Не могу полностью вылечится

Printable View

06.03.2008, 21:18
Zin

Вложений: 3

Не могу полностью вылечится

После очередной проверки на вирусы антивирус (drWeb) нашел несколько вирусов virtumod 269. Но даже после полной проверки системы в безопасном режиме монитор постоянно в течении дня находит до 20 шт. вирусов. Не знаю что и делать как полностью избавится от этого зловреды. Помогите пожалуста.:(
06.03.2008, 21:26
rubin

Восстановление системы: включено - отключить
BitAccelerator и ConnectionServices - деинсталлировать

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DelBHO('C7698CE2-EAF8-4992-9D02-F0571B980372');
DelBHO('7822058A-1C84-4A8A-979A-0B1189930CA6');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\ywuecxwm.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\mofugclq.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\urclqecd.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\rhvqsuwb.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\qrjatydi.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\vntmrykt.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\dlwixoql.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\dswtmhmj.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\exjegpqb.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\gitobxmn.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\sheqipoi.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\xqedqkpr.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\ngproxvf.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\peuagbsx.exe','');
QuarantineFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\efcgxlvu.exe','');
QuarantineFile('C:\WINDOWS\system32\qomjkii.dll','');
QuarantineFile('C:\WINDOWS\system32\pfsquitc.dll','');
QuarantineFile('C:\WINDOWS\system32\mljgd.dll','');
QuarantineFile('C:\WINDOWS\system32\ikblwurl.dll','');
QuarantineFile('C:\WINDOWS\system32\cakwlcxv.dll','');
DeleteFile('C:\WINDOWS\system32\cakwlcxv.dll');
DeleteFile('C:\WINDOWS\system32\ikblwurl.dll');
DeleteFile('C:\WINDOWS\system32\mljgd.dll');
DeleteFile('C:\WINDOWS\system32\pfsquitc.dll');
DeleteFile('C:\WINDOWS\system32\qomjkii.dll');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\efcgxlvu.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\peuagbsx.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\ngproxvf.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\xqedqkpr.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\sheqipoi.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\gitobxmn.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\exjegpqb.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\dswtmhmj.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\dlwixoql.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\vntmrykt.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\qrjatydi.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\rhvqsuwb.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\urclqecd.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\mofugclq.exe');
DeleteFile('C:\Documents and Settings\ArGuS\Local Settings\Temp\ywuecxwm.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=19299[/url]

2.Пофиксить в HijackThis следующие строчки, если останутся ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O2 - BHO: (no name) - {7822058A-1C84-4A8A-979A-0B1189930CA6} - C:\WINDOWS\system32\qomjkii.dll
O2 - BHO: (no name) - {C7698CE2-EAF8-4992-9D02-F0571B980372} - C:\WINDOWS\system32\mljgd.dll
O4 - HKLM\..\Run: [BM3d24fd9c] Rundll32.exe "C:\WINDOWS\system32\ikblwurl.dll",s
O4 - HKLM\..\Run: [3e17ce00] rundll32.exe "C:\WINDOWS\system32\pfsquitc.dll",b
O20 - Winlogon Notify: qomjkii - C:\WINDOWS\SYSTEM32\qomjkii.dll
O22 - SharedTaskScheduler: COM+ Service - {3C49DDAC-3DA4-4743-AF6C-5974FEAF875C} - (no file) [/CODE]
3. Повторить логи
07.03.2008, 00:27
Zin

Вложений: 2

Большое спасибо вирусы перестали появляться. Хочу сказать большое спасибо rubin и всем кто занимается этим благородным делом.

P.S.
virusinfo_syscure.zip выслать не могу avz выбивает
07.03.2008, 00:32
V_Bond

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wioklgde.dll','');
QuarantineFile('C:\WINDOWS\system32\eeyfkxfn.dll','');
DeleteFile('C:\WINDOWS\system32\eeyfkxfn.dll');
DeleteFile('C:\WINDOWS\system32\wioklgde.dll');
DelBHO('{f8e4f103-0d3b-4588-ab6e-daed0e05f3da}');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите крантин согласно приложения 3 правил ....
повторите логи ....
07.03.2008, 01:03
Zin

Вложений: 2

скрипт выполнил спасибо :)
07.03.2008, 01:13
Bratez

Логи чистые.

Рекомендуется отключить все что вам не нужно из этого списка:
[code]
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику
[/code]
07.03.2008, 01:23
Zin

подскажите я на этом форуме могу найти тему как это отключить?
07.03.2008, 01:26
Bratez

Скажите, что именно отключить, сделаем скрипт.
07.03.2008, 22:18
Zin

как можно отключить эти службы?
RemoteRegistry (Удаленный реестр)
TermService (Службы терминалов)
SSDPSRV (Служба обнаружения SSDP)
mnmsrvc (NetMeeting Remote Desktop Sharing)
автозапуск программ с CDROM
к ПК разрешен доступ анонимного пользователя
отправка приглашений удаленному помошнику
07.03.2008, 22:21
V_Bond

у вас есть локальная сеть ? компьютер домашний ?
07.03.2008, 23:12
Zin

Домашний компьютер.
Но в интернет выходит, не знаю как корректно обьяснить, по локальной сети (видимо провайдерской)
P.S. извините если за недостатком знаний некоректно описываю. Спасибо за терпение
07.03.2008, 23:24
V_Bond

выполните скрипт ...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]
22.02.2009, 04:15
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]136[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\argus\\local settings\\temp\\dlwixoql.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\dswtmhmj.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\efcgxlvu.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\exjegpqb.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\gitobxmn.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\mofugclq.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\ngproxvf.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\peuagbsx.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\qrjatydi.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\rhvqsuwb.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\sheqipoi.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\urclqecd.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\vntmrykt.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\xqedqkpr.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\documents and settings\\argus\\local settings\\temp\\ywuecxwm.exe - [B]not-a-virus:Downloader.Win32.WinFixer.ba[/B] (DrWEB: Trojan.DownLoader.51199)[*] c:\\program files\\bitaccelerator\\bitaccelerator.dll - [B]not-a-virus:WebToolbar.Win32.BitAccelerator.d[/B] (DrWEB: Trojan.BitAcc)[*] c:\\program files\\connectionservices\\connectionservices.dl - [B]Trojan.Win32.ConnectionServices.m[/B] (DrWEB: Trojan.BitAcc)[*] c:\\windows\\system32\\cakwlcxv.dll - [B]Trojan.Win32.Monder.ag[/B] (DrWEB: Trojan.Virtumod.269)[*] c:\\windows\\system32\\eeyfkxfn.dll - [B]Trojan.Win32.Monder.ag[/B] (DrWEB: Trojan.Virtumod.269)[*] c:\\windows\\system32\\ikblwurl.dll - [B]Trojan.Win32.Monder.ap[/B] (DrWEB: Trojan.Virtumod.280)[*] c:\\windows\\system32\\mljgd.dll - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.based)[*] c:\\windows\\system32\\pfsquitc.dll - [B]Trojan.Win32.Monder.bt[/B] (DrWEB: Trojan.Virtumod.272)[*] c:\\windows\\system32\\qomjkii.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.blb[/B] (DrWEB: Trojan.Virtumod.246)[*] c:\\windows\\system32\\wioklgde.dll - [B]Trojan.Win32.Monder.bt[/B] (DrWEB: Trojan.Virtumod.272)[*] \\2008-03-06\\bcqr00031.dta - [B]not-a-virus:AdWare.Win32.Virtumonde.blb[/B] (DrWEB: Trojan.Virtumod.246)[*] \\2008-03-06\\bcqr00032.dta - [B]not-a-virus:AdWare.Win32.Virtumonde.blb[/B] (DrWEB: Trojan.Virtumod.246)[*] \\2008-03-06\\bcqr00035.dta - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.based)[*] \\2008-03-06\\bcqr00036.dta - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.based)[/LIST][/LIST]