Не могу избавится от вируса, которы постоянно предлагает закачать различное ПО

Printable View

20.03.2008, 13:39
Hugo

Вложений: 3

Не могу избавится от вируса, которы постоянно предлагает закачать различное ПО

[FONT=Times New Roman][SIZE=3]В системе появился вирус, и ни какими средствами не могу его побороть. [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Проявляется он следующим образом:[/SIZE][/FONT]
[LIST][*][SIZE=3][FONT=Times New Roman]Невозможно запустить Диспетчер задач, т.к. на панели задач не открывается контекстное меню. (Запуск Диспетчера возможен только клавишами Alt-Ctrl-Del)[/FONT][/SIZE][*][FONT=Times New Roman][SIZE=3]Иногда при закрытии Internet Explorer выдается сообщение: [B]Инструкция по адресу 0х00117396а обратилась к памяти по адресу 0х0011b0e0c. Память не может быть «read». «OK» -- завершение приложения[/B]. После нажатия на «ОК», появляется окно: [B]Runtime Error 216 at 00117396а[/B][/SIZE][/FONT][*][FONT=Times New Roman][SIZE=3]Иногда в трее появляется значок в виде желтого треугольника с восклицательным знаком: [B]System Message[/B], после нажатия на этот значок появляется модальное окно со следующим содержимым: [B]«PrivacyConductor may find dangerous traces that need to be cleaned. …»[/B] и далее «OK» «Отмена», нажимаешь «Отмена», переходит на сайт [URL="http://www.privacyconductor.com/"][COLOR=#0000ff]www.privacyconductor.com[/COLOR][/URL] и там предлагается загрузить программное обеспечение для очистки компьютера от всяких угроз. После закрытия этого окна, больше ничего не происходит, но через некоторое время опять в трее появляется значок в виде желтого треугольника с восклицательным знаком: [B]System Message[/B], но по вышеописанному сценарию предлагается перейти на [URL="http://www.advancedcleaner.com/"][COLOR=#0000ff]www.advancedcleaner.com[/COLOR][/URL] или [URL="http://www.drivedefender.com/"][COLOR=#0000ff]www.drivedefender.com[/COLOR][/URL] и.т.д., т.е. каждый раз переход на разные сайты с предложением: очистить компьютер от вирусов, оптимизировать работу системы, загрузить лучший Downloader и.т.д.[/SIZE][/FONT][/LIST][FONT=Times New Roman][SIZE=3]Все это проявляется не часто, где то раза 3-4 за день, но все равно неприятно.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Установленные антивирусные программы: [/SIZE][/FONT]
[LIST][*][FONT=Times New Roman][SIZE=3]Касперский Антивирус 7.0[/SIZE][/FONT][*][FONT=Times New Roman][SIZE=3]Agnitun Outpost Firewall 4.0[/SIZE][/FONT][/LIST][FONT=Times New Roman][SIZE=3]Выполнил все действия, оговоренные в [B]Правилах[/B] (в том числе и проверку системы CureIT в безопасном режиме), и прилагаю требуемые логи. Надеюсь на Вашу помощь, заранее спасибо![/SIZE][/FONT]
20.03.2008, 15:20
PavelA

Работы для нас много накопили ;) , но восст. системы надо было отключить.

Ограничения на IE сами ставили?
Отключить антивирус, фаервалл.

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('D:\Nutc\bin\ncoeenv.exe','');
QuarantineFile('D:\Program Files\Office Mouse\moffice.exe','');
QuarantineFile('D:\WINDOWS\alxvdvm.dll','');
QuarantineFile('D:\WINDOWS\bvtqfvx.dll','');
QuarantineFile('C:\Recycled\Q330995.exe','');
QuarantineFile('D:\WINDOWS\system32\rsvp.exe','');
DeleteFile('C:\Recycled\Q330995.exe');
BC_DeleteSvc('reset5');
BC_DeleteSvc('Maiptcwqwas');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{11311111-1111-1111-1111-111111111157}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=20151[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F3 - REG:win.ini: run=
O16 - DPF: {11311111-1111-1111-1111-111111111157} - file://C:\Recycled\Q330995.exe
O20 - Winlogon Notify: reset5 - D:\WINDOWS\SYSTEM32\reset5.dll
[/CODE]
20.03.2008, 17:46
Hugo

Восстановление системы не отключил, каюсь:(, а вот про ограничения IE, я не понял, вроде я ничего такого не делал?
Рекомендации выполнил, спасибо большое:)
20.03.2008, 17:51
PavelA

Карантин прислал?
20.03.2008, 18:02
Hugo

Карантин послал по ссылке:
[URL]http://virusinfo.info/upload_virus.php?tid=20151[/URL]
Т.е. той которая была в Вашем первом ответе
20.03.2008, 19:49
PavelA

Еще логи нужно новые сделать.

Вот этого не досталось, надо поискать через AVZ:
QuarantineFile('D:\WINDOWS\alxvdvm.dll','');
QuarantineFile('D:\WINDOWS\bvtqfvx.dll','');

Найдутся прислать.

D:\Nutc\bin\ncoeenv.exe -чистый

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

'D:\Program Files\Office Mouse\moffice.exe' - чистый
21.03.2008, 11:41
Hugo

Вложений: 3

Проблема осталась:(
Файлы:
QuarantineFile('D:\WINDOWS\alxvdvm.dll','');
QuarantineFile('D:\WINDOWS\bvtqfvx.dll','');
программой AVZ найти не могу
По поводу логов, если я правильно Вас понял надо выполнить еще раз пункты 8-10 правил?
Выполнил все в соответстии с правилами
21.03.2008, 12:00
PavelA

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{29F022D8-F5E4-4DCB-B1FC-CBCBB3392501}');
QuarantineFile('D:\WINDOWS\system32\clusap.dll','');
QuarantineFile('D:\WINDOWS\System32\msdtc.exe','');
QuarantineFile('D:\WINDOWS\system32\rsvp.exe','');
DeleteFile('D:\WINDOWS\system32\clusap.dll');
BC_DeleteSvc('Crypkey License');
BC_DeleteSvc('Reset 5');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=[/url]

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]
O21 - SSODL: bvtqfvx - {7E9E26CC-BCFB-4013-BB97-005A0D84539D} - D:\WINDOWS\bvtqfvx.dll (file missing)
O21 - SSODL: alxvdvm - {93DFC463-6346-4031-B708-E48FA003DB2F} - D:\WINDOWS\alxvdvm.dll (file missing)
[/CODE]

Сделать еще раз все логи.

У Вас Касперский лицензионный, базы обновляются? Надо бы им полную проверку компьютера сделать.
21.03.2008, 13:52
Hugo

Вложений: 3

1.Скрипт выполнил
2.Карантин выслал по ссылке
3.Пофиксил в HijackThis рекомендованные строки
4.Касперским полную проверку компьютера делал, базы обновленные, т.е. обновляются ежедневно.
Новые логи сделал:
21.03.2008, 16:04
PavelA

'D:\WINDOWS\system32\clusap.dll' - TrojanHorse (по Симантеку), Касперский ее должен знать. В его настройках должна стоять галочка про расшаренные базы.

D:\DOCUME~1\MV\LOCALS~1\Temp\sp.dll - поискать через AVZ
Если найдется, то прислать.

Попробуйте провериться при помощи sfc /scannow. Может потребоваться диск с дистрибутивом Виндовс. Мне не нравиться, что отсутствует 'D:\WINDOWS\system32\rsvp.exe'
22.03.2008, 17:19
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
QuarantineFile('D:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('D:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=20151[/url] ).
24.03.2008, 10:28
Hugo

Спасибо Вам, уважаемые [B]PavelA[/B] и [B]kps[/B]!
Сегодня вроде не появлялось сообщение [FONT=Times New Roman][SIZE=3][B]System Message[/B] и
[FONT=Times New Roman][SIZE=3]перестало при закрытии Internet Explorer выдаваться сообщение: [B]Инструкция по адресу 0х00117396а обратилась к памяти по адресу 0х0011b0e0c.,[/B][/SIZE][/FONT] похоже что вылечелось, но диспетчер задач все-равно не запускается, но скорее всего необходимо выполнить sfc/ scannow, т.е.что то в Windows порушилось.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]2 kps:[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Скрипт выполнил, карантин выслал, но вроде бы пока все нормально.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Еще раз большое спасибо[/SIZE][/FONT]
24.03.2008, 11:32
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(11);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
24.03.2008, 13:07
Hugo

Скрипт выполнил, спасибо большое!
24.03.2008, 13:09
kps

Какие-то проблемы остались?
24.03.2008, 15:58
Hugo

Вроде все основные проблемы исчезли, но не могу запустить: [B]sfc /scannow[/B]
Пишет: [B]Защита файлов Windows не смогла запустить сканирование защищенных системных файлов.[/B]
[B]Код ошибки:0x000006ba [Сервер RPC не доступен][/B]
Вот здесь:
[URL]http://support.microsoft.com/kb/296241/ru[/URL]
уже побывал не помогло.
Это вроде впрямую не относится к сути проблемы, т.к. проблема вроде как разрешилась, но если что посоветуете, буду очень признателен.
25.03.2008, 10:44
PavelA

М.б. это не та версия Виндов, не тот диск. Кстати, это делать надо не в защищенном режиме.
25.03.2008, 10:57
Hugo

Я делал это не в защищенном режиме и еще до установки диска. На другом компьютере попробовал запустить: [B]sfc /scannow[/B]
Там все прошло гладко, Windows выставил окошко, что то типа: Сейчас будет выполнено сканирование системы, вставте диск с дистрибутивом. На моем компьютере почему то такой фокус не получается.
22.02.2009, 04:28
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]32[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\system volume information\\_restore{399bdd40-055f-4172-8799-c6adbfff3a25}\\rp599\\a0139424.dll - [B]Rootkit.Win32.Podnuha.ba[/B] (DrWEB: Trojan.DownLoader.56883)[*] d:\\windows\\system32\\clusap.dll - [B]Rootkit.Win32.Podnuha.ax[/B] (DrWEB: Trojan.DownLoader.56883)[/LIST][/LIST]