Вирус: не могу запустить AVZ

Printable View

18.05.2008, 22:44
vlfil64

Вирус: не могу запустить AVZ

Не работает антивирус Avira Antivir и не могу запустить avz.
Пробовал переименовывать файл и директорию, запускал из bat:
результат один: это не приложение win32
Комп в защищенном режиме перестал запускаться:
несколько секунд идет запуск, потом синий экран и снова перезагрузка...
Как можно запустить AVZ?
Спасибо!
18.05.2008, 22:51
V_Bond

скачайте [URL="http://slil.ru/25800255"]этот [/URL] авз .... он уже переименован(обновлять не нужно) ... и сделайте логи ....
19.05.2008, 23:11
vlfil64

Вложений: 2

Логи в приложении.
hijackthis не запускается...
19.05.2008, 23:15
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\nideiect.com','');
QuarantineFile('H:\autorun.inf','');
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\nideiect.com');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]

Логи будут сохранены: B_d.txt и boot_clr_B_d.log от Бутклинера в папке AVZ прикрепите их к сообщению и повторите логи по правилам.
20.05.2008, 19:53
vlfil64

Вложений: 4

Сделал.
Логи в приложении.
hijackthis не запускается.
20.05.2008, 19:59
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\nideiect.com','');
QuarantineFile('H:\autorun.inf','');
QuarantineFile('C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe','');
QuarantineFile('C:\Program Files\Intel\Wireless\Bin\LgNotify.dll','');
QuarantineFile('C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe','');
QuarantineFile('C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe','');
QuarantineFile('C:\Program Files\Microsoft Reference\Microsoft Bookshelf 3.0\qshelf.exe','');
QuarantineFile('C:\Program Files\gcauthc\gcauthc.exe','');
QuarantineFile('C:\Program Files\iTunes\iTunesHelper.exe','');
QuarantineFile('c:\sysprep\patch\sysprep.cmd','');
QuarantineFile('C:\WINDOWS\system32\drivers\hldrrr.exe','');
QuarantineFile('C:\WINDOWS\system32\bgspmnt.dll','');
QuarantineFile('c:\program files\justsystem\jslib32\jsqsf32.exe','');
DeleteFile('C:\WINDOWS\system32\drivers\hldrrr.exe');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\nideiect.com');
BC_Importall;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
20.05.2008, 20:15
vlfil64

Вложений: 1

hijackthis запустил. Лог в приложении.
Скрипт выполнил.

Карантин отправил.
Там присутствуют файлы с флешки (была заражена - с этим уже справился)
20.05.2008, 21:31
Гриша

Чтобы наверняка:)по карантину подождем ответа аналитиков

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('H:\autorun.inf');
DeleteFile('H:\nideiect.com');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
ExecuteRepair(10 );
RebootWindows(true);
end.[/CODE]

Логи будут сохранены: B_d.txt и boot_clr_B_d.log от Бутклинера в папке AVZ прикрепите их к сообщению и повторите логи по правилам.
20.05.2008, 22:11
vlfil64

Вложений: 5

логи в приложении...
20.05.2008, 22:21
Гриша

Как система?
20.05.2008, 23:14
vlfil64

В защищенном режиме грузится.
Однако антивирус и авз (не переименованный) не запускаются.

Антивирус пытался переинсталлировать... Не запускается.
Та же ошибка " это не приложение win32"
20.05.2008, 23:25
kps

AVZ удалите и скачайте заново, он запустится ?

Похоже червь применил свой трюк с Run
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('c:\sysprep\patch\sysprep.cmd','');
QuarantineFile('C:\Program Files\iTunes\iTunesHelper.exe','');
QuarantineFile('C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe','');
QuarantineFile('C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe','');
QuarantineFile('C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=23046[/url] ).
Сделайте лог по пункту 10 правил.
21.05.2008, 19:36
vlfil64

Вложений: 1

Новый AVZ запускается.
Лог и карантин отправил.
21.05.2008, 19:52
kps

Если запускается - значит активного червя нет.
Присланные файлы, должно быть, чистые.
Все, что у Вас из защитных программ не запускается - надо удалить и скачать/установить заново, дело в том, что червь повреждает файлы защитных программ будучи активным.

Выполните на всякий случай пункт 2 правил (полная проверка CureIt!).
22.05.2008, 10:34
vlfil64

Переустановил антивирус.
Все работает!
Спасибо за помощь!!!
22.02.2009, 05:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]58[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.ni[/B] (DrWEB: Win32.HLLM.Beagle.206)[*] c:\\windows\\system32\\drivers\\mdelk.exe - [B]Trojan-Downloader.Win32.Bagle.ni[/B] (DrWEB: Win32.HLLM.Beagle.206)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.mm[/B] (DrWEB: Win32.HLLM.Beagle.219)[*] h:\\autorun.inf - [B]Trojan-GameThief.Win32.Nilage.bvl[/B] (DrWEB: Win32.HLLW.Autoruner.1020)[*] h:\\nideiect.com - [B]Trojan-Downloader.Win32.Bagle.ni[/B] (DrWEB: Win32.HLLM.Beagle.206)[/LIST][/LIST]