Подозрение на вирус

Printable View

26.11.2011, 00:53
david.www

Подозрение на вирус

Компьютер стал плохо открывать exe файлы, торрент вообще через минут 15 только начинает запускаться, работа вэб мани не идет.
При выключении компьютера он не может завершить процесс, как только его завершаю все становится нормально.
И не могу прикрепить лог
26.11.2011, 00:54
Info_bot

Уважаемый(ая) [B]david.www[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.11.2011, 01:48
миднайт

slil.ru - сюда залейте логи. Каждый по отдельности.
26.11.2011, 13:15
david.www

Вот

[url]http://zalil.ru/32136745[/url] - сусчек
[url]http://zalil.ru/32136755[/url] - сускуре
[url]http://zalil.ru/32136768[/url] - хайджек
29.11.2011, 16:12
миднайт

AVZ 4.35/ Сделали лог старой версией AVZ со старыми базами.
30.11.2011, 23:12
david.www

Вот обновил
[url]http://zalil.ru/32170320[/url] сускуре
[url]http://zalil.ru/32170328[/url] чек
[url]http://zalil.ru/32170334[/url] джек
01.12.2011, 00:57
миднайт

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('xjbjhrvm');
DeleteService('y5eei2eic94oz2');
QuarantineFile('C:\WINDOWS\system32\drivers\xjbjhrvm.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\xjbjhrvm.sys');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\doottawoput.exe','');
DeleteFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\doottawoput.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
01.12.2011, 02:23
david.www

Карантин прислал.

логи
джек [url]http://zalil.ru/32171472[/url]
чек [url]http://zalil.ru/32171474[/url]
куре [url]http://zalil.ru/32171516[/url]
02.12.2011, 16:38
миднайт

Со старыми базами ничего плохого не видно. Базы обновите и переделайте virusinfo_syscure.zip
03.12.2011, 12:56
david.www

скачал базы с сайта

лог
[url]http://zalil.ru/32186571[/url]
05.12.2011, 17:35
миднайт

Чисто. Что с проблемами?
06.12.2011, 02:04
david.www

торрент запускаю а он только через минут 15 начинает работать, вэбмани вообще пароль неправильный пишет, программы некоторые не запускает.
когда выключаю комп пишет что какая то программа не может быть завершена и когда ее завершаю все начинает работать, я думал что это вирус какой то.
06.12.2011, 09:56
Techno

[quote="david.www;847572"]торрент запускаю а он только через минут 15 начинает работать[/quote]
Программа запускается через 15 минут или скачка начинается через 15 мин?

[quote="david.www;847572"]вэбмани вообще пароль неправильный пишет,[/quote]
Попробуйте восстановить пароль.

[quote="david.www;847572"]когда выключаю комп пишет что какая то программа не может быть завершена[/quote]
Имя у этой программы есть?:)
06.12.2011, 19:36
david.www

сама программа только через минут 15 открывается.

войти в вэб мани могу только через сторэйдж в безопасном режиме, а так не могу, вэб мани зависает на загрузке.

там написано {B0EE3D69-821D-4d1b-B339...}
06.12.2011, 20:01
Techno

[URL="http://virusinfo.info/showthread.php?t=53070"][B]Сделайте лог полного сканирования MBAM[/B][/URL].
07.12.2011, 20:35
david.www

вот

[url]http://zalil.ru/32221067[/url]
08.12.2011, 00:50
миднайт

В AVZ выполните скрипт:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\WINDOWS\inf\mdmcpq3.PNF', 'MBAM: Rootkit.TmpHider');
QuarantineFile('c:\WINDOWS\inf\mdmeric3.PNF', 'MBAM: Rootkit.TmpHider');
QuarantineFile('c:\WINDOWS\system32\lowsec\local.ds', 'MBAM: Stolen.data');
QuarantineFile('c:\WINDOWS\system32\lowsec\user.ds', 'MBAM: Stolen.data');
QuarantineFile('c:\WINDOWS\system32\lowsec\user.ds.lll', 'MBAM: Stolen.data');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.

Удалите в mbam

[CODE]
Зараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127AD2-394B-70F5-C650-B97867BAA1F7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127AD2-394B-70F5-C650-B97867BAA1F7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{3446AF26-B8D7-199B-4CFC-6FD764CA5C9F} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{3446AF26-B8D7-199B-4CFC-6FD764CA5C9F} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{4776C4DC-E894-7C06-2148-5D73CEF5F905} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{4776C4DC-E894-7C06-2148-5D73CEF5F905} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494E6CEC-7483-A4EE-0938-895519A84BC7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494E6CEC-7483-A4EE-0938-895519A84BC7} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\MADOWN (Worm.Magania) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXCLS (Rootkit.TmpHider) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MRXNET (Rootkit.TmpHider) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_DISABLE_NAVIGATION_SOUNDS\services.exe (Malware.Trace) -> Value: services.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> Value: UID -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\Startup (Hijack.Startup) -> Bad: (%temp%\Startup) Good: (%USERPROFILE%\Start Menu\Programs\Startup) -> No action taken.
Зараженные папки:
c:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Зараженные файлы:
c:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
c:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
c:\WINDOWS\system32\lowsec\user.ds.lll (Stolen.data) -> No action taken.
[/CODE]

Повторите лог mbam
08.12.2011, 21:00
david.www

карантин прислал

после выполнения скрипта торрент стал запускаться нормально, и вэб мани перестал тупить.

вот лог [url]http://zalil.ru/32229650[/url]

хотел спросить еще. постоянно когда включается компьютер все время табличка появляется удаленное подключение- выберите службу к которой требует подключится. закрываю, а она опять появляется, так раз 5, только после пяти закрытий она уберается. что это такое?
09.12.2011, 21:00
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]