Пожалуйста помогите! Вначале был WinAVXX...

Printable View

04.09.2007, 14:15
Blindy

Пожалуйста помогите! Вначале был WinAVXX...

Вроде его удалил из системы, и всё с ним связанное - теперь при запуске компа постоянно вылазит что файл не найден (автозапуск чистил, в msconfig"е смотрел автозапуск).

Потом - хуже. Я обнаружил что прав администратора у меня нет. (Единственный юзер компьютера - администратор). Пишет "Операция отменена вследствие действующих для компьютера ограничений. Обратитесь к администратору сети." при попытке сделать почти любое действие. Доступ к RegEdit"у есть.

Я - нуб. Прошу обьяснить на более лёгком языке. Спасибо.
04.09.2007, 14:26
Muzzle

нет ничего проще,выполните логи по правилам [url]http://virusinfo.info/showthread.php?t=1235[/url]
и мы вам поможем
04.09.2007, 15:23
Blindy

Вложений: 3

Вот логи.
04.09.2007, 15:51
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\vtr.dll','');
QuarantineFile('C:\WINDOWS\system32\printer.exe','');
QuarantineFile('C:\WINDOWS\inet20003\services.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\wschtm35.dll','');
QuarantineFile('C:\WINDOWS\system32\svchosts.exe','');
DeleteFile('C:\WINDOWS\system32\svchosts.exe');
DeleteFile('C:\WINDOWS\inet20003\services.exe');
DeleteFile('C:\WINDOWS\system32\printer.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\system32\printer.exe
O9 - Extra button: (no name) - {4B5A7560-16C6-4063-86D3-000000000003} - C:\Program Files\system101\system101.dll (file missing)
O9 - Extra 'Tools' menuitem: Блокировка всплывающих окон - {4B5A7560-16C6-4063-86D3-000000000003} - C:\Program Files\system101\system101.dll (file missing)
O22 - SharedTaskScheduler: Trustworking System Class - {24E27EA9-FCF3-444F-BD80-20543BA5D946} - C:\DOCUME~1\Admin\LOCALS~1\Temp\wschtm35.dll (file missing)
[/code]
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
04.09.2007, 16:35
Bratez

1. Уберите карантин из темы! Загружать через [URL="http://virusinfo.info/upload_virus.php?tid=12172"]эту страницу[/URL].

2. Выполните скрипт в AVZ:
[code]
begin
DeleteFile('C:\WINDOWS\system32\H@tKeysH@@k.DLL');
DeleteFile('C:\WINDOWS\pdoakac.exe');
DeleteFile('C:\WINDOWS\system32\t0.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
3. Сообщите, нужно ли вам что либо из этого:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

И еще вот это пофиксите:
[code]
O2 - BHO: IEHlprObj Class - {ABCDECF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\system32\vtr.dll (file missing)
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll (file missing)
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

И последнее: у вас в модулях расширения проводника обилие ссылок на какие-то загадочные и скорее всего отсутствующие dll. Давайте попробуем вот такой скрипт карантина:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\nzoglnt.dll','');
QuarantineFile('C:\WINDOWS\system32\mC640gjqe6oe0.dll','');
QuarantineFile('C:\WINDOWS\system32\czseqchk.dll','');
QuarantineFile('C:\WINDOWS\system32\uqimdmat.dll','');
QuarantineFile('C:\WINDOWS\system32\qugrprxy.dll','');
QuarantineFile('C:\WINDOWS\system32\mputilse.dll','');
QuarantineFile('C:\WINDOWS\system32\ilakui.dll','');
QuarantineFile('C:\WINDOWS\system32\nsrsit.dll','');
QuarantineFile('C:\WINDOWS\system32\iJlola331d.dll','');
QuarantineFile('C:\WINDOWS\system32\wwsdmoe2.dll','');
QuarantineFile('C:\WINDOWS\system32\ugtheme.dll','');
QuarantineFile('C:\WINDOWS\system32\fkamebuf.dll','');
QuarantineFile('C:\WINDOWS\system32\fk0403dqe.dll','');
QuarantineFile('C:\WINDOWS\system32\tvemeui.dll','');
QuarantineFile('C:\WINDOWS\system32\wL2topl.dll','');
QuarantineFile('C:\WINDOWS\system32\ZXPOOL.DLL','');
QuarantineFile('C:\WINDOWS\system32\szorage.dll','');
QuarantineFile('C:\WINDOWS\system32\mqrle32.dll','');
QuarantineFile('C:\WINDOWS\system32\jd0807due.dll','');
QuarantineFile('C:\WINDOWS\system32\3zvxVfWCodec.dll','');
QuarantineFile('C:\WINDOWS\system32\mwidntld.dll','');
QuarantineFile('C:\WINDOWS\system32\mbcpxl32.dLL','');
QuarantineFile('C:\WINDOWS\system32\lecalspl.dll','');
QuarantineFile('C:\WINDOWS\system32\mvvcp60.dll','');
QuarantineFile('C:\WINDOWS\system32\vmpodbc.dll','');
QuarantineFile('C:\WINDOWS\system32\axtapi.dll','');
QuarantineFile('C:\WINDOWS\system32\TknLib20.dll','');
QuarantineFile('C:\WINDOWS\system32\wjaueng1.dll','');
QuarantineFile('C:\WINDOWS\system32\wbavideo.dll','');
QuarantineFile('C:\WINDOWS\system32\mhiwave.dll','');
QuarantineFile('C:\WINDOWS\system32\iJsnap.dll','');
QuarantineFile('C:\WINDOWS\system32\mzrapi.dll','');
QuarantineFile('C:\WINDOWS\system32\bUtmeter.dll','');
QuarantineFile('C:\WINDOWS\system32\dzvoice.dll','');
QuarantineFile('C:\WINDOWS\system32\drcpsapi.dll','');
QuarantineFile('C:\WINDOWS\system32\pmrfctrs.dll','');
QuarantineFile('C:\WINDOWS\system32\guard.tmp','');
QuarantineFile('C:\WINDOWS\system32\kzdhept.dll','');
QuarantineFile('C:\WINDOWS\system32\skimgvw.dll','');
QuarantineFile('C:\WINDOWS\system32\iQssam.dll','');
QuarantineFile('C:\WINDOWS\system32\dlrgui.dll','');
QuarantineFile('C:\WINDOWS\system32\muxml3a.dll','');
QuarantineFile('C:\WINDOWS\system32\igpeers.dll','');
QuarantineFile('C:\WINDOWS\system32\cdvfat.dll','');
QuarantineFile('C:\WINDOWS\system32\kfdhe319.dll','');
QuarantineFile('C:\WINDOWS\system32\wldmlog.dll','');
QuarantineFile('C:\WINDOWS\system32\wicsapi.dll','');
QuarantineFile('C:\WINDOWS\system32\cb3260mt.dll','');
QuarantineFile('C:\WINDOWS\system32\mutscax.dll','');
QuarantineFile('C:\WINDOWS\system32\sgclient.dll','');
QuarantineFile('C:\WINDOWS\system32\wJ2topl.dll','');
QuarantineFile('C:\WINDOWS\system32\dccpsapi.dll','');
QuarantineFile('C:\WINDOWS\system32\ktdgr1.dll','');
QuarantineFile('C:\WINDOWS\system32\njwimg.dll','');
QuarantineFile('C:\WINDOWS\system32\ofbctrac.dll','');
QuarantineFile('C:\WINDOWS\system32\kzdgae.dll','');
QuarantineFile('C:\WINDOWS\system32\urrvpa.dll','');
RebootWindows(true);
end.[/code]
Если что-то попадется - пришлите [B]по правилам[/B].
04.09.2007, 16:37
Blindy

Я выложил файл карантина.

По поводу нужности - нужен только автозапуск.
04.09.2007, 16:40
Bratez

ОК. Я кое-что добавил - см. выше. Ждем результатов длинного скрипта.
04.09.2007, 16:47
Blindy

Длинный скрипт выполнился "файл перехватчик" - последнее что я увидел и сразу ребут =)

Там все были по ходу дела такими.

Прошу прощения - но я не могу понять что делать дальше. В правилах читал.

PS Основная проблема ограничения доступа осталась.
PPS В карантине пусто.
04.09.2007, 16:54
Bratez

Выполните следующий скрипт:
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
DeleteFile('C:\WINDOWS\system32\urrvpa.dll');
DeleteFile('C:\WINDOWS\system32\kzdgae.dll');
DeleteFile('C:\WINDOWS\system32\ofbctrac.dll');
DeleteFile('C:\WINDOWS\system32\njwimg.dll');
DeleteFile('C:\WINDOWS\system32\ktdgr1.dll');
DeleteFile('C:\WINDOWS\system32\dccpsapi.dll');
DeleteFile('C:\WINDOWS\system32\wJ2topl.dll');
DeleteFile('C:\WINDOWS\system32\sgclient.dll');
DeleteFile('C:\WINDOWS\system32\mutscax.dll');
DeleteFile('C:\WINDOWS\system32\cb3260mt.dll');
DeleteFile('C:\WINDOWS\system32\wicsapi.dll');
DeleteFile('C:\WINDOWS\system32\wldmlog.dll');
DeleteFile('C:\WINDOWS\system32\kfdhe319.dll');
DeleteFile('C:\WINDOWS\system32\cdvfat.dll');
DeleteFile('C:\WINDOWS\system32\igpeers.dll');
DeleteFile('C:\WINDOWS\system32\muxml3a.dll');
DeleteFile('C:\WINDOWS\system32\dlrgui.dll');
DeleteFile('C:\WINDOWS\system32\iQssam.dll');
DeleteFile('C:\WINDOWS\system32\skimgvw.dll');
DeleteFile('C:\WINDOWS\system32\kzdhept.dll');
DeleteFile('C:\WINDOWS\system32\guard.tmp');
DeleteFile('C:\WINDOWS\system32\pmrfctrs.dll');
DeleteFile('C:\WINDOWS\system32\drcpsapi.dll');
DeleteFile('C:\WINDOWS\system32\dzvoice.dll');
DeleteFile('C:\WINDOWS\system32\bUtmeter.dll');
DeleteFile('C:\WINDOWS\system32\mzrapi.dll');
DeleteFile('C:\WINDOWS\system32\iJsnap.dll');
DeleteFile('C:\WINDOWS\system32\mhiwave.dll');
DeleteFile('C:\WINDOWS\system32\wbavideo.dll');
DeleteFile('C:\WINDOWS\system32\wjaueng1.dll');
DeleteFile('C:\WINDOWS\system32\TknLib20.dll');
DeleteFile('C:\WINDOWS\system32\axtapi.dll');
DeleteFile('C:\WINDOWS\system32\vmpodbc.dll');
DeleteFile('C:\WINDOWS\system32\mvvcp60.dll');
DeleteFile('C:\WINDOWS\system32\lecalspl.dll');
DeleteFile('C:\WINDOWS\system32\mbcpxl32.dLL');
DeleteFile('C:\WINDOWS\system32\mwidntld.dll');
DeleteFile('C:\WINDOWS\system32\3zvxVfWCodec.dll');
DeleteFile('C:\WINDOWS\system32\jd0807due.dll');
DeleteFile('C:\WINDOWS\system32\mqrle32.dll');
DeleteFile('C:\WINDOWS\system32\szorage.dll');
DeleteFile('C:\WINDOWS\system32\ZXPOOL.DLL');
DeleteFile('C:\WINDOWS\system32\wL2topl.dll');
DeleteFile('C:\WINDOWS\system32\tvemeui.dll');
DeleteFile('C:\WINDOWS\system32\fk0403dqe.dll');
DeleteFile('C:\WINDOWS\system32\fkamebuf.dll');
DeleteFile('C:\WINDOWS\system32\ugtheme.dll');
DeleteFile('C:\WINDOWS\system32\wwsdmoe2.dll');
DeleteFile('C:\WINDOWS\system32\iJlola331d.dll');
DeleteFile('C:\WINDOWS\system32\nsrsit.dll');
DeleteFile('C:\WINDOWS\system32\ilakui.dll');
DeleteFile('C:\WINDOWS\system32\mputilse.dll');
DeleteFile('C:\WINDOWS\system32\qugrprxy.dll');
DeleteFile('C:\WINDOWS\system32\uqimdmat.dll');
DeleteFile('C:\WINDOWS\system32\czseqchk.dll');
DeleteFile('C:\WINDOWS\system32\mC640gjqe6oe0.dll');
DeleteFile('C:\WINDOWS\system32\nzoglnt.dll');
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/code]
После перезагрузки сделайте все три лога, как в начале темы.
04.09.2007, 17:07
Blindy

Вложений: 2

О! Восстановились мои права администратора!
"Респект и уважуха вам!" © Comedy Club

Вот логи
PS Третий лог не обновился. Остался таким же как и был.
04.09.2007, 17:22
Bratez

Ссылки в расширениях проводника так и остались. Впрочем раз уж этих файлов нет, они ни на что не влияют. Вот еще скриптик для подчистки мусора:
[code]
begin
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
BC_DeleteSvc('COM+ Messages');
BC_DeleteSvc('PowerManager');
BC_Activate;
RebootWindows(true);
end.[/code]
И на этом, полагаю, дело можно закрывать.
04.09.2007, 17:44
Blindy

Спасибо огромное вам... Я уже форматить хотел =)

Респект всему сайту =) Теперь буду обращаться за помощью только к вам =)
PS Тему можно закрыть я думаю...
04.09.2007, 18:43
Muzzle

Рекомендую работать под пользователем с ограниченными правами.
По возможности не использовать Internet Explorer,а пользоваться другими браузерам,например Opera,Firefox (с отключенными java скриптами,разрешая их выполнения только доверенным сайтам)
Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL])"Безопасный Интернет. Универсальная защита для Windows ME - Vista".
Вы можете нас отблагодарить,[URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов.[/URL] Мы будем Вам очень благодарны!

Удачи!
22.02.2009, 02:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\pdoakac.exe - [B]Trojan-Downloader.Win32.Agent.crz[/B] (DrWEB: BackDoor.Bulknet.61)[*] c:\\windows\\system32\\t0.dll - [B]Trojan.Win32.Agent.aph[/B] (DrWEB: Trojan.Sespy)[/LIST][/LIST]