Вирус: exe файлы не запускаются

Printable View

17.05.2008, 18:58
vlfil64

Вирус: exe файлы не запускаются

Антивирус: Avira Antivir

При работе в интернете полезли вирусы.
Какая-то программа с названием **porno...** попыталась сама инсталлироваться.
В итоге перестали запускаться все exe-файлы.
Антивирус удалось запустить только из bat файла.
Нашел около 70 вирусов...:)
После перезагрузки ничего не изменилось.

Провел все проверки по правилам форума.
Файлы прилагаю.
Буду благодарен за помощь.
17.05.2008, 19:34
Rene-gad

О патчах напомню. Потребуется новая активация системы.
[CODE]Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)[/CODE]
Скажите, а крокодилы ещё на Вас из ПК не нападали? Нет? Это удивительно.
Отключите ПК от сети.
Отключите антивирус.
[URL="http://virusinfo.info/showpost.php?p=64376&postcount=1"]Пофиксить[/URL]
[CODE]O4 - HKLM\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKLM\..\Run: [System] C:\WINDOWS\System32\wind32.exe
O4 - HKLM\..\Run: [SystemDrive] C:\WINDOWS\System32\maxpaynow1.exe
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu27.exe 61A847B5BBF72810358B2B27128065E9C084320161C4661227A755E9C2933154389A
O4 - HKLM\..\Run: [04ac7ca6] rundll32.exe "C:\WINDOWS\System32\upvwymes.dll",b
O4 - HKCU\..\Run: [herjek] C:\WINDOWS\herjek.exe
O4 - HKCU\..\Run: [ntuser] C:\WINDOWS\system32\drivers\spools.exe
O4 - HKCU\..\Run: [autoload] C:\Documents and Settings\qqq\cftmon.exe
O4 - HKCU\..\Run: [Service Pack 1] C:\WINDOWS\System32\vedxg6ame4.exe
O4 - HKCU\..\Run: [Hhjg5jfd93dftdf] C:\DOCUME~1\qqq\LOCALS~1\Temp\winlagon.exe
O4 - HKCU\..\Run: [HJdfke9kfdf] C:\DOCUME~1\qqq\LOCALS~1\Temp\csrssc.exe
O4 - HKCU\..\Run: [WintelUpdate] C:\DOCUME~1\qqq\LOCALS~1\Temp\1F97.tmp.exe
O4 - HKCU\..\Run: [Multimedia Sound Manager] C:\Program Files\Common Files\System\soundmgr.exe
O4 - HKCU\..\RunOnce: [NodeSlot] ž
O17 - HKLM\System\CCS\Services\Tcpip\..\{3344E9D9-03B8-4946-958D-646C31FBB885}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{337746DD-7FA0-4F89-80AF-C37D324BD6F4}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{37FE27A4-58BB-4C84-9B2D-108640091616}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{540AB253-DEEB-4D22-9E0A-FF5DD6363DD8}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{64385F6C-46B0-4681-A202-B4A33FD66009}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{753F2BA2-8407-47BE-9862-79A5466EE7BB}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{CB8EA83A-0771-45E8-B029-BD5841B5E715}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBBB44CA-2490-4A42-98C5-14D705A5581C}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\..\{FC700611-BEA5-43C4-9B83-60E98ACBA2C2}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.22 85.255.112.77
O17 - HKLM\System\CS1\Services\Tcpip\..\{3344E9D9-03B8-4946-958D-646C31FBB885}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CS4\Services\Tcpip\Parameters: NameServer = 85.255.114.22 85.255.112.77
O17 - HKLM\System\CS4\Services\Tcpip\..\{3344E9D9-03B8-4946-958D-646C31FBB885}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CS5\Services\Tcpip\Parameters: NameServer = 85.255.114.22 85.255.112.77
O17 - HKLM\System\CS5\Services\Tcpip\..\{3344E9D9-03B8-4946-958D-646C31FBB885}: NameServer = 85.255.114.22,85.255.112.77
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.22 85.255.112.77
O21 - SSODL: vbksrofa - {4D962590-B317-4645-AF6B-4EAD913419F2} - C:\WINDOWS\vbksrofa.dll (file missing)
O21 - SSODL: mpfanvqg - {49E0475E-F1BC-4B4F-B536-09C535D62E0F} - C:\WINDOWS\mpfanvqg.dll
O22 - SharedTaskScheduler: Hkjr94jdfdgj - {B5AC49A2-94F2-42BD-F434-2604812C897D} - C:\WINDOWS\System32\hdxjd4g.dll (file missing)
O22 - SharedTaskScheduler: Hjkfj93dffd - {B5AF0562-94F3-42BD-F434-2604812C797D} - C:\WINDOWS\System32\djki397g.dll (file missing)
O23 - Service: Google Online Services - Unknown owner - C:\Documents and Settings\qqq\ie_updates3r.exe
O23 - Service: Ïëàíèðîâùèê çàäàíèé (Schedule) - Unknown owner - C:\WINDOWS\system32\drivers\spools.exe (file missing)[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт- Нажать кнопку "Запустить".
[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{FFFFFFFF-85A3-452b-B7A8-759AD9B42162}');
QuarantineFile('gwin32.dll','');
DelBHO('{F2F2A4CB-DAAD-4D0C-BDFC-E945647202C2}');
DelBHO('{D2E5FE60-C0CB-4FC5-93D5-9736FA10A01B}');
DelBHO('{C1E6D2CA-9F1D-44CC-8908-80532F3F9FCB}');
DelBHO('{B5AF0562-94F3-42BD-F434-2604812C797D}');
DelBHO('{B5AC49A2-94F2-42BD-F434-2604812C897D}');
QuarantineFile('C:\WINDOWS\system32\wmcstd32.dll','');
DelBHO('{97182737-4655-64C7-8730-2921803F7A9D}');
DelBHO('{240A2128-ACD4-4124-87AF-527124CAAC38}');
QuarantineFile('realsched.exe','');
QuarantineFile('opnmMdby.dll','');
QuarantineFile('kdzwk.exe','');
QuarantineFile('crypts.dll','');
QuarantineFile('Explorer.exe C:\Documents and Settings\qqq\Рабочий стол\kttw472.exe','');
QuarantineFile('C:\WINDOWS\vbksrofa.dll','');
QuarantineFile('C:\WINDOWS\mrofinu27.exe','');
QuarantineFile('C:\WINDOWS\System32\wf2kcpl.dll','');
QuarantineFile('C:\WINDOWS\System32\vedxg6ame4.exe','');
QuarantineFile('C:\WINDOWS\System32\maxpaynow1.exe','');
QuarantineFile('C:\WINDOWS\System32\hdxjd4g.dll','');
QuarantineFile('C:\WINDOWS\System32\djki397g.dll','');
QuarantineFile('C:\DOCUME~1\qqq\LOCALS~1\Temp\winlagon.exe','');
QuarantineFile('C:\DOCUME~1\qqq\LOCALS~1\Temp\csrssc.exe','');
StopService('TSP');
DeleteService('TSP');
SetServiceStart('TSP', 4);
StopService('qandr');
DeleteService('qandr');
SetServiceStart('qandr', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\kbd.sys','');
StopService('Multimedia Sound Driver');
DeleteService('Multimedia Sound Driver');
SetServiceStart('Multimedia Sound Driver', 4);
StopService('kbd');
DeleteService('kbd');
SetServiceStart('kbd', 4);
StopService('klstm');
DeleteService('klstm');
SetServiceStart('klstm', 4);
StopService('ids0005c');
DeleteService('ids0005c');
SetServiceStart('ids0005c', 4);
StopService('ids00026');
DeleteService('ids00026');
SetServiceStart('ids00026', 4);
QuarantineFile('C:\WINDOWS\system32\drivers\spools.exe','');
StopService('Schedule');
DeleteService('Schedule');
SetServiceStart('Schedule', 4);
QuarantineFile('Umh31.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\arusvmgo.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\acemk32l.SYS','');
QuarantineFile('C:\WINDOWS\System32\upvwymes.dll','');
QuarantineFile('C:\WINDOWS\System32\opnmMdby.dll','');
QuarantineFile('C:\WINDOWS\mpfanvqg.dll','');
QuarantineFile('C:\WINDOWS\herjek.exe','');
QuarantineFile('C:\WINDOWS\fvowketqksn.dll','');
QuarantineFile('C:\Documents and Settings\qqq\ie_updates3r.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll','');
QuarantineFile('c:\autoex.dll','');
TerminateProcessByName('c:\documents and settings\qqq\ie_updates3r.exe');
TerminateProcessByName('c:\windows\herjek.exe');
QuarantineFile('c:\windows\herjek.exe','');
DeleteFile('c:\windows\herjek.exe');
DeleteFile('c:\documents and settings\qqq\ie_updates3r.exe');
DeleteFile('c:\autoex.dll');
DeleteFile('C:\Documents and Settings\All Users\Документы\Settings\partnership.dll');
DeleteFile('C:\Documents and Settings\qqq\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\fvowketqksn.dll');
DeleteFile('C:\WINDOWS\herjek.exe');
DeleteFile('C:\WINDOWS\mpfanvqg.dll');
DeleteFile('C:\WINDOWS\System32\opnmMdby.dll');
DeleteFile('C:\WINDOWS\System32\upvwymes.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\acemk32l.SYS');
DeleteFile('C:\WINDOWS\System32\Drivers\arusvmgo.SYS');
DeleteFile('Umh31.sys');
DeleteFile('C:\WINDOWS\system32\drivers\spools.exe');
DeleteFile('C:\WINDOWS\system32\drivers\kbd.sys');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal\5.0\bases\klstm.sys');
DeleteFile('C:\DOCUME~1\qqq\LOCALS~1\Temp\soundmgr.sys');
DeleteFile('C:\WINDOWS\system32\drivers\qandr.sys');
DeleteFile('C:\WINDOWS\system32\drivers\klif.sys');
DeleteFile('C:\DOCUME~1\qqq\LOCALS~1\Temp\csrssc.exe');
DeleteFile('C:\DOCUME~1\qqq\LOCALS~1\Temp\winlagon.exe');
DeleteFile('C:\Documents and Settings\qqq\cftmon.exe');
DeleteFile('C:\WINDOWS\System32\djki397g.dll');
DeleteFile('C:\WINDOWS\System32\hdxjd4g.dll');
DeleteFile('C:\WINDOWS\System32\maxpaynow1.exe');
DeleteFile('C:\WINDOWS\System32\vedxg6ame4.exe');
DeleteFile('C:\WINDOWS\System32\wf2kcpl.dll');
DeleteFile('C:\WINDOWS\System32\wind32.exe');
DeleteFile('C:\WINDOWS\mrofinu27.exe');
DeleteFile('C:\WINDOWS\vbksrofa.dll');
DeleteFile('Explorer.exe C:\Documents and Settings\qqq\Рабочий стол\kttw472.exe');
DeleteFile('crypts.dll');
DeleteFile('kdzwk.exe');
DeleteFile('opnmMdby.dll');
DeleteFile('realsched.exe');
DeleteFile('C:\WINDOWS\system32\wmcstd32.dll');
DeleteFile('C:\WINDOWS\System32\awTMFvww.dll');
DeleteFile('gwin32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Пришите карантин и повторите логи.
18.05.2008, 19:37
vlfil64

Спасибо за помощь!

Все сделал,
файлы в приложении.
Карантин прислать не смог:
[B]virus.zip[/B]:
Ваш файл занимает 1.24 Мбайт байт, что превышает предел на форуме в 976.6 Кбайт для этого типа файла.
-----------------------------------------------------------------------
И вопрос по второму компу (ноутбук)
Подключал к сети во время лечения первого.
Видимо, тоже вирус.
Не работает антивирус Avira Antivir и не могу запустить avz.
Пробовал переименовывать файл и директорию, запускал из bat:
результат один: это не приложение win32
Комп в защищенном режиме перестал запускаться:
несколько секунд идет запуск, потом синий экран и снова перезагрузка...
Как запустить AVZ?
18.05.2008, 19:42
drongo

Карантин прислать ! -> [url]http://virusinfo.info/upload_virus.php?tid=23005[/url]
18.05.2008, 19:51
Rene-gad

[QUOTE=vlfil64;228613]
И вопрос по второму компу (ноутбук)[/QUOTE] .... задайте в новом топике
Отключите ПК от сети.
Отключите антивирус.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт- Нажать кнопку "Запустить".
[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{98900505-B0C5-4960-B948-B013900B016F}');
DelBHO('{240A2128-ACD4-4124-87AF-527124CAAC38}');
QuarantineFile('Explorer.exe C:\Documents and Settings\qqq\Рабочий стол\kttw472.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlagon.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\aeev88cr.SYS','');
QuarantineFile('C:\WINDOWS\System32\Drivers\a0pdpyio.SYS','');
QuarantineFile('Umh31.sys','');
DeleteFile('Umh31.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\a0pdpyio.SYS');
DeleteFile('C:\WINDOWS\System32\Drivers\aeev88cr.SYS');
DeleteFile('C:\WINDOWS\TEMP\winlagon.exe');
DeleteFile('C:\Documents and Settings\qqq\Рабочий стол\kttw472.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Пришите карантин и повторите логи.
ПС: Готовьтесь к окопной и долгой войне. Лечить непатченную систему - всё равно, что носить воду в решете.

[size="1"][color="#666686"][B][I]Добавлено через 39 секунд[/I][/B][/color][/size]

[QUOTE=drongo;228614]Карантин прислать ! -> [url]http://virusinfo.info/upload_virus.php?tid=23005[/url][/QUOTE]
[QUOTE]Ваш файл занимает 1.24 Мбайт байт, что превышает предел на форуме в 976.6 Кбайт для этого типа файла.
[/QUOTE] 8)
Карантин пришлите мне на мыло - Пришлю в личку.
18.05.2008, 19:58
vlfil64

карантин отправил по ссылке в запросе drongo (см. выше)
18.05.2008, 20:00
Rene-gad

[QUOTE=vlfil64;228621]карантин отправил по ссылке в запросе drongo (см. выше)[/QUOTE]
Интересно, а почему раньше не помещался?
18.05.2008, 20:55
vlfil64

Вложений: 3

Провел очередное лечение.
файлы в приложении
18.05.2008, 21:07
V_Bond

[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]скачайте [/URL] C:\WINDOWS\System32\Drivers\Umh31.sys - force delete
выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{46CDB56D-13F8-4D9C-9550-D9CD5C19ADBA}');
QuarantineFile('C:\WINDOWS\System32\AgDPanelKorean.dll','');
QuarantineFile('asc3550p.sys','');
BC_DeleteSvc('asc3550p');
QuarantineFile('Umh31.sys','');
DeleteFile('Umh31.sys');
BC_DeleteSvc('Umh31');
DeleteFile('asc3550p.sys');
DeleteFile('C:\WINDOWS\System32\AgDPanelKorean.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ..
повторите логи ...
18.05.2008, 22:37
vlfil64

Вложений: 3

в приложении логи.
Карантин отправил.
18.05.2008, 22:50
V_Bond

АВЗ-Мастер поиска и устранения проблем - вібрать все устранить ...
пофиксите ...
[code]
O9 - Extra button: (no name) - SolidConverterPDF - (no file) (HKCU)
O9 - Extra button: Trashcan - {072F3B8A-2DA2-40e2-B841-88899F240200} -
O20 - Winlogon Notify: crypt - C:\WINDOWS\
O20 - Winlogon Notify: opnmMdby - C:\WINDOWS\
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
[/code]
выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\grande48.sys','');
QuarantineFile('c:\program files\viewpoint\common\viewpointservice.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\grande48.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ..
повторите логи ...
19.05.2008, 10:28
kps

autoex.dll - [B]not-a-virus:AdWare.Win32.BHO.ajq[/B]
fvowketqksn.dll - [B]Trojan.Win32.Vapsup.fiu[/B],
mpfanvqg.dll - [B]Trojan.Win32.Vapsup.fiv[/B]
kdzwk.exed - [B]Trojan.Win32.Monder.gen[/B],
opnmMdby.dll - [B]Trojan.Win32.Inject.cac[/B],
partnership.dll - [B]Trojan-Proxy.Win32.Xorpix.ec[/B]

154B1027.exed, 501386.msid, a0pdpyio.SYS, MusicBrainz_FetchCD.dll, wf2kcpl.dll
Вредоносный код в файлах не обнаружен.

AgDPanelKorean.dll - повреждён.
19.05.2008, 18:58
vlfil64

Вложений: 3

Провел лечение.
Логи в приложении.
Карантин отправил.
19.05.2008, 19:02
V_Bond

все давно убиты ... ;)
19.05.2008, 19:24
vlfil64

Большое спасибо!!!
22.02.2009, 05:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]43[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autoex.dll - [B]not-a-virus:AdWare.Win32.BHO.ajq[/B] (DrWEB: Trojan.DownLoader.59758)[*] c:\\documents and settings\\all users\\документы\\settings\\partnership.dll - [B]Trojan-Proxy.Win32.Xorpix.ec[/B] (DrWEB: BackDoor.Bech.45)[*] c:\\windows\\fvowketqksn.dll - [B]Trojan.Win32.Vapsup.fiu[/B] (DrWEB: Trojan.Popuper.5969)[*] c:\\windows\\mpfanvqg.dll - [B]Trojan.Win32.Vapsup.fiv[/B] (DrWEB: Trojan.Popuper.5968)[*] c:\\windows\\system32\\drivers\\grande48.sys - [B]Rootkit.Win32.Agent.aih[/B] (DrWEB: Trojan.Sentinel)[*] c:\\windows\\system32\\kdzwk.exe - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.based.14)[*] c:\\windows\\system32\\opnmmdby.dll - [B]Trojan.Win32.Inject.cac[/B] (DrWEB: Trojan.Cipher.137)[/LIST][/LIST]