После лечения ПК ведет странно

Printable View

14.12.2011, 13:24
crazytosser

После лечения ПК ведет странно

Производилось лечение ПК после заражения. Лечилось все KAVом. После лечения все работало нормально. Так же после лечения была установлена версия KAV 2012. Теперь по истечении некоторого времени стали происходить странные вещи. 1. После ошибки RUNDLL ошибка при загрузке basegui.ppl, перестают функционировать браузеры. Так же начинает жутко задумываться в диспетчере ничего не видно. Максимальная загрузка процессора 21%. Логи прилагаю.
14.12.2011, 13:26
Info_bot

Уважаемый(ая) [B]crazytosser[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
14.12.2011, 13:31
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\manager\Application Data\archsoft\archstart.exe','');
QuarantineFile('C:\WINDOWS\system32\0424.tmp','');
DeleteService('qeqeugfe');
QuarantineFile('C:\WINDOWS\system32\0266.tmp','');
DeleteService('ejygcqqse');
QuarantineFile('C:\WINDOWS\system32\0E8.tmp','');
DeleteService('aduqdb');
DeleteFile('C:\WINDOWS\system32\0E8.tmp');
DeleteFile('C:\WINDOWS\system32\0266.tmp');
DeleteFile('C:\WINDOWS\system32\0424.tmp');
DeleteFile('C:\Documents and Settings\manager\Application Data\archsoft\archstart.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]
14.12.2011, 14:21
crazytosser

Карантин прислал. Новые логи прикрепляю. Лог mbam и gmer. Будут чуть позже.
15.12.2011, 00:43
crazytosser

Обещанные логи Gmer и mbam. Жду ответов.
15.12.2011, 01:13
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него текст скрипта
[CODE]u1b0zowc.exe -del service xmjcz
u1b0zowc.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\xmjcz"
u1b0zowc.exe -reboot[/CODE]2. Нажмите [b]Файл[/b] - [b]Сохранить как[/b]
3. Выберите папку, в которую сохранили [b]u1b0zowc.exe[/b] (gmer)
4. Укажите [b]Тип файла[/b] - [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]cleanup.bat[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите [b]cleanup.bat[/b]

[color="red"][b]ВНИМАНИЕ:[/b][/color] Компьютер перезагрузится!!!

Сделайте новый лог gmer

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]Зараженные ключи в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} (Backdoor.Bot) -> No action taken.

Зараженные папки:
c:\documents and settings\manager\application data\archsoft (Trojan.Agent) -> No action taken.

Зараженные файлы:
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\com.run (Trojan.Agent) -> No action taken.
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\dp1.fne (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\eAPI.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\internet.fne (Trojan.Agent) -> No action taken.
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\krnln.fnr (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\RegEx.fne (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\manager\local settings\Temp\E_4\shell.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\com.run (Trojan.Agent) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\dp1.fne (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\eAPI.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\internet.fne (Trojan.Agent) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\krnln.fnr (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\RegEx.fne (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\Priemka\local settings\Temp\E_4\shell.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\com.run (Trojan.Agent) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\dp1.fne (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\eAPI.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\internet.fne (Trojan.Agent) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\krnln.fnr (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\RegEx.fne (Worm.Autorun) -> No action taken.
d:\!old_C\documents and settings\user\local settings\Temp\E_4\shell.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\WINDOWS\system32\com.run (Trojan.Agent) -> No action taken.
d:\!old_C\WINDOWS\system32\dp1.fne (Worm.Autorun) -> No action taken.
d:\!old_C\WINDOWS\system32\eAPI.fne (Worm.AutoRun) -> No action taken.
d:\!old_C\WINDOWS\system32\internet.fne (Trojan.Agent) -> No action taken.
d:\!old_C\WINDOWS\system32\krnln.fnr (Worm.Autorun) -> No action taken.
d:\!old_C\WINDOWS\system32\RegEx.fne (Worm.Autorun) -> No action taken.
d:\!old_C\WINDOWS\system32\shell.fne (Worm.AutoRun) -> No action taken.
c:\documents and settings\manager\application data\archsoft\rubashka.css (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\bander.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\dir.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\dot.gif (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\htmlayout.dll (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\logo.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\logo2.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-h-scroll-next.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-h-scroll-prev.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-scroll-back.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-scroll-base.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-scroll-slider.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-v-scroll-next.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\sb-v-scroll-prev.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\scroll.css (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\wfont.ttf (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\winzipo.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\xsendexe.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel2.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel3.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel4.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel5.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel6.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel7.png (Trojan.Agent) -> No action taken.
c:\documents and settings\manager\application data\archsoft\_todel8.png (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\ieunitdrf.inf (Malware.Trace) -> No action taken.[/code]
15.12.2011, 20:03
crazytosser

День добрый. Новый лог gmer. Жду ответа, заранее благодарен.
16.12.2011, 20:03
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]