Avast: &am p;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;a mp;q uot

заразился по собственной глупости и доверию анти-вирусу...

скачал не воспроизводимый фильм (через торрент), в "комплекте" был файл якобы установшик кодеков - я его запустил... он что-то установил (судя по меню и в правду были какие нибудь кодеки...)
антивирус начал ругаться на C:\Windows\System32\services.exe, и ещё на кучу разных файлов - что они заражены троянскими программами т.п

перед запуском обоих файлов я просканировал (фильм и кодек), avast ничего не обнаружил, да и после - тоже.
Kaspersky Removal Tool - при сканировании в безопасном режиме вообще ничего не обнаружил...

пользуюсь Windows 7 Home Edition



без зараженного services.exe виндовс не запускается, 00000004.@ и 80000000.@ создаются каждый раз по новому, оба Desktop.ini - тоже..

вот теперь не знаю что делать..

Уважаемый(ая) [B]Romaner811[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[FONT=Century Gothic][COLOR="#ff3333"][SIZE=3]> Выполните скрипт в AVZ:[/SIZE][/COLOR][/FONT]

[CODE]
BEGIN
ClearQuarantine;
QuarantineFile('C:\Windows\System32\services.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
END.
[/CODE]

> Используйте ссылку "[B]Прислать запрошенный карантин[/B]", которая находится над первым сообщением этой темы, чтобы прислать [B]quarantine.zip[/B].


[URL="http://virusinfo.info/showthread.php?t=53070"]Подготовьте отчет MBAM.[/URL]

скрипт выполнил, а файл загрузить кажется не получилось - говорит что это уже загружено.
* файл архива весит 22 байт, надеюсь это нормально...

сканирование MBAM в процессе.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

хм.. MBAM похоше ничего относяшегося к проблеме не выявил :\

P.S: у меня ещё есть Ubuntu (линукс) на этом же компюторе,
через него я могу получить доступ к системным файлам виндовс
(именно так я и узнал что он не грузится без зараженного системного файла),
пологая что карантин не удался возможно по той самой причине что файл
не поддаётся ни копированию ни удалению, могу попробовать скопировать
его через линукс.
сделать это?

Удалите [CODE]D:\_temporary\PC811B\Sabrina 8D\Install\Facemoods.exe (PUP.Adware.InstallCore) -> Действие не было предпринято.[/CODE]


[B]C:\Windows\System32\services.exe[/B] на [url]https://www.virustotal.com/ru/[/url] проверьте, ссылку на результат покажите.

Выполните скрипт [URL="http://safezone.cc/forum/showthread.php?t=9188"]отсюда[/URL]

Facemoods.exe - удалил

virustotal - проверил
[CODE]https://www.virustotal.com/ru/file/9bb8671774e6ce60cc5b9e3c166bd1ee577a3f1cbb5b4957de595a53d5b461d0/analysis/1363807633/[/CODE]

* загружать на вирус-тотал пришлось копию, которую сделал через убунту - оригинал гугль хром не видет.
если что он уменя находится: D:\services.exe.infected

скрипт запустил, а за что отвечают эти ветви (BITS, wuauserv), или сервисы?

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

** при перезагрузке обратно на виндовс комп сильно тормозил, это не впервые но началось недавно - изначально был только чёрный экран с курсором.
я попробовал нажать WIN+R по началу он не открывался, я включил дисплечер задач, и заметил что висит процесс консоли (cmd.exe, conhost.exe) хотя в разделе апликаций пусто. я мог его включиь случайно нажав ввод (энтер) т.к
последний раз я его и вызывал через WIN+R. хотя с другой стороны он выключился самостоятельно после чего и
появилось наконецто окно Run.

возможно ли что это связано с действиями вируса?

[LIST=1][*]Скачайте архив [url=http://support.kaspersky.ru/downloads/utils/tdsskiller.zip]TDSSKiller.zip[/url] и распакуйте его в отдельную папку;[*]Скопируйте следующий текст в [U]Блокнот[/U] и сохраните в папку с распакованным [B]TDSSKiller.exe[/B], как [b]fix.bat[/b]:[code]tdsskiller.exe -silent -qmbr -qboot -qsus [/code][*]Запустите файл [b][i]fix.bat[/i][/b];[*]Найдите в корне системного диска (обычно это диск [i]C:[/i]) папку [b][i]TDSSkiller_Quarantine[/i][/b];[*]Заархивруйте эту папку с паролем [B][COLOR="#FF0000"]virus[/COLOR][/B]. И и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.[*]Запустите файл [B][I]TDSSKiller.exe[/I][/B];[*]Нажмите кнопку "[b]Начать проверку[/b]";[*]В процессе проверки могут быть обнаружены объекты двух типов:[list][*]вредоносные (точно было установлено, какой вредоносной программой поражен объект);[*]подозрительные (тип вредоносного воздействия точно установить невозможно).[/list][*]По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.[*]Для вредоносных объектов утилита автоматически определяет действие: [b]Лечить[/b] или [b]Удалить[/b].[*]Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию [b]Пропустить[/b]).[*]После нажатия кнопки [b]Продолжить[/b] утилита выполняет выбранные действия и выводит результат.[*][U]Прикрепите лог утилиты[/U] к своему следующему сообщению[/list]По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: [i]ИмяУтилиты.Версия_Дата_Время_log.txt[/i]
Например, [i]C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt[/i]

+ [URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог Gmer[/URL]

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

[quote="Romaner811;984850"]если что он уменя находится: D:\services.exe.infected[/quote]
тоже

Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

сами пока ничего не удаляйте !

fix.bat - запустил

C:\TDSSKiller_Quarantine:
Файл сохранён как 130321_071432_TDSSKiller_Quarantine_514ab3587c7ec.zip
Размер файла 107420
MD5 2f3f9dcbec74ad4527d7307054f50301
* по прямой с диска С заархивировать не получилось, я скопировал на Д и архивировал от-туда, надеюсь раздницы нет.

TDSSKiller.exe - запустил

лог Gmer - сделал

D:\services.exe.infected:
Файл сохранён как 130321_084633_services.exe.infected_514ac8e9b5a08.zip
Размер файла 162642
MD5 e8b6dd85abfebc5dbd05b0d40b882872

запустите сканирование [B]TDSSKiller[/B]-ом снова, при обнаружение угрозы [COLOR="#FF0000"]Virus.Win64.ZAccess.a[/COLOR] нажмите лечить. Перезагрузитесь и ещё раз просканируйте, новый лог сканирования после перезагрузки прикрепите.

Лечение похоже удалось!
Огромное спасибо!

осталось только понять откуда появляется консоль при запуске виндовса... и почему он так медленно начал это делать...

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

я просканирую ещё раз с загрузкой..

[quote="Romaner811;985101"]консоль при запуске виндовса...[/quote]
Консоль восстановления?

[quote="Romaner811;985101"]и почему он так медленно начал это делать...[/quote]
Что медленно?

[quote="Romaner811;984396"]00000004.@ и 80000000.@ создаются каждый раз по новому, оба Desktop.ini - тоже..[/quote]
папку в которой они создавались может удалить вручную полностью, она создана руткитом.


если под консолью подразумевалась командная строка, то сделайте новой набор логов по правилам.

проверка на вирусы через avast boot-time scan, нашла только одно заражение: D:\services.exe.infected :)
теперь сидит в карантине...

медленно он запускался,
да, консоль - коммандная строка. но после лечения системного services.exe,
система гораздо быстрее загружается и коммандную строку я больше не видел.
логи на всякий случай - прикрепил..

* папок GAC_32/GAC_64 в C:\Windows\assembly нет, в Windows\Installer\{ac747...}\
есть ещё одна папка - L вней есть 00000004.@ но аваст угрозы не обнаружил. удалять папку U в которой содержались зараженные или всю {ac747...} ?

Огромное Спасибо за Помошь!

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\services.exe.infected - [B]Virus.Win64.ZAccess.a[/B] ( DrWEB: BackDoor.Maxplus.10777, BitDefender: Trojan.Patched.Sirefef.A, NOD32: Win64/Patched.A.Gen trojan, AVAST4: Win32:Sirefef-ZT [Trj] )[/LIST][/LIST]