Порча исполняемых файлов.

Printable View

12.05.2008, 23:14
Denius

Вложений: 3

Порча исполняемых файлов.

Время от времени перестают запускаться разные исполняемые файлы.
Например программа логин от инет провайдера. Вижу уменьшение размера файла. Скачивал заново. Повторилось 1 раз. После третьей скачки все в норме. Только что, стала ругаться игра на несовпадение версии необходимого ей экзешника.
Я раньше сам ухитрялся отстреливатьсяч от вирусов, а тут не могу понять, где засела гадость и есть ли она вообще. ВОзможно беда с диском (недайбо). Проконсультируйте пожалуйста.
12.05.2008, 23:32
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\Temp\BN2E.tmp','');
QuarantineFile('C:\WINDOWS\svchost.com','');
QuarantineFile('C:\WINDOWS\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Njo41.sys','');
QuarantineFile('C:\WINDOWS\system32\WinNt32.dll','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Njo41.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Gms52.sys');
DeleteFile('WinNt32.dll');
DeleteFile('C:\WINDOWS\winlogon.exe');
DeleteFile('C:\WINDOWS\svchost.com');
DeleteFile('C:\WINDOWS\Temp\BN10.tmp');
DeleteFile('C:\WINDOWS\Temp\BN11.tmp');
DeleteFile('C:\WINDOWS\Temp\BN13.tmp');
DeleteFile('C:\WINDOWS\Temp\BN15.tmp');
DeleteFile('C:\WINDOWS\Temp\BN16.tmp');
DeleteFile('C:\WINDOWS\Temp\BN18.tmp');
DeleteFile('C:\WINDOWS\Temp\BN17.tmp');
DeleteFile('C:\WINDOWS\Temp\BN19.tmp');
DeleteFile('C:\WINDOWS\Temp\BN1A.tmp');
DeleteFile('C:\WINDOWS\Temp\BN1B.tmp');
DeleteFile('C:\WINDOWS\Temp\BN1C.tmp');
DeleteFile('C:\WINDOWS\Temp\BN1F.tmp');
DeleteFile('C:\WINDOWS\Temp\BN20.tmp');
DeleteFile('C:\WINDOWS\Temp\BN22.tmp');
DeleteFile('C:\WINDOWS\Temp\BN25.tmp');
DeleteFile('C:\WINDOWS\Temp\BN26.tmp');
DeleteFile('C:\WINDOWS\Temp\BN28.tmp');
DeleteFile('C:\WINDOWS\Temp\BN29.tmp');
DeleteFile('C:\WINDOWS\Temp\BN2A.tmp');
DeleteFile('C:\WINDOWS\Temp\BN2B.tmp');
DeleteFile('C:\WINDOWS\Temp\BN2C.tmp');
DeleteFile('C:\WINDOWS\Temp\BN2E.tmp');
DeleteFile('C:\WINDOWS\Temp\BN2F.tmp');
DeleteFile('C:\WINDOWS\Temp\BN30.tmp');
DeleteFile('C:\WINDOWS\Temp\BN32.tmp');
DeleteFile('C:\WINDOWS\Temp\BN33.tmp');
DeleteFile('C:\WINDOWS\Temp\BN9.tmp');
DeleteFile('C:\WINDOWS\Temp\BNA.tmp');
DeleteFile('C:\WINDOWS\Temp\BNC.tmp');
DeleteFile('C:\WINDOWS\Temp\BND.tmp');
DeleteFile('C:\WINDOWS\Temp\BNE.tmp');
DeleteFile('C:\WINDOWS\Temp\BNF.tmp');
DeleteService('Gms52');
DeleteService('Njo41');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22782[/url]

Повторите логи.
13.05.2008, 01:15
Denius

Вложений: 3

Новые логи

Прикрепляю новые логи.
После выполнения предыдущего скрипта перестали запускаться исполняемые файлы.
При попытке выполнения система выдает стандартное окно для выбора приложения для данного типа файла.
Запуск может быть осуществлен только повторным выбором программы в появившемся окне.
Закачался ли архив с карантином?
13.05.2008, 01:22
Denius

Проблему с запуском исполняемых файлов пофиксил
AVZ => Восстановление системы => Восстановление параметров запуска .exe, .com, .pif
13.05.2008, 01:31
wise-wistful

BN2E.tmp - [b]Trojan-Downloader.Win32.Agent.mkb[/b], WINDOWS\svchost.com - [b]Virus.Win32.Neshta.a[/b], WinNt32.dll - новенький.

1.Скачайте [url=http://ifolder.ru/6210513]IceSword[/url].

2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: WinNt32 - C:\WINDOWS\SYSTEM32\WinNt32.dll [/CODE]

3. Запустите IceSword.
Внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы C:\WINDOWS\system32\WinNt32.dll и C:\WINDOWS\system32\Drivers\Njo41.sys.
Нажмите по нему правой кнопкой мыши и выберите force delete.
На запрос потверждения ответьте "да".

3.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\Njo41.sys');
DeleteFile('WinNt32.dll');
BC_ImportAll;
BC_DeleteSvc('Njo41');
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22782[/url]

пункты 2-4 выполняйте без перезагрузок.

Повторите логи.
13.05.2008, 19:38
Denius

Вложений: 3

Все сделал.
Карантин выслал.
Вот логи.
13.05.2008, 20:21
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('tcpsr');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\svchost.com');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('tcpsr ');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи.
13.05.2008, 23:14
Denius

Вложений: 3

Ух, сколько со мной мороки.
Скрипт выполнил, логи прилагаю.
14.05.2008, 10:23
wise-wistful

Проблемы какие-то наблюдаются?
14.05.2008, 19:02
Denius

Спасибо за такое количество уделенного внимания.
В данный момент видимых проблем нет.
Почему-то после каждой перезагрузке при проверке системы AVZ выдается сообщение о нарушении ассоциации EXE файлов.
16.05.2008, 00:10
Denius

Вложений: 3

Новые проблемы.

По прошествии суток пропала сеть.
В статусе сетевого подключения 0 отправленных 0 полученных. При попытке выполнения команды ping выдается ошибка ...не возможно обращение к драйверу IP... Код ошибки помоему 2.
Запустил установку WinXP. Поставил систему поверх старой. Сеть появилась. В логах AVZ увидел старых знакомых.
Что делать?
P.S. Логи прилагаю.
P.P.S. Последние полторы недели от почтовго клиента The Bat! при запуске получаю сообщение о том, что он перестал быть почтовым клиентом по умолчанию. Так же каждый раз приходится восстанавливать ассоциацию разширения файлов The Bat!
16.05.2008, 00:19
wise-wistful

1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\WinData.cab','');
QuarantineFile('C:\WINDOWS\svchost.com','');
DeleteFile('C:\WINDOWS\svchost.com');
DeleteFile('C:\WINDOWS\system32\WinData.cab');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(1);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=22782[/url]

Повторите логи
19.05.2008, 22:24
Denius

Вложений: 3

Повторяю логи.
Сиптомы сохранились.
19.05.2008, 22:35
V_Bond

восстановление системы: включено \ отключить ...
зловредного ничего нет ...
о симптомах подробнее ...
20.05.2008, 01:31
Denius

Восстановление отключил.

Симптомы.

НА компьютере установлена игра Warcraft 3.

При запуске игры выдается сообщение о неверной версии файла war3. Я так понимаю программа лаунчер проверяет основной файл на версию.

Такое случилось неделю назад. Я скачал чистый файл из инета и заменил им битый. 2 дня назад все повторилось.
20.05.2008, 01:46
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ChgnetIP.sys','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=22782[/url] ).
21.05.2008, 20:47
Denius

Вложений: 3

ChgnetIP это драйвер устанавливаемый программой предоставленной моим провайдером для доступа в Интернет. Она предназначена для отключения компьютера от сети в случае, когда он является разносчиком вирусов.

Логи повторяю. Стала происходить подмена ссылок в IE на странице с результатом поиска Google.
21.05.2008, 22:29
V_Bond

[QUOTE=Denius;229902] Стала происходить подмена ссылок в IE на странице с результатом поиска Google.[/QUOTE]
BitAccelerator - ... троян , это его проделки - деисталируйте ..
22.05.2008, 18:54
Denius

Спасибо. Сделал.
22.02.2009, 05:17
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]16[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\svchost.com - [B]Virus.Win32.Neshta.a[/B] (DrWEB: Win32.HLLP.Neshta)[*] c:\\windows\\system32\\drivers\\tcpsr.sys - [B]SpamTool.Win32.Agent.jn[/B] (DrWEB: Trojan.NtRootKit.1070)[*] c:\\windows\\system32\\winnt32.dll - [B]Trojan-Downloader.Win32.Mutant.vt[/B] (DrWEB: Trojan.DownLoader.59773)[*] c:\\windows\\temp\\bn2e.tmp - [B]Trojan-Downloader.Win32.Agent.mkb[/B] (DrWEB: Trojan.DownLoader.56617)[/LIST][/LIST]