не избавиться от smtpdrv.sys и amvo0.dll

Printable View

Показывать 40 сообщений этой темы на одной странице

07.01.2008, 18:18
EvgenIg

не избавиться от smtpdrv.sys и amvo0.dll

1. не показвывеются скрытые папки и файлы
2. если не удалить smtpdrv.sys через некоторое время обрывается интернет
3. на дисках присутсвуют подозрительные файлы
NTDETECT.COM
semo2x.exe
u.bat
утилита AVZ не сохраняет архив [B][I]virusinfo_syscure.zip [/I][/B]в папке LOG после выполнения указанного в правилах скрипта, поэтому прикрепил 2 лога
07.01.2008, 18:24
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]Загрузите карантин по [URL="http://virusinfo.info/upload_virus.php?tid=16073"]этой[/URL] ссылке. Повторите логи.
07.01.2008, 18:28
Bratez

Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: (no name) - {6A87B991-A31F-4130-AE72-6D0C294BF082} - (no file)
O3 - Toolbar: (no name) - {E67C74F4-A00A-4F2C-9FEC-FD9DC004A67F} - (no file)
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(false, true);
StopService('Rxe27');
StopService('Vgv38');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Rxe27', 'Start');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Vgv38', 'Start');
RebootWindows(true);
end.[/code]
После перезагрузки еще один:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\siusbmod.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\wincab.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vgv38.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\WINDOWS\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\Rxe27.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vgv38.sys');
DeleteFile('C:\WINDOWS\system32\wincab.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
07.01.2008, 19:16
EvgenIg

карантин загрузил
новые логи
07.01.2008, 20:46
EvgenIg

в безопасном режиме удалось сделать лог
07.01.2008, 20:59
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
StopService('Rxe27');
StopService('Vgv38');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vgv38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\Rxe27.sys','');
DeleteFile('C:\WINDOWS\Rxe27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vgv38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\ntos.exe,
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe[/CODE]
Загрузите карантин согласно приложению №3 правил. Повторите логи.
07.01.2008, 21:40
EvgenIg

карантин загрузил
логи
07.01.2008, 21:48
EvgenIg

еще есть проблема с Cookies, при новом входе в винду или перезагрузке приходится каждый раз заново вводить пароли на сайты где зареген, хотя раньше такова небыло и все автоматом вводилось
В чем может быть причина?
п.с. как вернуть обратно чтоб скрытые файлы и папки отображались?
07.01.2008, 21:51
Макcим

Вы выполняете скрипты и фиксы которые я даю? По логам не скажешь...
07.01.2008, 21:53
V_Bond

[URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\Rxe27.sys (тоже самое и для Vgv38.sys) ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\Rxe27.sys');
BC_DeleteSvc('Rxe27');
BC_DeleteSvc('Vgv38');
BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...
07.01.2008, 22:16
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] также скрипт для отображения скрытых файлов и папок[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]
07.01.2008, 23:49
EvgenIg

to V_Bond не нашел Vgv38.sys
карантин случайно удалил
07.01.2008, 23:58
V_Bond

делаем все сначала но теперь в safe mode ... и удаляем при помощи рку еще и...
C:\WINDOWS\System32\Drivers\Rxe27.sys
C:\WINDOWS\system32\DRIVERS\smtpdrv.sys
08.01.2008, 00:03
EvgenIg

вот это по новой ?
[quote=V_Bond;168540][URL="http://www.wasm.ru/baixado.php?mode=tool&id=392"]скачать[/URL] ...
- отключить антивирус и фаервол
- оключиться от интернета
tools - wipe/copy file - browse и находим файл C:\WINDOWS\Rxe27.sys (тоже самое и для Vgv38.sys) ... - direct file content wiping - do opperation - закрыть программу.. - перезагрузится ...
затем выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe27.sys','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe27.sys');
DeleteFile('C:\WINDOWS\Rxe27.sys');
BC_DeleteSvc('Rxe27');
BC_DeleteSvc('Vgv38');
BC_DeleteSvc('smtpdrv');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ....
повторите логи ...[/quote]
08.01.2008, 00:03
V_Bond

да ....
08.01.2008, 00:27
EvgenIg

C:\WINDOWS\System32\Drivers\Rxe27.sys - не дал удалить

C:\WINDOWS\system32\DRIVERS\smtpdrv.sys - удалил

карантин закачал
08.01.2008, 01:11
XL

А что RKU изрекает при попытке удаления C:\WINDOWS\System32\Drivers\Rxe27.sys
?
08.01.2008, 13:19
EvgenIg

сори не правильно прочитал сообщение от V_Bond и удалял эти файлы в ручную

а RKU в безопасном режиме не хочет запускаться и выдает "Error loading/opening driver"
08.01.2008, 13:22
V_Bond

давайте в обычном режиме .... попробуем воспользоваться RKU
08.01.2008, 13:38
EvgenIg

C:\WINDOWS\System32\Drivers\Rxe27.sys - удалил
C:\WINDOWS\system32\DRIVERS\smtpdrv.sys - удалил

Показывать 40 сообщений этой темы на одной странице