','');
     QuarantineFile('F:\RECYCLER\S-1-5-21-2486824157-7947763054-685694022-7003\syscr.exe ','');
     QuarantineFile('F:\RECYCLER\S-1-5-21-5090737932-9707271897-623094826-7173\syscr.exe','');
     QuarantineFile('F:\RECYCLER\S-1-5-21-6213057492-1127858644-700969346-7447\syscr.exe','');
     DeleteFile('F:\Documents and Settings\ae_walle\Local Settings\Temporary Internet Files\Content.IE5\IK6VF8HR\c93[1].exe');
     DeleteFile('F:\Documents and Settings\ae_walle\Local Settings\Temp\~TM94.tmp');
     DeleteFile('F:\RECYCLER\S-1-5-21-2486824157-7947763054-685694022-7003\syscr.exe ');
     DeleteFile('F:\RECYCLER\S-1-5-21-5090737932-9707271897-623094826-7173\syscr.exe');
     DeleteFile('F:\RECYCLER\S-1-5-21-6213057492-1127858644-700969346-7447\syscr.exe');
     DeleteFile('F:\RECYCLER\S-1-5-21-0758566517-3092097049-188403564-7577\syscr.exe');
     QuarantineFile('F:\WINDOWS\system32\CDClose.dll ','');
     DeleteFileMask('F:\Documents and Settings\ae_walle\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
     QuarantineFile('F:\WINDOWS\System32\Drivers\sfc.SYS','');
     QuarantineFile('F:\WINDOWS\System32\sfcfiles.dll','');
     QuarantineFile('F:\WINDOWS\system32\mssfc.dll','');
     DeleteFile('F:\WINDOWS\system32\drivers\sfc.sys');
     DeleteFile('F:\WINDOWS\system32\mssfc.dll');
     RenameFile('F:\WINDOWS\System32\sfcfiles.dll', 'F:\WINDOWS\System32\sfcfiles.bak');
     CopyFile('F:\WINDOWS\System32\dllcache\sfcfiles.dll','F:\WINDOWS\System32\sfcfiles.dll');
     DeleteFile('F:\WINDOWS\System32\sfcfiles.bak');
     BC_ImportALL;
     ExecuteSysClean;
     BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
     ExecuteWizard('TSW', 2, 2, true);
     ExecuteWizard('SCU', 2, 2, true);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - удалите в MBAM
    Код:
    Зараженные ключи в реестре:
    HKEY_CLASSES_ROOT\CLSID\{8e8e8f8a-8fcc-88ce-bcb8-b8fd8e88888a} (Malware.Packer) -> No action taken.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
    - Сделайте лог MBAM
    Последний раз редактировалось polword; 27.07.2010 в 09:04.

  11. #10
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Всё сделал как просили.
    Последний раз редактировалось lerich; 29.07.2010 в 14:33.

  12. #11
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Зараза ни как не исчезает.Удалял как только подключаю интернет вылазит снова ->
    Последний раз редактировалось lerich; 29.07.2010 в 00:48.

  13. #12
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Help!!! Надоело бороться(((((

  14. #13
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     TerminateProcessByName('f:\windows\system32\msvmiode.exe'); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
     QuarantineFile('f:\windows\explorer.exe','');
     QuarantineFile('F:\WINDOWS\system32\msvmiode.exe','');
     QuarantineFile('F:\RECYCLER\S-1-5-21-3423718349-7345066103-855989427-6106\syscr.exe','');
     QuarantineFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe','');
     QuarantineFile('F:\WINDOWS\system32\DRIVERS\tcpip.sys','');
     QuarantineFile('f:\windows\system32\msvmiode.exe','');
     DeleteFile('f:\windows\system32\msvmiode.exe');
     DeleteFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe');
     DeleteFile('F:\RECYCLER\S-1-5-21-3423718349-7345066103-855989427-6106\syscr.exe');
     DeleteFile('F:\WINDOWS\system32\msvmiode.exe');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
     QuarantineFile('F:\RECYCLER\S-1-5-21-3818102550-8867501192-457489674-9439\syscr.exe','');
     DeleteFile('F:\RECYCLER\S-1-5-21-3818102550-8867501192-457489674-9439\syscr.exe');
     QuarantineFile('F:\WINDOWS\system32\GreenFields.scr','');
     RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
     BC_ImportAll;
     ExecuteSysClean;
     ExecuteRepair(11);
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - выполните такой скрипт
    Код:
    begin
      CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
     end.
    - удалите в MBAM, что останется из этого
    Код:
    Зараженные процессы в памяти:
    F:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> Not selected for removal.
    
    Зараженные параметры в реестре:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Trojan.FakeAlert.H) -> Not selected for removal.
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.AutoRun) -> Not selected for removal.
    
    Объекты реестра заражены:
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (F:\RECYCLER\S-1-5-21-3818102550-8867501192-457489674-9439\syscr.exe,explorer.exe,F:\Documents and Settings\ae_wall'e\Application Data\ltzqai.exe,F:\Documents and Data\ltzqai.exe Settings\ae_wall'e\Application) Good: (Explorer.exe) -> Not selected for removal.
    
    Зараженные файлы:
    F:\WINDOWS\system32\msvmiode.exe (Trojan.FakeAlert.H) -> Not selected for removal.
    E:\Вирус\avz4\avz4\Quarantine\2010-07-27\avz00001.dta (Worm.Conficker) -> Not selected for removal.
    E:\Вирус\avz4\avz4\Quarantine\2010-07-27\avz00007.dta (Malware.Packer) -> Not selected for removal.
    E:\Вирус\avz4\avz4\Quarantine\2010-07-27\bcqr00005.dat (Worm.Conficker) -> Not selected for removal.
    E:\Вирус\avz4\avz4\Quarantine\2010-07-27\bcqr00006.dat (Worm.Conficker) -> Not selected for removal.
    E:\Вирус\avz4\avz4\Quarantine\2010-07-27\bcqr00018.dat (Malware.Packer) -> Not selected for removal.
    F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\bpxos[1].bmp (Worm.Conficker) -> Not selected for removal.
    F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\wfqidi[1].bmp (Extension.Mismatch) -> Not selected for removal.
    F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\PR5TRV4C\eylid[1].gif (Worm.Conficker) -> Not selected for removal.
    F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\PR5TRV4C\uwimgqpq[1].png (Extension.Mismatch) -> Not selected for removal.
    F:\WINDOWS\system32\CDClose.dll (Malware.Packer) -> Not selected for removal.
    F:\Documents and Settings\ae_wall'e\Application Data\avdrn.dat (Malware.Trace) -> Not selected for removal.
    - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
    - Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
    - Сделайте лог MBAM

  15. #14
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Сделано
    Последний раз редактировалось lerich; 29.07.2010 в 14:33.

  16. #15
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Тоже удаляйте
    Код:
    F:\RECYCLER\S-1-5-21-5289498877-5930005241-268379159-4300\syscr.exe (Worm.Autorun.B) -> Not selected for removal.
    F:\RECYCLER\S-1-5-21-5740935243-3248686458-720919699-0695\syscr.exe (Worm.Autorun.B) -> Not selected for removal.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  17. #16
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Удалил и эти строки

  18. #17
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    23.06.2009
    Адрес
    Пермь
    Сообщений
    11,186
    Вес репутации
    550
    - Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(True);
     DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
     DeleteFileMask('F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
     BC_ImportAll;
     ExecuteSysClean;
     BC_Activate;
     RebootWindows(true);
    end.
    После перезагрузки:
    - Сделайте еще раз лог MBAM

  19. #18
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Выполнил
    Последний раз редактировалось lerich; 29.07.2010 в 14:33.

  20. #19
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Ничего необычного
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  21. #20
    Junior Member Репутация
    Регистрация
    14.07.2010
    Сообщений
    25
    Вес репутации
    51
    Вроде всё пришло в норму. Только интересно почему в автозагрузке два одинаковых файла Explorer.exe и explorer.exe

  • Уважаемый(ая) lerich, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Страница 1 из 2 12 Последняя

    Похожие темы

    1. Ответов: 2
      Последнее сообщение: 06.08.2012, 12:29
    2. Ответов: 2
      Последнее сообщение: 24.07.2012, 22:35
    3. Ответов: 2
      Последнее сообщение: 04.04.2012, 09:00
    4. Ответов: 3
      Последнее сообщение: 18.03.2010, 12:00
    5. непонятные записи в автозапуске
      От Maximus_1982 в разделе Помогите!
      Ответов: 1
      Последнее сообщение: 22.09.2009, 11:43

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00280 seconds with 19 queries