Не удается запустить AVZ

Printable View

Показывать 40 сообщений этой темы на одной странице

17.04.2008, 20:39
Nikolay87

Не удается запустить AVZ

Не могу запустить AVZ, вирус блокирует любые действия с файлами avz.exe и еще несколькими из папки Base.
Началось все с того, что слетел DrWeb и пререстала работать WiFi сеть (невозможно запустить службу "Wireless Zero Configuration").
Проводник windows не показывает скрытые и системные файлы и папки.
CureIT! удалось запустить только переименовав его. После полной проверки CureIT! нашел 5 зараженныз файлов (Win32.HLLM.Beagle).
17.04.2008, 20:42
Nikolay87

Вложений: 1

Лог из HijackThis
17.04.2008, 20:44
Гриша

Если есть возможность - загрузитесь с установочного диска Windows и зайдите в Консоль Восстановления либо загрузитесь с LiveCD, Bart PE или др. загрузочного диска, найдите и удалите следующие файлы:

[CODE]windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe[/CODE]
17.04.2008, 20:45
V_Bond

или так ...
скачайте [url]http://www.megaupload.com/?d=AUGYD37C[/url]
найдите ...
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe -
и удалите (force delete )
затем сделайте логи авз ...
17.04.2008, 20:51
Nikolay87

windows\system32\drivers\hldrrr.exe и windows\system32\wintems.exe удалил CureIT! во время проверки.
windows\system32\drivers\srosa.sys и windows\system32\mdelk.exe не нашел.
17.04.2008, 20:53
Гриша

Вы как их искали через IceSword?
17.04.2008, 21:20
Nikolay87

Нет, из Linux. Стоит вместе с Windows.

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

IceSword так же не удается запустить. Выдает ошибку.

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

После переименования файла из IceSword.exe в I.exe при запуске вылетает ошибка:
Initialize failed, error code: 1073741660
17.04.2008, 21:30
kps

Отключите восстановление системы, как написано в правилах (если еще не отключили). Очистите кеш интернета.
Скачайте Avenger отсюда: [url]http://swandog46.geekstogo.com/avenger2/download.php[/url]
Переименуйте программу в football.pif
Запустите программу, вставьте в окно Avenger "Input script here:" следующий скрипт и запустите (кнопка "Execute"):
[code]Comment:
Script to delete the Bagle worm

Drivers to disable:
srosa

Files to delete:
C:\windows\system32\drivers\srosa.sys
C:\windows\system32\drivers\hldrrr.exe
C:\windows\system32\wintems.exe
C:\windows\system32\mdelk.exe

Folders to delete:
C:\WINDOWS\system32\drivers\down[/code]
Компьютер перезагрузится (возможно 2 раза).
Прикрепите лог Avenger (он здесь: C:\avenger.txt )

После перезагрузки backup будет сохранен в папке C:\Avenger. Архив оттуда пришлите нам по правилам сюда [url]http://virusinfo.info/upload_virus.php?tid=21685[/url] .

Удалите AVZ и скачайте заново. Он запустился?
17.04.2008, 21:45
Nikolay87

Вложений: 1

Сделал. Выкладываю лог. AVZ запустился.
17.04.2008, 21:46
Nikolay87

backup закачал.
17.04.2008, 21:52
kps

Червь удален (во всяком случае его активные файлы).
Из лога Avenger:
[quote]Driver "srosa" disabled successfully.
File "C:\windows\system32\drivers\srosa.sys" deleted successfully.
File "C:\windows\system32\drivers\hldrrr.exe" deleted successfully.
File "C:\windows\system32\wintems.exe" deleted successfully.
File "C:\windows\system32\mdelk.exe" deleted successfully. [/quote]
Теперь сделайте логи по правилам и прикрепите.
17.04.2008, 22:34
Nikolay87

Вложений: 3

Выкладываю логи.
________________________________
После удаления червя, заработал WiFi. Однако по прежнему невозможно включить просмотр скрытых папок и файлов в проводнике.
И еще осталась приличная задержка при загрузке системы(после появления рабочего стола приходится ждать еще минуты 2 пока подключится сеть).
17.04.2008, 22:38
V_Bond

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('srosa');
QuarantineFile('Changer.sys','');
QuarantineFile('izwf.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
DeleteFile('C:\WINDOWS\system32\wintems.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
переустановите антивирус ... полегчает ..
17.04.2008, 23:09
kps

После скрипта от [b]V_Bond[/b] выполните такой скрипт [url=http://virusinfo.info/showthread.php?t=7239]в AVZ[/url]:
[code]begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O4 - HKCU\..\Run: [drvsyskit] C:\WINDOWS\system32\drivers\hldrrr.exe
O4 - HKCU\..\Run: [german.exe] C:\WINDOWS\system32\wintems.exe[/code]

Как проблема со скрытыми файлами, пропала?
У Вас безопасный режим работает?
Сделайте новые логи, начиная с пункта 10 правил.
18.04.2008, 20:06
Nikolay87

Выполнил скрипт от V_Bond.
Карантин отправил.
Установил антивирут Касперского, обновился, сделал полную проверку компьютера. Нашел вот что:
[I]удалено: троянская программа Trojan-Downloader.Win32.Bagle.ij Файл: C:\Documents and Settings\Koljan\Local Settings\Temporary Internet Files\Content.IE5\KRWXJIIM\b64_1[1].jpg
удалено: рекламная программа not-a-virus:AdWare.Win32.Mostofate.cv Файл: C:\downloads\Программы\wm2.exe//UPX//CAB/data\{C823E42A-7713-4888-B140-1D5844CE73E3}\11\wmadvisor.exe//data0013
удалено: троянская программа Trojan-Downloader.Win32.Bagle.ni Файл: C:\WINDOWS\system32\drivers\mdelk.exe
удалено: вирус Email-Worm.Win32.Bagle.of Файл: C:\WINDOWS\system32\drivers\downld\160984.exe
удалено: вирус Email-Worm.Win32.Bagle.vr Файл: C:\WINDOWS\system32\drivers\downld\166828.exe
удалено: троянская программа Trojan-Downloader.Win32.Bagle.ij Файл: C:\WINDOWS\system32\drivers\downld\171171.exe
удалено: вирус Email-Worm.Win32.Bagle.of Файл: C:\WINDOWS\system32\drivers\downld\194781.exe
удалено: вирус Email-Worm.Win32.Bagle.of Файл: C:\WINDOWS\system32\drivers\downld\195421.exe
удалено: вирус Email-Worm.Win32.Bagle.of Файл: C:\WINDOWS\system32\drivers\downld\199781.exe
удалено: вирус Email-Worm.Win32.Bagle.of Файл: C:\WINDOWS\system32\drivers\downld\201187.exe
удалено: троянская программа Trojan-Downloader.Win32.Bagle.ij Файл: C:\WINDOWS\system32\drivers\downld\202968.exe
удалено: троянская программа Trojan-Downloader.Win32.Bagle.ij Файл: C:\WINDOWS\system32\drivers\downld\205390.exe
удалено: вирус Email-Worm.Win32.Bagle.vr Файл: C:\WINDOWS\system32\drivers\downld\209437.exe
удалено: троянская программа Trojan-Downloader.Win32.Bagle.ij Файл: C:\WINDOWS\system32\drivers\downld\212234.exe[/I]
18.04.2008, 20:13
wise-wistful

Это хорошо. Рекомендации [b]kps[/b] выполните, ждём новых логов.
18.04.2008, 20:24
Nikolay87

Вложений: 2

Рекомендации kps выполнил, вот логи.
Скрытых файлов по прежнему не видно.
Сейчас попробую загрузиться в безопасном режиме.
18.04.2008, 20:35
Nikolay87

Попрежнему неудалось загрузиться в безопасном режиме. На секунду успевает появиться синий экран и тут же перезагрузка.
18.04.2008, 20:41
wise-wistful

Попробуйте выполнить скрипт в АВЗ
[code]begin
ExecuteRepair(10);
RebootWindows(true);
end.[/code]
После перезагрузки попробуйте загрузиться в безопасном режиме.
18.04.2008, 21:16
Nikolay87

Ок, после выполнения скрипта, загрузился в безопасном режиме нормально.
Проблема со скрытыми файлами осталась. И еще та проблема с задержкой при старте, о которой я упоминал выше, по прежнему капает на мозги.

Показывать 40 сообщений этой темы на одной странице