Здравствуйте!
Avast заблокировал, при работе с интернетом, изменения в windows\system32\drivers\....
а ещё в лог-файле Avast была запись "vbs:Malware-gen" и "Win32:Rootkit-gen [Rtk]"
Заранее спасибо.
Здравствуйте!
Avast заблокировал, при работе с интернетом, изменения в windows\system32\drivers\....
а ещё в лог-файле Avast была запись "vbs:Malware-gen" и "Win32:Rootkit-gen [Rtk]"
Заранее спасибо.
Выполните скрипт в AVZ
Компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\WINDOWS\system32\gxrepu.exe',''); QuarantineFile('C:\WINDOWS\system32\8006d892.exe',''); DeleteFile('C:\WINDOWS\system32\8006d892.exe'); DeleteFile('C:\WINDOWS\system32\gxrepu.exe'); BC_ImportAll; ExecuteSysClean; BC_Activate; ExecuteRepair(20); RebootWindows(true); end.
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Обновите базы AVZ
Сделайте новые логи
Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
дело в том, что файлы gxrepu.exe и 8006d892.exe я сам своими ручками уже удалил уже после создания логов через АВЗ.. но результат не изменился... Avast по умолчанию грузится с выключенным on-line монитором
вот решил ещё раз решил для экспертов сделать логи АВЗ.
К сожалению выключить Avast нет возможности, система это не позволяет. Пк отвечает (ограниченно) в течении 3-4 минут, а потом работает только мышка (перемещается по экрану) и всё... и "восстановление системы" тоже не отключить. Плюс при загрузке экран Avast всегда находится в режиме отключения.
RSIT не запускается, выдаёт ошибку и предлагает "отладить программу"
Спасибо.
Выполните скрипт в AVZ
Компьютер перезагрузится.Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); QuarantineFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe',''); DeleteFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe'); DeleteFile('%windir%\Tasks\{BB65B0FB-5712-401b-B616-E69AC55E2757}.job'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(true); end.
Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы
Обновите базы AVZ
Сделайте новые логи
Microsoft MVP 2012-2016 Consumer Security
Microsoft MVP 2016 ReconnectАнтивирусная помощь
скрипт запустил, но ПК отказался перегружаться.... пришлось принудительно его выключить. Потом создал логи, но реакция была та же, что и до запуска скрипта...
.... потом решил ещё глубже капнуть и отключил пару служб, переименовал пару файлов из "Windows", принудительно перегрузился и стало немного лучше. При запуске Autoruns, в закладке "Logon" появилась информация о загрузка системы (а раньше кроме rdpclip)ничего не было.... системы работала больше 3-4 минут и был доступ ко всем системным функциям. Создал новые логи. Но звук не появился... и есть задержка при открытии некоторых программ и файлов.
Спасибо.
Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Обязательно!!! Системное восстановление!!! как- посмотреть можно тут
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- Выполните скрипт в AVZ
После перезагрузки:Код:begin SearchRootkit(true, true); SetAVZGuardStatus(True); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true); RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); QuarantineFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe',''); QuarantineFile('C:\Program Files\Microsoft ActiveSync\_wcescomm.exe',''); QuarantineFile('C:\WINDOWS\system32\gxrepu.exe',''); QuarantineFile('C:\WINDOWS\system32\8006d892.exe',''); DeleteFile('C:\WINDOWS\system32\8006d892.exe'); DeleteFile('C:\WINDOWS\system32\gxrepu.exe'); DeleteFile('C:\DOCUME~1\4705~1\LOCALS~1\Temp\b.exe'); BC_ImportAll; ExecuteSysClean; ExecuteRepair(20); ExecuteWizard('TSW', 2, 2, true); ExecuteWizard('SCU', 2, 2, true); BC_Activate; RebootWindows(true); end.
- выполните такой скрипт
- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темыКод:begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте RSIT тут. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
всё сделал как вы сказали, но Avast выгрузить не удалось и в карантин ничего не попало (пустой архив получился) и звук не появился...
посмотрел журнал событий, в тот момент когда пошло заражение и Avast стал сильно ругаться появилась запись:
"Сбой при запуске службы "7ByteIo" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "Подавитель акустического эхо ядра системы" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "Драйвер асинхронного носителя RAS" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "i2omgmt" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "Драйвер брандмауэра Windows для IPv6" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "Драйвер фильтра IP-трафика" из-за ошибки
Не удается найти указанный файл. "
"Служба "Драйвер фильтра IPX-трафика" является зависимой от службы "Драйвер пересылки IPX-трафика", которую не удалось запустить из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "VSO Software pcouffin" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "Secdrv" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "BDA Slip De-Framer" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "SMI Win XP Factory Driver" из-за ошибки
Не удается найти указанный файл. "
"Сбой при запуске службы "smserial" из-за ошибки
Не удается найти указанный файл. "
"Обнаружена попытка замены защищенного системного файла changer.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."
"Обнаружена попытка замены защищенного системного файла i2omgmt.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."
"Обнаружена попытка замены защищенного системного файла lbrtfdc.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.10.1.0."
"Служба "Служба восстановления системы" перешла в состояние Остановлена."
"Драйвер обозревателя сети инициировал выборы в сети \Device\NetBT_Tcpip_{215C1FCA-AB4C-4C3F-A580-56AF5AE5AB76}, так как был остановлен основной обозреватель сети."
ну и ещё пару строк.... а после ПК завис и после принудительной перезагрузке пошёл чудить....
я так понимаю, что руткит самостоятельно выключил восстановление системы.
Профиксите в HijackThis
В остальном подозрительного нет. Что с проблемой?Код:R3 - Default URLSearchHook is missing O2 - BHO: (no name) - AutorunsDisabled - (no file) O9 - Extra button: (no name) - AutorunsDisabled - (no file)
звук не появился, Avast грузится с выключенным экраном в реальном времени. При попытке переустановить драйвер звуковой карты, установщик повисает.
Добавлено через 3 часа 4 минуты
а как можно проверить ещё сидит у меня что-то или нет?...
а то преустановка звуковой карты заняло 15 минут... а запуск мп3 1,5 минуты...
такое впечатление, что кто-то следит за работой ПК.... я не параноик...
Последний раз редактировалось BCH_Rus; 24.08.2010 в 19:04. Причина: Добавлено
- Сделайте лог MBAM
прошёл тест. ничего явного не нашлось... только "avdrn.dat" и он близок к времени, когда всё началось...
- удалите в MBAM
Код:Зараженные ключи в реестре: HKEY_CURRENT_USER\SOFTWARE\poprock (Trojan.Downloader) -> No action taken. HKEY_CURRENT_USER\SOFTWARE\Vkontakte (Trojan.Fkantakte) -> No action taken. Зараженные параметры в реестре: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bf (Trojan.Agent) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bk (Trojan.Agent) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\iu (Trojan.Agent) -> No action taken. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\mu (Trojan.Agent) -> No action taken. Зараженные файлы: C:\Documents and Settings\Иннусик\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
удалил... ничего не изменилось...
система так же медленно грузится (точнее рабочий стол появляется в нормальное время, а вот сеть, аваст, звук грузятся с очень сильной задержкой) Аваст грузится с выключенным экраном файловой системы. Звуковая тема при загрузке не работает, но драйвер звука работает (воспроизводятся звуковые файлы) выключение происходит тоже с большой задержкой, а иногда приходится выкл питание ноута. а можно заново переставить файлы Windows, но при этом сохранить систему в целом (т.е. все установленные программы и настройки) ??
Можно
- найдите диск для Windows ХР Service Pack 3 и переустановите Windows, так как написано тут
см. Способ 2. Восстановление Windows XP при загрузке компьютера с компакт-диска Windows XP
а что же может тормозить систему? вроде всё посмотрел.....
а это может дать какую-то подсказку?... всё это произошло в момент заражения системы... может эти файлы обновить?"Обнаружена попытка замены защищенного системного файла changer.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."
"Обнаружена попытка замены защищенного системного файла i2omgmt.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.1.2600.5512."
"Обнаружена попытка замены защищенного системного файла lbrtfdc.sys. Этот файл восстановлен до исходной версии для обеспечения стабильности системы. Версия системного файла 5.10.1.0."
вроде как ПК заработал...
переустановил с диска заново систему, с сохранением всех программ...
появился звук, заработали USB... теперь будем смотреть за стабильностью.
Статистика проведенного лечения:
- Получено карантинов: 1
- Обработано файлов: 1
- В ходе лечения вредоносные программы в карантинах не обнаружены
Уважаемый(ая) BCH_Rus, наши специалисты оказали Вам всю возможную помощь по вашему обращению.
В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:
Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:
Надеемся больше никогда не увидеть ваш компьютер зараженным!
Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.