Система поражена вирусом. Не могу избавиться.

Printable View

26.05.2008, 11:49
Akula_Alex

Система поражена вирусом. Не могу избавиться.

На компьютере стоит основная рабочая система Win XP SP2, также для изучения второй системой установлена Vista 32 битная.
Вчера обратил внимание, что загрузка процессора в обычном состоянии, при незапущенных программах составляет 50-70 процентов.
Стоявший в системе Доктор Веб запуститься отказался, сообщив, что не является приложением Win32, кроме того все флеш носители стали поражаться вирусом autorun Win32 HLLM. Beagle.220
Прочитал правила на этом сайте, скачал и Dr.Web Cureit и AVZ и HijackThis. Ни одна из этих программ не запускается под зараженной системой. AVZ сообщает, что не является приложением WIN32, остальные, проработав 3-7 секунд просто вырубаются, не начав проверки. Кроме того из Свойств папки вообще исчезла опция "Показывать скрытые файлы и папки".
В защищенном режиме F8 WIN XP, не загрузившись, выпадает в синий экран.
Осталась надежда убрать вирусню из под Висты.
Dr.Web Cureit сообщил, что найдены три вируса в System 32\ drivers
hldrrr.exe (Win32 HLLM. Beagle.220)
mdelk.exe (Win32 HLLM. Beagle.220)
srosa.sys (Win32 HLLM. Beagle.219)
и удалил эти три вируса.
Сканирование диска C (где установлена XP) из под Висты последовательно Dr.Web, Касперским и НОД 32 больше ничего не обнаружили. После перезагрузки и загрузке WIN XP проблема та же самая, в скрытых процессах обнаруживается hldrrr.exe
и ни один антивирус не устанавливается и не запускается. Убить процесс hldrrr.exe не получается. Загрузка двухядерного процессора 2.4 ггц составляет так же 55-70 процентов при неработающих видимых программах.

Помогите, как избавиться от заразы, не переустанавливая систему?
(Слишком много уйдет на восстановление полное (около недели).
У меня нет этого времени сейчас!)
26.05.2008, 11:58
Гриша

Скачать эту версию [URL="http://depositfiles.com/en/files/5384977"]AVZ [/URL],она уже переименованна.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]

Логи будут сохранены: B_d.txt и boot_clr_B_d.log от Бутклинера в папке AVZ+сделайте логи по правилам и прекрепите все к следующему сообщению.
26.05.2008, 14:27
Akula_Alex

Вложений: 1

Большое спасибо, вирусня и признаки исчезли, после того, как выполнил действия выше описанные.
Из логов нашел только один, который прикрепляю.
26.05.2008, 14:35
kps

Выполните такой скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportDeletedList;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Компьютер перезагрузится, сделайте новые логи по правилам и прикрепите их, еще прикрепите B_d.txt и boot_clr_B_d.log из папки AVZ.
26.05.2008, 16:18
Akula_Alex

Вложений: 3

Выполнил следующие пункты, согласно правилам, прилагаю отчеты и логи!
26.05.2008, 16:26
Гриша

Червь применил свой фокус с автозагрузкой.

[URL="http://virusinfo.info/showthread.php?t=7239"]
AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\ESET\ESET Smart Security\egui.exe','');
QuarantineFile('C:\Program Files\Unlocker\UnlockerAssistant.exe','');
QuarantineFile('C:\WINDOWS\system32\fireface.exe','');
QuarantineFile('C:\WINDOWS\System32\JMRaidTool.exe','');
QuarantineFile('C:\Program Files\WIBUKEY\H2O\CXWibu.exe','');
QuarantineFile('C:\Program Files\VisualTaskTips\VisualTaskTips.exe','');
QuarantineFile('C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe','');
QuarantineFile('C:\Program Files\Stardock\ObjectDock\ObjectDock.exe','');
QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
DeleteService('System Scheduler');
DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('System Scheduler ');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:[url]http://virusinfo.info/upload_virus.php?tid=23427[/url]
26.05.2008, 16:37
Akula_Alex

Не понял, простите! Еще не все что-ли? В этом скрипте указаны рабочие и важные эксешники для моей системы, они что поражены червем? Если их в карантин убирать, то как потом? снова переустанавливать все указанные в скрипте программы?
26.05.2008, 16:39
kps

Карантин - это всего лишь снятие копии файлов. Это файлы вообще не трогает.
А подменил ли их червь - мы проверим.
26.05.2008, 16:55
Akula_Alex

Отправил файл карантина, согласно [url]http://virusinfo.info/upload_virus.php?tid=23427[/url]
Правда файлик у меня был с расширением *.rar, Zip архиватора нет в моей системе, пришлось переименовать расширение для отправки.

Да, кстати, червь убрал из Свойств папки опцию "Показать скрытые фалы и папки", она так и не появилась. Можно ли ее восстановить?
26.05.2008, 17:35
kps

Чисто, Вы просто не выполнили скрипт из поста номер 4 перед созданием логов, правильно?
Выполните его, прикрепите логи B_d.txt и boot_clr_B_d.log из папки AVZ и новые логи по правилам.
По поводу скрытых файлов обязательно поможем, когда прикрепите логи.
26.05.2008, 18:18
Akula_Alex

Вложений: 5

Сделал, как положено. Запустил Скрипт из 4-го топика, и повторил снятие логов, согласно правилам!
26.05.2008, 18:23
Гриша

Вот скрипт для безопасного режима и отображения скрытых файлов:

[CODE]begin
ExecuteRepair(6 );
ExecuteRepair(8 );
ExecuteRepair(10 );
RebootWindows(true);
end.[/CODE]

Жалобы есть?
26.05.2008, 20:51
Akula_Alex

Последняя проблема осталась, опция показать или не показать скрытые файлы и папки
в меню "сервис" -"свойства папки" - "вид" так и не появилась, даже после последнего скрипта и перезагрузки. Есть еще варианты , как вернуть на место опцию?
26.05.2008, 21:17
V_Bond

а если такой скрипт ?
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(10);
RebootWindows(true);
end.
[/code]
27.05.2008, 12:22
Akula_Alex

Дак мне уже давали этот скрипт в 12 топике, не помогло, опция не появилась!
27.05.2008, 12:33
kps

Скачайте архив отсюда [url]http://www.uploading.com/files/LECRN2GM/r1.rar.html[/url]
Распакуйте, запустите r1.reg, добавьте информацию в реестр, перезагрузите компьютер, проблема со скрытыми файлами пропала?
27.05.2008, 13:00
Akula_Alex

На этот раз все заработало и появилось!
Огромное спасибо, приятно работать с профессионалами!!!
22.02.2009, 05:31
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]0[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]