cfdrive32.exe и msvmoide.exe

**Romaner811** · 10.10.2010, 21:10

Привет!

у меня уже давно проблема с двумя процессами под именами:
cfdrive32.exe и msvmoide.exe**

** я не уверен как правильно msvmoide или msvmiode

я попал на сайт ища информацию о процессе syscache, попал в одну темку выполнил скрипт (который избавился от них) и за одно узнал что эти процессы(cfdrive32.exe и msvmoide.exe) тоже зловредные вот недавно начал чувствовать его присутствие (интернет начал лагать)
вырубаю их в ручную через панель задач.

я тут новенький(так сказать чайник) и понятия не имею о логах как их делать и что с ними делать...
программ не имею по этому говорите что устанавливать и как логи делать..

заранее спасибо!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Никита Соловьев** · 10.10.2010, 21:12

http://virusinfo.info/showthread.php?t=1235

P.S. скрипты из других тем могут привести к непредсказуемым последствиям

**Romaner811** · 10.10.2010, 21:30

вот один лог, AVPtool качаю

**Romaner811** · 11.10.2010, 18:34

я все прочитал и прошу прощение.

вот логи и все дела всё делал по инструкции

**olejah** · 11.10.2010, 20:18

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ в безопасном режиме -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);   
 TerminateProcessByName('c:\windows.0\cfdrive32.exe');
 TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
 QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\gsgwx.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-7387465587-7055877451-638338661-7757\syscr.exe','');
 DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
 DeleteFile('C:\WINDOWS.0\system32\32.exe');
 DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
 DeleteFile('c:\windows.0\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
 DeleteFile('C:\WINDOWS.0\kxxfv.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\RECYCLER\S-1-5-21-7387465587-7055877451-638338661-7757\syscr.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGAResolution');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
 DeleteFile('C:\Documents and Settings\NetworkService\Application Data\gsgwx.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
 DeleteFile('24.exe');
 RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
 RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');   
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,2,true);
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

Пришлите файл quarantine.zip из папки AVZ по ссылке Прислать запрошенный карантин над первым сообщением этой темы.

- Сделайте новые логи АВЗ

**Romaner811** · 12.10.2010, 09:28

Карантин:
Файл сохранён как 101012_092638_quarantine_4cb3f18e5ffd2.zip
Размер файла 1270
MD5 4130ec61e4086ef5d822acc9cd904d70
Логи:

**olejah** · 12.10.2010, 10:14

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');     
 TerminateProcessByName('c:\windows.0\cfdrive32.exe');
 DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');  
 DeleteFile('c:\windows.0\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');  
 DeleteFile('C:\RECYCLER\S-1-5-21-6858007658-8287353624-770574557-5888\syscr.exe');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Сделайте новые логи АВЗ + лог полного сканирования МВАМ

**Romaner811** · 12.10.2010, 19:01

лог mbam я не уверен что получилось:
я просканировал и нажал показать результаты, когда выходил оно писало мне что результаты будут потеряны в общем я прислал лог создан с кнопки сохранить отчёт, надеюсь это тот же самый?

**olejah** · 12.10.2010, 19:20

Удалите в МВАМ -

Код:

Зараженные процессы в памяти:
C:\WINDOWS.0\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS.0\cfdrive32.exe (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.Palevo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msnmsg (Trojan.Banker) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Worm.Palevo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msnmsg (Trojan.Banker) -> No action taken.

Зараженные папки:
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS.0\system32\drivers\07303422.sys (Rootkit.Agent.H) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\293.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\357.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\578698.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\8KJNGBER\575757[1].exe (Trojan.LVBP) -> No action taken.
C:\RECYCLER\S-1-5-21-0555589257-5104924997-729740828-8424\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-4594258461-1289910225-240534462-9407\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-6858007658-8287353624-770574557-5888\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS.0\innounp.exe (Malware.Packer.Gen) -> No action taken.
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken.
C:\WINDOWS.0\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS.0\cfdrive32.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\carxo.exe (Trojan.Banker) -> No action taken.

- Повторите лог полного сканирования

**Romaner811** · 13.10.2010, 17:18

вот

**Никита Соловьев** · 13.10.2010, 20:52

Сделайте новые логи AVZ...

**Romaner811** · 14.10.2010, 16:13

вот

**olejah** · 14.10.2010, 18:23

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 TerminateProcessByName('c:\windows.0\cfdrive32.exe');
 DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Test321');  
 DeleteFile('C:\RECYCLER\S-1-5-21-3631249669-4104900662-618036908-8568\syscr.exe');
 TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
 DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');  
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Сделайте повторные логи АВЗ + лог МВАМ

**Romaner811** · 15.10.2010, 15:52

у меня тут одна штука произошла:

я сделал логи AVZ
и поставил мбам на сканирование, и пошел своими делами заниматься...
мой старший брат когда использовал комп, нажал на удалить всё в конце сканировании...

комп работает вроде нормально пока что, сегодня утром я сделал ещё одно сканирование, мбам ничего не обнаружил.

делать новые логи AVZ? (для убеждения что вирус уничтожен?)

**olejah** · 15.10.2010, 18:31

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 DeleteFile('C:\RECYCLER\S-1-5-21-3631249669-4104900662-618036908-8568\syscr.exe');
 DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');       
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Повторите лог virusinfo_syscure.zip

**Romaner811** · 15.10.2010, 23:08

вот

**Никита Соловьев** · 15.10.2010, 23:15

Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 TerminateProcessByName('c:\windows.0\cfdrive32.exe');
 QuarantineFile('C:\WINDOWS.0\cfdrive32.exe','');
 DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',2,3,true);
 BC_Activate;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip загрузите по ссылке прислать запрошенный карантин.

сделайте новые логи

**Romaner811** · 17.10.2010, 18:03

Файл сохранён как 101017_174006_quarantine_4cbafcb6161e4.zip
Размер файла 46170
MD5 4dab390f71e441c556ddac7b0eb6b8ea

**olejah** · 17.10.2010, 18:06

Не хотят уходить, сделайте лог ComboFix

**Romaner811** · 17.10.2010, 18:59

вот

cfdrive32.exe и msvmoide.exe (заявка № 89677)

Опции темы

cfdrive32.exe и msvmoide.exe

Похожие темы

XXdrive32, msvmoide, цифры

cfdrive32.exe

cfdrive32

CFDRIVE32 и что-то еще...

Поборем msvmoide.exe!

Ваши права в разделе