помогите [not-a-virus:PSWTool.Win32.RAS.a ]

Printable View

20.07.2013, 13:41
herard

Вложений: 2

помогите [not-a-virus:PSWTool.Win32.RAS.a ]

Autorun.inf
[ATTACH]427418[/ATTACH][ATTACH]427417[/ATTACH]
20.07.2013, 13:42
Info_bot

Уважаемый(ая) [B]herard[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
20.07.2013, 17:08
mike 1

Здравствуйте! Опишите проблему более детально.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

1) [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('C:\Documents and Settings\Admin\Рабочий стол\ХР\01-Keyfinder.exe','');
QuarantineFile('C:\WINDOWS\system32\FlashPlayerUpdateService.exe','');
QuarantineFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hosthn.exe','');
QuarantineFile('C:\Program Files\AutorunRemover\wipob.bin','');
QuarantineFile('c:\program files\autorunremover\autorunremover.exe','');
DeleteFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hosthn.exe','32');
DelBHO('{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
if MessageDlg('Рекомендуется отключить автозапуск со всех съемных носителей,нажмите "ОК" что бы отключить и "НЕТ" что бы отказаться ?', mtInformation, mbYes+mbNo, 0) = 6 then
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun','221');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

2) Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

3) [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
[/CODE]

4) Ваш провайдер TOV Norma-Plus (Украина)?

5) Удалите через установка и удаление программ [B]BrowserProtect[/B]

6) Проверьте эти файлы на [URL="http://www.virustotal.com/index.html"]virustotal[/URL]
[spoiler=Раскрывающийся текст]кнопка [B]Обзор[/B] - ищите нужный файл у вас в системе - [B]Открыть[/B] - [B]Отправить файл[/B] (Send file). Нажать на кнопку [B]Reanalyse[/B] (если будет). Дождитесь результата . [/spoiler] Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.
[code]
C:\WINDOWS\system32\FlashPlayerUpdateService.exe
[/code]

7) Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

8 ) Сделайте лог полного сканирования MBAM ([URL]http://virusinfo.info/showthread.php?t=53070[/URL])
20.07.2013, 21:05
herard

Вложений: 1

после проверки
[ATTACH]427459[/ATTACH]
20.07.2013, 21:26
mike 1

Где остальное?

4) Ваш провайдер TOV Norma-Plus (Украина)?

5) Удалите через установка и удаление программ [B]BrowserProtect[/B]. Удалили?

6) Проверьте эти файлы на [URL="http://www.virustotal.com/index.html"]virustotal[/URL]
[spoiler=Раскрывающийся текст]кнопка [B]Обзор[/B] - ищите нужный файл у вас в системе - [B]Открыть[/B] - [B]Отправить файл[/B] (Send file). Нажать на кнопку [B]Reanalyse[/B] (если будет). Дождитесь результата . [/spoiler] Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.
[code]
C:\WINDOWS\system32\FlashPlayerUpdateService.exe
[/code]

7) Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
20.07.2013, 22:10
herard

4. Norma plus
5. удалил
6. какие файлы проверить на virustotal???
20.07.2013, 22:14
mike 1

1) Проверить на virustotal нужно:

C:\WINDOWS\system32\FlashPlayerUpdateService.exe

2) Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
20.07.2013, 23:22
herard

C:\WINDOWS\system32\FlashPlayerUpdateService.exе
у меня нет такой папки
20.07.2013, 23:34
mike 1

1) Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 4
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
Обнаруженные папки: 2
C:\Documents and Settings\All Users\Application Data\IBUpdaterService (PUP.InstallBrain) -> Действие не было предпринято.
C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> Действие не было предпринято.
C:\Documents and Settings\All Users\Application Data\IBUpdaterService\repository.xml (PUP.InstallBrain) -> Действие не было предпринято.
C:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> Действие не было предпринято.
[/CODE]

Удаление кряков и кейгенов на ваше усмотрение.

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

Проверьте эти файлы на [url=http://www.virustotal.com/index.html]virustotal[/url] кнопка [b]Выбрать файл[/b] (Choose File) - ищите нужный файл у вас в системе - [b]Открыть[/b] (Browse) - [b]Проверить[/b] (Scan it!). Нажать на кнопку [b]Повторить анализ[/b] (Reanalyse) если будет. Дождитесь результата . Ссылку на результат (то, что будет в адресной строке в браузере) копируете и выкладываете в теме.

[CODE]
C:\Documents and Settings\Admin\Рабочий стол\ХР\01-Keyfinder.exe
E:\Иришка\проги\диск проги\проги\диск проги\ffdshow-20041012.exe
E:\Иришка\проги\диск проги\проги\диск проги\Winrar\Именная регистрация\Keygen.exe
[/CODE]

2) Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
21.07.2013, 20:14
herard

Вложений: 3

сканирование в MBAM
[ATTACH]427544[/ATTACH]
проверка на virustotal
[url]https://www.virustotal.com/ru/file/65721d29f6d2939fdac358f3bb6f890713fead828f22b25e5995fec7fd9639a5/analysis/[/url]
[url]https://www.virustotal.com/ru/file/3658ddfb3e09ad2def51aa595430d57eeee8402fb34534b335987e4525cfaded/analysis/[/url]
[url]https://www.virustotal.com/ru/file/7d30e1bfc0dfb3368e44f7b1722eff37b9f2e7e44587005849ec5a328202fe2a/analysis/[/url]
логи по правилам п.2 и 3 раздела Диагностика.
[ATTACH]427543[/ATTACH][ATTACH]427542[/ATTACH]
21.07.2013, 20:56
mike 1

1) Повторите сканирование в MBAM если уже его закрыли, отметьте галочками указанные ниже строчки - нажмите "[b]Remove Selected[/b]" ("[B]Удалить выделенные[/B]" - [B][COLOR="Red"]смотрите, что удаляете[/COLOR][/B]).

[CODE]
Обнаруженные ключи в реестре: 4
HKCR\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A} (PUP.ToolBar.WA) -> Действие не было предпринято.
Обнаруженные папки:
C:\Documents and Settings\All Users\Application Data\IBUpdaterService (PUP.InstallBrain) -> Действие не было предпринято.
[/CODE]

После удаления ещё раз просканируйте и прикрепите к своему сообщению новый лог.

2) Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол ([URL]http://virusinfo.info/showthread.php?t=130828[/URL])

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] в АВЗ:

[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
QuarantineFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hosthn.exe','');
QuarantineFile('C:\WINDOWS\system32\FlashPlayerUpdateService.exe','');
DeleteFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hosthn.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('c:\recycler\r-1-5-21-1482476501-1644491937-682003330-1013\hosthn.exe');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:

[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]

Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы

3) Проведите эту [url]http://virusinfo.info/content.php?r=290-virus-detector[/url] процедуру. Ссылку на результат прикрепите.

4) Сделайте новые логи AVZ
21.07.2013, 21:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]13[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\рабочий стол\\хр\\01-keyfinder.exe - [B]not-a-virus:PSWTool.Win32.RAS.a[/B] ( BitDefender: Application.Findkeyxp.F )[/LIST][/LIST]