И снова неубиенный cfdrive32.exe. msvmiode.exe и ltzqai.exe

**KVV62** · 29.09.2010, 23:30

Здравствуйте!

Посетила меня та же беда, что и других здесь на форуме. Эти вири находятся, но не убиваются.
Проявления-как у всех, пропадает звук, изменяется рабочий стол, тормозит комп, особенно, когда активно работает флеш-плеер.

Прошу помощи... Файлы AVZ и HJT прилагаются.

Спасибо!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Никита Соловьев** · 29.09.2010, 23:40

Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\recycler\s-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 TerminateProcessByName('d:\windows\cfdrive32.exe');
 TerminateProcessByName('d:\docume~1\kvv\locals~1\temp\7298.exe');
 QuarantineFile('D:\WINDOWS\system32\70.exe','');
 QuarantineFile('D:\WINDOWS\system32\26.exe','');
 QuarantineFile('D:\WINDOWS\system32\35.exe','');
 QuarantineFile('D:\WINDOWS\system32\67.exe','');
 QuarantineFile('D:\WINDOWS\system32\77.exe','');
 QuarantineFile('D:\WINDOWS\system32\87.exe','');
 QuarantineFile('D:\WINDOWS\system32\02.exe','');
 QuarantineFile('D:\WINDOWS\system32\04.exe','');
 QuarantineFile('D:\WINDOWS\system32\07.exe','');
 QuarantineFile('D:\WINDOWS\system32\11.exe','');
 QuarantineFile('D:\WINDOWS\system32\15.exe','');
 QuarantineFile('D:\WINDOWS\system32\25.exe','');
 QuarantineFile('D:\WINDOWS\system32\27.exe','');
 QuarantineFile('D:\WINDOWS\system32\32.exe','');
 QuarantineFile('D:\WINDOWS\system32\42.exe','');
 QuarantineFile('D:\WINDOWS\system32\64.exe','');
 QuarantineFile('D:\WINDOWS\system32\57.exe','');
 QuarantineFile('D:\WINDOWS\system32\41.exe','');
 QuarantineFile('D:\WINDOWS\system32\12.exe','');
 QuarantineFile('D:\WINDOWS\system32\78.exe','');
 QuarantineFile('D:\WINDOWS\system32\36.exe','');
 QuarantineFile('D:\WINDOWS\system32\21.exe','');
 QuarantineFile('D:\WINDOWS\system32\53.exe','');
 QuarantineFile('D:\WINDOWS\system32\23.exe','');
 QuarantineFile('D:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('D:\RECYCLER\S-1-5-21-5926763937-8151121736-282971327-5201\syscr.exe','');
 QuarantineFile('D:\Documents and Settings\KVV\Application Data\ltzqai.exe','');
 QuarantineFile('D:\DOCUME~1\KVV\LOCALS~1\Temp\36920.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
 QuarantineFile('D:\WINDOWS\system\csrss.exe','');
 DeleteService('NrConnmags');
 DeleteFile('D:\WINDOWS\system\csrss.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
 DeleteFile('D:\DOCUME~1\KVV\LOCALS~1\Temp\36920.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','Advanced DHTML Enable');
 DeleteFile('D:\Documents and Settings\KVV\Application Data\ltzqai.exe');
 DeleteFile('D:\RECYCLER\S-1-5-21-5926763937-8151121736-282971327-5201\syscr.exe');
 DeleteFile('D:\WINDOWS\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('D:\WINDOWS\system32\23.exe');
 DeleteFile('D:\WINDOWS\system32\53.exe');
 DeleteFile('D:\WINDOWS\system32\21.exe');
 DeleteFile('D:\WINDOWS\system32\36.exe');
 DeleteFile('D:\WINDOWS\system32\78.exe');
 DeleteFile('D:\WINDOWS\system32\12.exe');
 DeleteFile('D:\WINDOWS\system32\41.exe');
 DeleteFile('D:\WINDOWS\system32\57.exe');
 DeleteFile('D:\WINDOWS\system32\64.exe');
 DeleteFile('D:\WINDOWS\system32\42.exe');
 DeleteFile('D:\WINDOWS\system32\32.exe');
 DeleteFile('D:\WINDOWS\system32\27.exe');
 DeleteFile('D:\WINDOWS\system32\25.exe');
 DeleteFile('D:\WINDOWS\system32\15.exe');
 DeleteFile('D:\WINDOWS\system32\11.exe');
 DeleteFile('D:\WINDOWS\system32\07.exe');
 DeleteFile('D:\WINDOWS\system32\04.exe');
 DeleteFile('D:\WINDOWS\system32\02.exe');
 DeleteFile('D:\WINDOWS\system32\87.exe');
 DeleteFile('D:\WINDOWS\system32\77.exe');
 DeleteFile('D:\WINDOWS\system32\67.exe');
 DeleteFile('D:\WINDOWS\system32\35.exe');
 DeleteFile('D:\WINDOWS\system32\26.exe');
 DeleteFile('D:\WINDOWS\system32\70.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи

**KVV62** · 30.09.2010, 00:23

Карантин отослан.

Новые логи прилагаются.

**Никита Соловьев** · 30.09.2010, 00:48

Сделайте лог ComboFix

**KVV62** · 30.09.2010, 01:32

Лог ComboFix:

**Никита Соловьев** · 30.09.2010, 01:39

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

Код:

KillAll::

File::
d:\windows\system32\gff6.exe
d:\recycler\S-1-5-21-1931904966-6668561479-847721963-6014\syscr.exe
d:\DOCUME~1\KVV\LOCALS~1\Temp\583900.exe
d:\docume~1\KVV\LOCALS~1\Temp\583900.exe
d:\windows\cfdrive32.exe
d:\docume~1\KVV\LOCALS~1\Temp\7415044.exe

Folder::


Registry::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**KVV62** · 30.09.2010, 02:04

Готово.

**Никита Соловьев** · 30.09.2010, 02:10

Хорошо. Теперь сделайте лог virusinfo_syscheck.zip

**KVV62** · 30.09.2010, 02:45

Сделано. После этого Опера не открывает окно ответа, а IE вообще не открывает сайт. Зашел под другой Виндой.

**Никита Соловьев** · 30.09.2010, 15:47

проклятые вирусы

Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('%System32%\??.exe','');
 TerminateProcessByName('d:\windows\system32\76.exe');
 TerminateProcessByName('d:\windows\system32\53.exe');
 QuarantineFile('D:\WINDOWS\system32\67.exe','');
 QuarantineFile('D:\RECYCLER\S-1-5-21-2634252737-9151657102-269724610-1296\syscr.exe','');
 DeleteFile('D:\RECYCLER\S-1-5-21-2634252737-9151657102-269724610-1296\syscr.exe');
 DeleteFile('D:\WINDOWS\system32\67.exe');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

Сделайте новые логи AVZ

Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

**KVV62** · 30.09.2010, 16:44

Все сделано.

**Никита Соловьев** · 30.09.2010, 16:50

Сделайте лог MBAM

**KVV62** · 30.09.2010, 17:27

Есть.

**Никита Соловьев** · 30.09.2010, 17:29

Удалите всё, сделайте новый лог МВАМ и AVZ

**KVV62** · 30.09.2010, 19:50

Да... Много я этих тварей убил в жизни, но такого живучего не видел...

**thyrex** · 30.09.2010, 22:29

Причина живучести - Windows 5.1.2600 Service Pack 2

Удаляйте в МВАМ все наденное и делайте новый лог

**KVV62** · 30.09.2010, 23:54

Сделано. Прийдеться обновиться до SP3...

**Никита Соловьев** · 30.09.2010, 23:57

Сообщение от KVV62

Прийдеться обновиться до SP3...

Это обязательно. Но мне хотелось бы сначала убрать заразу

удалите в МВАМ:

Зараженные файлы:
D:\Documents and Settings\KVV\Local Settings\temp\1763.exe (Backdoor.Bot) -> No action taken.
D:\Documents and Settings\KVV\Local Settings\temp\5058007.exe (Heuristics.Shuriken) -> No action taken.

сделайте лог, они уже сдаются

**KVV62** · 01.10.2010, 01:45

Что-то не могу загрузить логи. Вроде отправил, а сообщение в форуме не появилось. При повторной отправке пишет, что уже отправлено.

**Никита Соловьев** · 01.10.2010, 01:50

Нужен лог МВАМ (если сделали avz прикрепите и их). Я убрал ранние вложение. Попробуйте ещё раз

И снова неубиенный cfdrive32.exe. msvmiode.exe и ltzqai.exe (заявка № 89013)

Опции темы

И снова неубиенный cfdrive32.exe. msvmiode.exe и ltzqai.exe

Антивирусная помощь

Похожие темы

Небезызвестные cfdrive32.exe, msvmiode.exe, ltzqai.exe

Файлы cfdrive32,exe,syscr.exe, ltzqai.exe, msvmiode.exe (заявка №32453)

Подмена диспетчера задач, cfdrive32.exe. msvmiode.exe, ltzqai.exe

После удаления и перезагрузки восстанавливаются ltzqai.exe, msvmiode.exe, cfdrive32.exe (заявка №27531)

После удаления и перезагрузки восстанавливаются ltzqai.exe, msvmiode.exe, cfdrive32.exe (заявка №27531)

Ваши права в разделе