Перезагрузка при входе в систему

Printable View

08.01.2008, 18:57
Resistor

Вложений: 3

Перезагрузка при входе в систему

Зашёл на страницу в интернете, комп без предупреждения перезагрузился, при включении появилось 2 окна с чёрным фоном(наподибие досовских) с названиями C:\WINDOWS\system32\mustafx и C:\...mustafx2, через пару секунд вылезает окно "16-разрядной подсистемы MS-DOS" с сообщением что мол процессор NTVDM обнаружил недопустимую инструкцию и предлагают "закрыть" или "пропустить".([I]есть[/I] [I]скриншот если надо[/I]) Ничего не нажимаю(или нажимаю закрыть) и комп через пару сек перезагружается.
В папке windows и windows\system32 появились 3 файла mustafx.exe и mustafx2.exe, и murka. Антивирь(nod32(удалил) и drweb) видит mustafx как подозрительный, а murka.dat - Trojan.Proxy.1739; оба удаляются но после перезагрузки снова появляются. Также mustafx и mustafx присутствуют в автозапуске, после удаления оттуда сразу появляются заново.
08.01.2008, 19:12
Bratez

Пофиксите в HijackThis:
[code]
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O20 - AppInit_DLLs: kurva.dat
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\winmsdn.exe','');
QuarantineFile('C:\WINDOWS\scvhost.exe','');
QuarantineFile('C:\WINDOWS\system32\kurva.dat','');
QuarantineFile('C:\WINDOWS\system32\mustafx2.exe','');
QuarantineFile('C:\WINDOWS\system32\mustafx.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\mehw.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Beep.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\Beep.SYS');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\mehw.exe');
DeleteFile('C:\WINDOWS\system32\mustafx.exe');
DeleteFile('C:\WINDOWS\system32\mustafx2.exe');
DeleteFile('C:\WINDOWS\system32\kurva.dat');
DeleteFile('C:\WINDOWS\scvhost.exe');
DeleteFile('C:\WINDOWS\system32\winmsdn.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
Сделайте новые логи.
08.01.2008, 20:14
Resistor

Вложений: 3

Карантин отослал. Вот новые логи.
08.01.2008, 22:19
rubin

[b]Trojan-Dropper.Win32.Small.bdf[/b] C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\mehw.exe
[b]Hoax.Win32.Renos.aom [/b]C:\WINDOWS\mustafx.exe
[b]Backdoor.Win32.VB.ayx[/b] C:\WINDOWS\scvhost.exe
[b]Trojan.Win32.Obfuscated.mv[/b] C:\WINDOWS\System32\Drivers\Beep.SYS
[b]AdWare.Win32.Agent.zb [/b]C:\WINDOWS\system32\winmsdn.exe

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Mustafx');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','Mustafx');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Mustafx2');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run-','Mustafx2');
DelBHO('54C7D1DD-4296-451e-B756-1E94F665B4FF');
DelBHO('E0E899AB-F487-11D5-8D29-0050BA6940E3');
QuarantineFile('C:\WINDOWS\system32\yatool.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tetri5.sys','');
DeleteFile('C:\WINDOWS\mustafx.exe');
DeleteFile('C:\WINDOWS\mustafx2.exe');
DeleteFile('C:\WINDOWS\system32\kurva.dat');
DeleteFile('C:\WINDOWS\system32\yatool.dll');
BC_ImportAll;
BC_QrFile('C:\WINDOWS\System32\Drivers\Tetri5.sys');
BC_DeleteFile('C:\WINDOWS\mustafx.exe');
BC_DeleteFile('C:\WINDOWS\mustafx2.exe');
BC_DeleteFile('C:\WINDOWS\scvhost.exe');
BC_DeleteFile('C:\WINDOWS\system32\kurva.dat');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Карантин пришлите, логи повторите...
09.01.2008, 00:36
Resistor

Вложений: 3

Карантин выслал. Логи прикрепил. Жду...
09.01.2008, 00:55
V_Bond

деинсталируйте адваре ...
пофиксите ...
[code]
O20 - AppInit_DLLs: kurva.dat
[/code]
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\scvhost.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
end.
[/code]
попробуйте сделать логи в нормальном режиме ...
09.01.2008, 02:14
Resistor

Вложений: 3

Извиняюсь, не понял... :unsure: каким образом удалить адваре (если вы конечно прогу AdAware не имели ввиду), антивирь в папке windows ничё не видит, или мне весь комп проверять? (не хочется, долго, но если надо сделаю). Пофиксил, скрипт выполнил. Вот логи в нормальном режиме.
09.01.2008, 02:27
Макcим

[QUOTE=Resistor;169155]Извиняюсь, не понял... :unsure: каким образом удалить адваре (если вы конечно прогу AdAware не имели ввиду)[/QUOTE]Её родимую. :smile: Одна из самых бесполезных программ.
09.01.2008, 02:41
Resistor

Честно скажу не знал,что прога бесполезная(но вам верю), считал даж наоборот, наивный видно :smile:. Не сочтите за флуд но... мне дальнейших указаний ждать сегодня или спать ложиться?
09.01.2008, 02:43
Макcим

Идите лучше выспитесь :) Компьютер от Вас не убежит, тему ни кто не удалит.
09.01.2008, 04:36
Bratez

Откройте в AVZ [i]Сервис - Менеджер Active Setup[/i] и удалите там строчку с упоминанием файла [b]C:\WINDOWS\scvhost.exe[/b].

Выполните следующий скрипт:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\users32.dat','');
DeleteFile('C:\WINDOWS\system32\users32.dat');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки карантин пришлите по правилам.
Сделайте новый лог syscheck (п.10 правил).
09.01.2008, 10:58
Resistor

Вложений: 1

Доброе утро. Сделал всё как пососветовали.
09.01.2008, 11:08
V_Bond

в логах не видно ничего зловредного ...
авз - файл Мастер поиска и устранения проблем
>> Блокировка диспетчера задач
>> Блокировка панели управления
>> Заблокированы настройки системы Windows Update
>> Заблокированы настройки системы System Restore
.... выбираете проблемы нажимаете устранить ...
09.01.2008, 11:31
Resistor

Слов говорить не умею... Большое спасибо! Помогли разобраться довольно быстро и дружелюбно настроенно поотношению ко мне.
P.S. Простите мою наглость, посоветуйте программу для профилактики всякой заразы компенсирующую недостатки Nod32 (если такие есть), или отправьте куда следует (на форуме).
Есщё раз большое спасибо за помощь :smile: и, удачи! :wink_3:
09.01.2008, 11:33
Макcим

Вам сюда [url]http://virusinfo.info/showthread.php?t=1550[/url] Nod лучше убрать и заменить на что-нибудь другое из списка.
22.02.2009, 03:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]47[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\главное меню\\программы\\автозагрузка\\mehw.exe - [B]Trojan-Dropper.Win32.Small.bdf[/B] (DrWEB: Trojan.MulDrop.6538)[*] c:\\windows\\mustafx.exe - [B]Hoax.Win32.Renos.aom[/B] (DrWEB: Trojan.Click.16393)[*] c:\\windows\\scvhost.exe - [B]Backdoor.Win32.VB.ayx[/B] (DrWEB: BackDoor.IRC.Ant)[*] c:\\windows\\system32\\drivers\\beep.sys - [B]Trojan.Win32.Obfuscated.mv[/B] (DrWEB: Trojan.NtRootKit.559)[*] c:\\windows\\system32\\users32.dat - [B]not-a-virus:AdWare.Win32.Agent.zo[/B] (DrWEB: Trojan.Click.5043)[*] c:\\windows\\system32\\winmsdn.exe - [B]not-a-virus:AdWare.Win32.Agent.zb[/B] (DrWEB: Trojan.MulDrop.6537)[/LIST][/LIST]