net-worm.win32.kido.ih

[Gennadiy]

Добрый день.

Помогите пожалуйста избавиться от этой гадости:

net-worm.win32.kido.ih (ir)

с трудом установил Cristal но он не помогает начинает сканировать и виснет, также как и КК.ехе
PS. заплатки по ХР уже поставил.

[polword]

- Сделайте лог Gmer
- Сделайте логи по правилам п.1-3 раздела Диагностика.(virusinfo_syscure.zip;virusinfo_syscheck.zip; hijackthis.log)

[Gennadiy]

логи

[Nikkollo]

Логи AVZ по правилам можете сделать?

[Bratez]

Пофиксите в HijackThis:

R3 - URLSearchHook: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\E113~1\LOCALS~1\Temp\962.exe
O3 - Toolbar: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O4 - HKLM\..\Run: [ЪЪП‡.µ«cє‘?vmгRIч.%......
O4 - HKLM\..\Run: [2vpEгћГ’˜¶А–™ЅзФMУ3·—.....
O4 - HKLM\..\Run: [»"й‚9ЏH)(ђь#{#СeUЋl\˜Аэ97.....
O4 - HKLM\..\Run: [ЪЪЊЙT7юf)•Ъ.....
O4 - HKCU\..\Run: [ЪЪП‡.µ«cє‘?vmгRIч.%[У....
O4 - HKCU\..\Run: [2vpEгћГ’˜¶А–™ЅзФMУ3·—.....
O4 - HKCU\..\Run: [»"й‚9ЏH)(ђь#{#СeUЋl\˜Аэ97.....
O4 - HKCU\..\Run: [ЪЪЊЙT7юf)•Ъ	гRIч.%[У.....

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\E113~1\LOCALS~1\Temp\962.exe','');
DeleteFile('C:\DOCUME~1\E113~1\LOCALS~1\Temp\962.exe');
DeleteFileMask('C:\DOCUME~1\E113~1\LOCALS~1\Temp', '*.*'true);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: http://virusinfo.info/upload_virus.php?tid=95103).
Сделайте новые логи (все 3 в соответствии с разделом Диагностика правил).

[Gennadiy]

проверил CureIt нашел 5 Trojan.DownLoad2.18953 и 5 Win32.HLLW.Gavir.ini
профиксил HijackThis (лог прилагается)
avz при сканировании завис
Касперский зависает при проверке.

[Bratez]

avz при сканировании завис

Сделайте лог по п.2 раздела Диагностика.

[Gennadiy]

avz зависает на пункте "Выполняется исследование системы"

[Gennadiy]

логи avz

[Bratez]

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\DOCUME~1\E113~1\LOCALS~1\Temp\Eg6.exe','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Fdp25.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\Dop82.sys','');
 QuarantineFile('C:\WINDOWS\system32\Drivers\btukuoqz.sys','');
 QuarantineFile('C:\WINDOWS\system32\0C.tmp','');
 QuarantineFile('C:\Documents and Settings\Алексей Владимирович\Application Data\Microsoft\joujygygy.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\ndisvvan.sys','');
DeleteFile('C:\WINDOWS\Tasks\{22116563-108C-42c0-A7CE-60161B75E508}.job');
 DeleteFile('C:\Documents and Settings\Алексей Владимирович\Application Data\Microsoft\joujygygy.exe');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\ndisvvan.sys');
 DeleteFile('C:\WINDOWS\system32\0C.tmp');
 DeleteFile('C:\WINDOWS\system32\Drivers\btukuoqz.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Dop82.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\Fdp25.sys');
 DeleteFile('C:\PROGRA~1\Grisoft\AVG7\avglog.dll');
 DeleteFile('C:\WINDOWS\System32\drivers\dwprot.sys');
 DeleteFile('C:\DOCUME~1\E113~1\LOCALS~1\Temp\Eg6.exe');
 BC_DeleteSvc('Passthru');
 BC_DeleteSvc('aabmjz');
 BC_DeleteSvc('ahwqqa');
 BC_DeleteSvc('amittdmwe');
 BC_DeleteSvc('aowcbwmu');
 BC_DeleteSvc('ascgdy');
 BC_DeleteSvc('bnzfl');
 BC_DeleteSvc('bszbuu');
 BC_DeleteSvc('btukuoqz');
 BC_DeleteSvc('cbvctq');
 BC_DeleteSvc('chzilsht');
 BC_DeleteSvc('coueycz');
 BC_DeleteSvc('cpevg');
 BC_DeleteSvc('cqrtsip');
 BC_DeleteSvc('cqxlzcyb');
 BC_DeleteSvc('cykseh');
 BC_DeleteSvc('dhyqqzjk');
 BC_DeleteSvc('Dop82');
 BC_DeleteSvc('dorrfp');
 BC_DeleteSvc('dsoqn');
 BC_DeleteSvc('dvziseyf');
 BC_DeleteSvc('eaavthyjn');
 BC_DeleteSvc('eeyeq');
 BC_DeleteSvc('egnjozmdx');
 BC_DeleteSvc('elmvjrmo');
 BC_DeleteSvc('Fdp25');
 BC_DeleteSvc('ffhzho');
 BC_DeleteSvc('fjzus');
 BC_DeleteSvc('fqematm');
 BC_DeleteSvc('fyciebro');
 BC_DeleteSvc('gghlnvloz');
 BC_DeleteSvc('gpnwtg');
 BC_DeleteSvc('graiqmb');
 BC_DeleteSvc('gtxfjwpc');
 BC_DeleteSvc('gtxqzor');
 BC_DeleteSvc('gvvljq');
 BC_DeleteSvc('gwntfrp');
 BC_DeleteSvc('gzjny');
 BC_DeleteSvc('hsbygrq');
 BC_DeleteSvc('iavkkf');
 BC_DeleteSvc('ifpfo');
 BC_DeleteSvc('ifuwxdrt');
 BC_DeleteSvc('imyjy');
 BC_DeleteSvc('Iqm64');
 BC_DeleteSvc('iransv');
 BC_DeleteSvc('Irp71');
 BC_DeleteSvc('itmtg');
 BC_DeleteSvc('ixmzxf');
 BC_DeleteSvc('jtciplb');
 BC_DeleteSvc('Jvg47');
 BC_DeleteSvc('kbmhne');
 BC_DeleteSvc('kocahekw');
 BC_DeleteSvc('licxwy');
 BC_DeleteSvc('ljuuzlcq');
 BC_DeleteSvc('lpgqcs');
 BC_DeleteSvc('Lsa47');
 BC_DeleteSvc('ltwwtz');
 BC_DeleteSvc('masxwpihp');
 BC_DeleteSvc('melfzrrps');
 BC_DeleteSvc('mgqaz');
 BC_DeleteSvc('mkisxbop');
 BC_DeleteSvc('mmleaa');
 BC_DeleteSvc('mofwoae');
 BC_DeleteSvc('mrpao');
 BC_DeleteSvc('mummtf');
 BC_DeleteSvc('mwoutaaue');
 BC_DeleteSvc('nduxwz');
 BC_DeleteSvc('nnzmrymvw');
 BC_DeleteSvc('Nov60');
 BC_DeleteSvc('nowzcshg');
 BC_DeleteSvc('ntacrafc');
 BC_DeleteSvc('oljlm');
 BC_DeleteSvc('olqxxxsf');
 BC_DeleteSvc('Omp87');
 BC_DeleteSvc('oqrnjph');
 BC_DeleteSvc('pcpguf');
 BC_DeleteSvc('pfgmwkb');
 BC_DeleteSvc('plixfmq');
 BC_DeleteSvc('pmkfwwwx');
 BC_DeleteSvc('pnbevwgqg');
 BC_DeleteSvc('Ppg36');
 BC_DeleteSvc('Pxd50');
 BC_DeleteSvc('pzmwtnic');
 BC_DeleteSvc('qonnugcez');
 BC_DeleteSvc('qpwgxdfz');
 BC_DeleteSvc('ravpbaet');
 BC_DeleteSvc('rcffuwv');
 BC_DeleteSvc('Rdl64');
 BC_DeleteSvc('rohezqs');
 BC_DeleteSvc('ssaoblapd');
 BC_DeleteSvc('tgrxtqe');
 BC_DeleteSvc('tknagechk');
 BC_DeleteSvc('ughvkkc');
 BC_DeleteSvc('ulcsqtj');
 BC_DeleteSvc('utull');
 BC_DeleteSvc('Uxn71');
 BC_DeleteSvc('vdwhxbxp');
 BC_DeleteSvc('veyfxklg');
 BC_DeleteSvc('vgzqdb');
 BC_DeleteSvc('vhvoo');
 BC_DeleteSvc('vjrwt');
 BC_DeleteSvc('vvfuvqf');
 BC_DeleteSvc('wdbdxhdo');
 BC_DeleteSvc('whvbziq');
 BC_DeleteSvc('wojaaaygj');
 BC_DeleteSvc('xadbtw');
 BC_DeleteSvc('xooimxjr');
 BC_DeleteSvc('xvyqr');
 BC_DeleteSvc('yictpif');
 BC_DeleteSvc('yohctivpj');
 BC_DeleteSvc('ypiqoyxju');
 BC_DeleteSvc('ywhikau');
 BC_DeleteSvc('zchhqaz');
 BC_DeleteSvc('zhoawq');
 BC_DeleteSvc('zkkxn');
 BC_DeleteSvc('zphxndyjf');
 BC_DeleteSvc('zrnpafmme');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (по возможности - все три по правилам).

[Gennadiy]

avz зависает при выполнении скрипта, блокируется вся машина.

Добавлено через 11 минут

карантин с использованием прямого чтения - ошибка

[polword]

логи повторите

[Gennadiy]

выполнил скрипт в безопасном режиме, после перезагрузки у меня слетела сеть и интернет, и дрова на тв тюнер. Можно -ли вернуть действия скрипта, чтоб все восстановить?
Карантин сейчас прикреплю

Добавлено через 1 минуту

выполнил скрипт в безопасном режиме, после перезагрузки у меня слетела сеть и интернет, и дрова на тв тюнер. Можно -ли вернуть действия скрипта, чтоб все восстановить?
Карантин сейчас прикреплю.

[Gennadiy]

повторный лог avz

[polword]

virusinfo_syscheck.zip - cтарый прикрепили
Quarantine.zip - удалите из темы

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

[Gennadiy]

файл карантина я загрузил вместе с сообщением о нем (в сообщение и вверху темы)

Добавлено через 1 минуту

virusinfo_syscheck.zip обновленный смогу только завтра (приходится работать за другим компом)

[Bratez]

Можно -ли вернуть действия скрипта, чтоб все восстановить?

Чтобы восстановить троянов?
Нет, надо теперь устранить последствия их злодейства.

Кроме virusinfo_syscheck.zip, сделайте еще такой лог в AVZ:

Сервис - Диспетчер служб и драйверов,
выбрать Тип: Драйверы, Статус: Все,
Сохранить протокол.

Полученный файл упакуйте в zip-архив и прикрепите сюда.

[Gennadiy]

новый лог avz

[Gennadiy]

лог дрйверов

[Bratez]

Хм... насколько я вижу, все необходимые драйверы в наличии и работают.
Как выглядит проблема с сетью, можно подробнее?