Помогите удалить вирус!!!!

Printable View

Показывать 40 сообщений этой темы на одной странице

10.11.2007, 03:18
Koss

Вложений: 3

Помогите удалить вирус!!!!

У меня на компьютере появился вирус stardrv.exe Использую Avast Antivirus,Ad-Awar - удалять не хотят. Постоянно появляются трояны,удаляю они опять появляются , stardrv.exe вообще не хочет удаляться То он есть ,то его нет.Компьютер очень сильно тормозит и даже зависает.Запустился Active Desktop и не понятно как его отключить До этого постоянно выдавал ошибку explorer.exe,сечас перестал,"центр безопасности" говорит ,что компьютер не защищён (файерволл отключен). Прошу помочь и посоветовать что делать.
10.11.2007, 03:26
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\Mstray.exe','');
QuarantineFile('\SystemRoot\System32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\vdmmslel.exe','');
QuarantineFile('C:\WINDOWS\LINKINFO.dll','');
DeleteFile('C:\WINDOWS\Mstray.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится. Должно заметно полегчать.

Поищите через AVZ: Сервис - Поиск файлов... такой файл: [b]advfzgmi.exe[/b]. Если найдется - добавьте в карантин. Затем пришлите весь карантин согласно приложению 3 правил.
10.11.2007, 03:38
Koss

Огромное спасибо за оперативность! Я ушёл спать. Завтра обязательно выполню скрипт, и посмотрим, что будет дальше.

Не подскажете ещё, как отключить Active Desktop? Поисковики предлагают сделать это на закладке Web: Properties - Desktop - Customize Desktop... но проблема в том, что у меня закладки Web в указанном месте вообще нет (
10.11.2007, 05:04
Bratez

После отправки карантина
1. Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
O20 - Winlogon Notify: kerberos4 - C:\WINDOWS\
[/code]
2. Выполните скрипт в AVZ:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\a3dr.exe','');
QuarantineFile('C:\WINDOWS\system32\acctresb.exe','');
QuarantineFile('C:\WINDOWS\system32\3076r.exe','');
QuarantineFile('C:\WINDOWS\system32\adptifl.exe','');
QuarantineFile('C:\WINDOWS\system32\3com_dmir.exe','');
QuarantineFile('C:\WINDOWS\system32\1025t.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinlz.exe','');
QuarantineFile('C:\WINDOWS\system32\adsmsextj.exe','');
QuarantineFile('C:\WINDOWS\system32\acluip.exe','');
QuarantineFile('C:\WINDOWS\system32\a3dapiz.exe','');
QuarantineFile('C:\WINDOWS\system32\12520437j.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsx.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinl.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsv.exe','');
QuarantineFile('C:\WINDOWS\system32\2052z.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsp.exe','');
DeleteFile('C:\WINDOWS\system32\a3dr.exe');
DeleteFile('C:\WINDOWS\system32\acctresb.exe');
DeleteFile('C:\WINDOWS\system32\3076r.exe');
DeleteFile('C:\WINDOWS\system32\adptifl.exe');
DeleteFile('C:\WINDOWS\system32\3com_dmir.exe');
DeleteFile('C:\WINDOWS\system32\1025t.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinlz.exe');
DeleteFile('C:\WINDOWS\system32\adsmsextj.exe');
DeleteFile('C:\WINDOWS\system32\acluip.exe');
DeleteFile('C:\WINDOWS\system32\a3dapiz.exe');
DeleteFile('C:\WINDOWS\system32\12520437j.exe');
DeleteFile('C:\WINDOWS\system32\activedsx.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinl.exe');
DeleteFile('C:\WINDOWS\system32\activedsv.exe');
DeleteFile('C:\WINDOWS\system32\2052z.exe');
DeleteFile('C:\WINDOWS\system32\activedsp.exe');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

3. Пришлите новый карантин согласно приложению 3 правил.

4. Сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 22 минуты[/I][/B][/color][/size]

[quote]Не подскажете ещё, как отключить Active Desktop?[/quote]
Разберемся и с этим, только сначала заразу надо вылечить.
10.11.2007, 20:43
Koss

Вложений: 3

Спасибо большое))Я всё сделал как вы сказали, но какие-то ошибки всё рано остались))) Новые логи я приложил)) Проверьте пожалуйсто
10.11.2007, 20:57
rubin

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\vdmmslel.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\adptifl.exe','');
QuarantineFile('C:\WINDOWS\system32\acctresb.exe','');
QuarantineFile('C:\WINDOWS\system32\1025t.exe','');
QuarantineFile('C:\WINDOWS\system32\3076r.exe','');
QuarantineFile('C:\WINDOWS\system32\3com_dmir.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinlz.exe','');
QuarantineFile('C:\WINDOWS\system32\adsmsextj.exe','');
QuarantineFile('C:\WINDOWS\system32\acluip.exe','');
QuarantineFile('C:\WINDOWS\system32\a3dapiz.exe','');
QuarantineFile('C:\WINDOWS\system32\12520437j.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsx.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinl.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsv.exe','');
QuarantineFile('C:\WINDOWS\system32\2052z.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsp.exe','');
QuarantineFile('C:\WINDOWS\LINKINFO.dll','');
DeleteFile('C:\WINDOWS\system32\vdmmslel.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\3076r.exe');
DeleteFile('C:\WINDOWS\system32\acctresb.exe');
DeleteFile('C:\WINDOWS\system32\adptifl.exe');
DeleteFile('C:\WINDOWS\system32\3com_dmir.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinlz.exe');
DeleteFile('C:\WINDOWS\system32\adsmsextj.exe');
DeleteFile('C:\WINDOWS\system32\acluip.exe');
DeleteFile('C:\WINDOWS\system32\a3dapiz.exe');
DeleteFile('C:\WINDOWS\system32\12520437j.exe');
DeleteFile('C:\WINDOWS\system32\activedsx.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinl.exe');
DeleteFile('C:\WINDOWS\system32\activedsv.exe');
DeleteFile('C:\WINDOWS\system32\2052z.exe');
DeleteFile('C:\WINDOWS\system32\activedsp.exe');
DeleteFile('C:\WINDOWS\LINKINFO.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Затем опять повторите логи...
11.11.2007, 00:42
Koss

Вложений: 3

Спасибо))) Сделал!!! Пока всё равно находит ошибки и подозрительные файлы
11.11.2007, 01:09
V_Bond

пофиксите ...
[code]
O4 - HKLM\..\Run: [xswdmse] advfzgmi.exe
O4 - HKLM\..\Run: [xswdmse] advfzgmi.exe
[/code]
выполните скрипт ...
[code]
begin
BC_DeleteSvc('DnscacheSchedule');
BC_DeleteSvc('gusvcRpcSs');
BC_DeleteSvc('HidServupnphost');
BC_DeleteSvc('HTTPFilterxmlprov');
BC_DeleteSvc('HTTPFilterxmlprovPolicyAgent');
BC_DeleteSvc('MSDTCHTTPFilterxmlprov');
BC_DeleteSvc('RasManRemoteAccess');
BC_DeleteSvc('srserviceEventlog');
BC_DeleteSvc('TapiSrvProtectedStorage');
BC_DeleteSvc('TapiSrvProtectedStoragedmserver');
BC_DeleteSvc('TrkWksProtectedStorage');
BC_DeleteSvc('VSSFastUserSwitchingCompatibility');
BC_DeleteSvc('VSSFastUserSwitchingCompatibilityRasAuto');
BC_DeleteSvc('WmdmPmSNRSVP');
BC_DeleteSvc('wuauservIDriverT');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог HijackThis
11.11.2007, 01:56
Koss

Вложений: 1

Cделал)Во время выполнения скрипта ,сразу появилось окно "Скрипт выполнин без ошибок" и компьютер тут же перезагрузился. Лог от "hijackthis " приложил.
11.11.2007, 02:00
V_Bond

выполните скрипт ...
[code]
begin
BC_DeleteSvc('NtLmSspVSSFastUserSwitchingCompatibilityRasAuto');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог HijackThis
11.11.2007, 02:50
Bratez

Было:
[b]Trojan-Spy.Win32.KeyLogger.rp
Trojan-Proxy.Win32.Slaper.aq[/b]
и в большом количестве [b]Backdoor.Win32.IRCBot.apc[/b]
11.11.2007, 02:59
Koss

Вложений: 1

Скрипт выполнил))) лог "hijackthis" вложил. Посмотрите пожалуйсто))
11.11.2007, 03:35
Koss

Спасибо всем огромное!!!!!!!Уже стало на много лучше)))))))))))

Не подскажете ещё, как отключить [COLOR=red]Active Desktop[/COLOR]? Поисковики предлагают сделать это на закладке Web: Properties - Desktop - Customize Desktop... но проблема в том, что у меня закладки Web в указанном месте вообще нет (
11.11.2007, 11:46
V_Bond

[URL="http://www.oszone.ru/display.php?id=1976"]Запрет на Active Desktop[/URL]
11.11.2007, 12:16
Alex_Goodwin

+ Поменяйте пароли.
11.11.2007, 13:45
rubin

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из этого Вам не нужно?
11.11.2007, 22:56
Koss

Спасибо!!!! Active Desktop исчез))) Но:[COLOR=red]1.[/COLOR] У меня остался чёрный экран с красной надписью, в правом нижнем углу ,что мой компьютер в [COLOR=red]опасности[/COLOR][COLOR=black]!!!! Посоветуйте пожалуйсто ,что с этим делать.[COLOR=red]2.[/COLOR]Не могли бы вы утоточнить какие пароли мне нужно[/COLOR][COLOR=black] изменить[/COLOR][COLOR=red] 3[/COLOR][COLOR=black].Так же, какие службы из перечисленных мне стоит оставить,просто я обычный User и практически в этом не разбираюсь,возможно кроме самых необходимых, мне остальные и не нужны,посоветуйте ,какие оставить))))[/COLOR]
11.11.2007, 22:59
rubin

1. Повторите логи, возможно, что-то осталось.
2. Желательно все, был кейлоггер, записывает с клавиатуры все подряд...
3. Локальная сеть есть?
11.11.2007, 23:30
Koss

У меня стоит Акадо.
11.11.2007, 23:35
rubin

Сами мы не местные, что такое Акадо сразу и не скажем :) (гугль помог)
Тогда можно отключить все:
[code]
begin
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
ExecuteSysClean;
end.
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

Кстати, чтобы понять что за окно у Вас появляется, все еще жду логов

Показывать 40 сообщений этой темы на одной странице