Win32.HLLM.Beagle. Flec006.exe-ошибка, setup-обнаружена ошибка

Printable View

01.06.2008, 12:35
Winter

Вложений: 3

Win32.HLLM.Beagle. Flec006.exe-ошибка, setup-обнаружена ошибка

Добрый день.

После перезагрузки системы постоянно вылетают сообщения:
setup -обнаружена ошибка. приложение будет закрыто и flec006.exe -обнаружена ошибка приложение будет закрыто.
При запуске некоторых програм компьютер моментально перезагружается.

При сканировании DrWeb - CureIT! находит следующее win32.HLLM.Beagle и Trojan.PWS.Kone.2 которые вроде бы лечит.
После перезагрузки все повторяется. Перегрузить систему в безопасном режиме не удается.
AVZ - скачаный по ссылке в теме "Правила" запустить не удалось. Запустил его только скачав файл 60.com по ссылке
в теме "не запускается касперский"

Помогите пожалуйста разобраться.
01.06.2008, 13:05
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
QuarantineFile('C:\WINDOWS\system32\nwiz.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\Program Files\iTunes\iTunesHelper.exe','');
QuarantineFile('C:\Program Files\Winamp\winampa.exe','');
QuarantineFile('C:\Program Files\K-Lite Codec Pack\QuickTime\qttask.exe','');
QuarantineFile('C:\Program Files\Auth\inet.exe','');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=23827[/url] ).

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".

Очистите временные папки и кеш браузера.
Сделайте новые логи и прикрепите еще: B_d.txt и boot_clr_B_d.log из папки AVZ.
01.06.2008, 13:55
Winter

Вложений: 4

Карантин отправил
Файл сохранен как 080601_042622_virus_48426b3e893db.zip
01.06.2008, 14:03
Winter

Спаасибо!!!

СПАСИБО ОГРОМНОЕ!!! все заработало :D
01.06.2008, 14:19
kps

Выполните такой скрипт в AVZ:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\m\flec006.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\m\flec006.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end. [/code]

Компьютер перезагрузится.
Пришлите карантин.
Сделайте новые логи и прикрепите еще: B_d.txt и boot_clr_B_d.log
01.06.2008, 17:30
Winter

Вложений: 4

карантин отправил
[FONT=&quot]Файл[/FONT][FONT=&quot]сохранён[/FONT][FONT=&quot]как[/FONT][FONT=&quot] 080601_082515_virus_4842a33b98a17.zip
логи прикрепил
еше раз, спасибо :)
[/FONT]
01.06.2008, 21:05
kps

Выполните скрипт из поста номер 5 еще раз (а не скрипт из поста номер 2). И прикрепите все логи, как и прежде.
Bonjour лучше удалить.
01.06.2008, 21:36
Winter

Вложений: 4

выполнил скрипт из поста номер 5
логи прилагаются.
вопрос. извините непонял про Bonjour.
01.06.2008, 21:51
kps

Про Bonjour можете почитать здесь:
[url]http://forum.rudtp.ru/showthread.php?t=29833[/url]
Если захотите удалить - поищите его в установке/удалении программ.

В логах чисто. Есть проблемы с загрузкой в безопасном режиме и показом скрытых файлов?
01.06.2008, 22:03
Winter

[B]спасибо огромное, вы мне очень сильно помогли!
[/B]с Bonjour постараюсь разобраться :)

проверил. в безопасном режиме так и не удается загрузиться (
обычно как файл менеджер использую FAR проблем со скрытыми файлами небыло. сейчас обратил внимание что в проводнике скрытые файлы не отображаются хотя в настройках указано что должны.
01.06.2008, 22:17
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(10);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.
[/code]

Компьютер перезагрузится.
Проверьте наличие проблем с безопасным режимом и скрытыми файлами.
01.06.2008, 22:28
Winter

Отлично, в безопасном режиме грузиться! :)
только скрытые файлы видит только FAR
01.06.2008, 22:31
kps

Скачайте архив отсюда [url]http://www.uploading.com/files/LECRN2GM/r1.rar.html[/url]
Распакуйте, запустите r1.reg, добавьте информацию в реестр, перезагрузите компьютер, проблема со скрытыми файлами пропала?
01.06.2008, 22:39
Winter

[B]все работает просто замечательно!!![/B]
все работает просто отлично!!!
тысячи благодарностей! :D
01.06.2008, 22:45
kps

Рекомендуется выполнить пункт 2 правил (CureIt!).
Если больше проблем нет:
Нам интересно [url=http://virusinfo.info/showthread.php?t=19883]Ваше мнение[/url] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать электронную [url=http://security-advisory.virusinfo.info/]книгу[/url] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 05:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]62[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\hldrrr.exe - [B]Trojan-Downloader.Win32.Bagle.qv[/B] (DrWEB: Win32.HLLM.Beagle.219)[*] c:\\windows\\system32\\drivers\\mdelk.exe - [B]Trojan-Downloader.Win32.Bagle.qv[/B] (DrWEB: Win32.HLLM.Beagle.219)[*] c:\\windows\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.mm[/B] (DrWEB: Win32.HLLM.Beagle.219)[*] c:\\windows\\system32\\mdelk.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[*] c:\\windows\\system32\\wintems.exe - [B]Email-Worm.Win32.Bagle.of[/B] (DrWEB: Win32.HLLM.Beagle)[/LIST][/LIST]