после установки нового антивируса одолели вирусы

Printable View

21.07.2008, 16:01
msi

Вложений: 3

после установки нового антивируса одолели вирусы

Установил новый антивирус.Он нашел пару десятков вирусов.Справиться с ними не может и не дает работать,приходиться постоянно еге отключать.В целом компюьтер работает, но сильно тормозит.

Антивирус находит TR/Dldr.Agent, но ничего с ним сделать не может
21.07.2008, 16:36
Гриша

Отключите антивирус и интернет!

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]

[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\regwiz.exe,
O4 - HKCU\..\Run: [Firewall auto setup] C:\WINDOWS\TEMP\winlogon.exe
O4 - HKCU\..\Run: [herjek] C:\WINDOWS\herjek.exe
O4 - HKCU\..\Run: [amva] C:\WINDOWS\system32\amvo.exe
O4 - HKUS\S-1-5-18\..\Run: [herjek] C:\WINDOWS\herjek.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [totacon] C:\WINDOWS\totacon.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [herjek] C:\WINDOWS\herjek.exe (User 'Default user')
O17 - HKLM\System\CCS\Services\Tcpip\..\{646E2D26-0C7A-454C-837C-C4B1F8DDA2DB}: NameServer = 85.255.116.94,85.255.112.62
O17 - HKLM\System\CCS\Services\Tcpip\..\{A9B6E160-8512-465D-99EE-73F3DC5EBBE9}: NameServer = 192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.62
O17 - HKLM\System\CS1\Services\Tcpip\..\{646E2D26-0C7A-454C-837C-C4B1F8DDA2DB}: NameServer = 85.255.116.94,85.255.112.62
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.94 85.255.112.62
O19 - User stylesheet: C:\WINDOWS\387667.css
O20 - Winlogon Notify: WinCtrl - C:\WINDOWS\SYSTEM32\WinCtrl.dll[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\amvo1.dll','');
QuarantineFile('globalroot\systemroot\system32\drivers\clbdriver.sys','');
QuarantineFile('C:\WINDOWS\twain_16.dll','');
QuarantineFile('kdkpr.exe','');
QuarantineFile('WinCtrl.dll','');
QuarantineFile('C:\WINDOWS\totacon.exe','');
QuarantineFile('C:\WINDOWS\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\WINDOWS\herjek.exe','');
QuarantineFile('C:\WINDOWS\TEMP\winlogon.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Uaf84.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\runtime2.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\msthreat.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl.dll','');
QuarantineFile('C:\WINDOWS\system32\msthreat.dll','');
QuarantineFile('C:\WINDOWS\system32\baseiolg32.dll','');
DeleteService('runtime2');
DeleteService('kprof');
DeleteService('Uaf84');
DeleteService('Secdrv');
DeleteService('tcpsr');
DeleteFile('C:\WINDOWS\system32\baseiolg32.dll');
DeleteFile('C:\WINDOWS\system32\msthreat.dll');
DeleteFile('C:\WINDOWS\system32\WinCtrl.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\dump_WMILIB.SYS');
DeleteFile('C:\WINDOWS\system32\kprof');
DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\secdrv.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\system32\drivers\msthreat.sys ');
DeleteFile('C:\WINDOWS\System32\Drivers\Uaf84.sys');
DeleteFile('C:\WINDOWS\TEMP\winlogon.exe');
DeleteFile('C:\WINDOWS\herjek.exe');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\WINDOWS\totacon.exe');
DeleteFile('WinCtrl.dll');
DeleteFile('kdkpr.exe');
DeleteFile('globalroot\systemroot\system32\drivers\clbdriver.sys');
DeleteFile('C:\WINDOWS\system32\amvo1.dll');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile(' C:\WINDOWS\system32\kdkpr.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('runtime2 ');
BC_DeleteSvc('kprof ');
BC_DeleteSvc('Uaf84 ');
BC_DeleteSvc('Secdrv ');
BC_DeleteSvc('tcpsr ');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

Пришлите карантин по правилам и повторите логи...
22.07.2008, 08:45
msi

Вложений: 3

уже есть изменения
22.07.2008, 09:15
V_Bond

C:\WINDOWS\system32\userinit.exe - Trojan.Win32.Pakes.ddu нужно заменить на чистый ...
выполните скрипт ...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\twain_16.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\Userinit.exe','');
DeleteService('qqd.sys');
QuarantineFile('C:\qqd.sys','');
DeleteService('poof');
QuarantineFile('C:\WINDOWS\system32\poof','');
DeleteFile('C:\WINDOWS\system32\poof');
DeleteFile('C:\qqd.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
22.07.2008, 12:45
msi

если честно не понял что необходимо сделать скрипта

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

извини, вопрос до скрипта
22.07.2008, 13:01
Rene-gad

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL] ;)
22.07.2008, 13:37
msi

готовлю логи

[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]

карантин пуст ,для обнаружения сделал все, сейчас вылетает TR/CRIPT.XPACK.GEN, что делать
22.07.2008, 13:43
Rene-gad

Замените файл C:\WINDOWS\system32\userinit.exe файлом с дистрибутива или из папки C:\WINDOWS\ServicePackFiles\i386. Нужно загрузиться с любого LIVE-CD и заменить.
Потом сделайте логи по правилам.
22.07.2008, 14:31
msi

Вложений: 3

все указанное сделал,высылаю логи
22.07.2008, 14:47
Rene-gad

В логах чисто. Как работает система? Нужно установить Сервис Пак 3.
22.07.2008, 15:12
msi

Сканирую диски ....по результатам видно будет
22.07.2008, 15:18
Rene-gad

[QUOTE=msi;258130]Сканирую диски ...[/QUOTE]Чем сканируете?
22.07.2008, 15:20
msi

смущает в ветке run реестра параметр
KernelFaultCheck со значением %systemroot%\system32\dumprep 0 -k

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

Avir Antivir

[size="1"][color="#666686"][B][I]Добавлено через 44 секунды[/I][/B][/color][/size]

Странно но DrWeb до вообще ничего не находил
22.07.2008, 15:25
Rene-gad

По порядку:
1. [CODE]%systemroot%\system32\dumprep 0 -k[/CODE] - можно пофиксить, чтобы не смущал. Это дамп от Др.Ватсона.
[QUOTE]2. Avir Antivir...Странно но DrWeb до вообще ничего не находил [/QUOTE]
Ничего странного: Детект у Авиры намного лучше, хотя и ложняков много. Если какие-то файлы Авира задетектит, как вирус, а Вы в этом сомневаетесь, закачайте их тут: [url]http://analysis.avira.com/samples/index.php[/url]
22.07.2008, 15:29
Rene-gad

[QUOTE=msi;258139]TR/Agent.gnw Trojan -Avir нашел
WORM/zhelatin.yw[/QUOTE]
В каких файлах нашел? Плиз эти файлы закачайте по приложению 2 и 3 правил.
Сканлог Авиры прикрепите после окончания скана к сообщению.
22.07.2008, 15:51
msi

TR/Agent.gnw Trojan -Avir нашел

[size="1"][color="#666686"][B][I]Добавлено через 53 секунды[/I][/B][/color][/size]

WORM/zhelatin.yw

RKT/clbd.bj

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

если честно не пойму как сформировать карантин
из файлов которые Avir нашел

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

log avir выслал посмотреть
карантин из файлов по списку не удается сфорсировать-avz пишет ошибка прямого чтения

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

"сфорсировать"- сформировать :-)
22.07.2008, 15:55
Rene-gad

[QUOTE=msi;258143]если честно не пойму как сформировать карантин
из файлов которые Avir нашел[/QUOTE]эти файлы переименованы и находятся в папке Quarantine где-то в папке Авиры - читайте мануал ;)
[QUOTE=msi;258143]log avir выслал посмотреть[/QUOTE]Кому? :> Читайте что и как высылать в моих предыдущих сообщениях.
22.07.2008, 15:57
PavelA

AVZ - Сервис - Поиск файлов на диске - Найти файлы в карантине Авиры и добавить их в карантин AVZ
Затем зархивировать и прислать.
23.07.2008, 09:46
msi

авир справился с последними проблемами,как выразить вам благодарность за оказанную помощь?
22.02.2009, 06:41
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]50[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.ehx[/B][*] c:\\windows\\system32\\amvo1.dll - [B]Trojan-GameThief.Win32.OnLineGames.sisd[/B] (DrWEB: Trojan.Nsanti.Packed)[*] c:\\windows\\system32\\kdkpr.exe - [B]Trojan.Win32.Monder.gen[/B] (DrWEB: Trojan.Virtumod.based.14)[*] c:\\windows\\system32\\userinit.exe - [B]Trojan.Win32.Pakes.ddu[/B] (DrWEB: Trojan.PWS.FTPlich.2)[*] c:\\windows\\system32\\winctrl.dll - [B]Trojan.Win32.Inject.dki[/B] (DrWEB: Trojan.Inject.4604)[*] c:\\windows\\totacon.exe - [B]Email-Worm.Win32.Zhelatin.za[/B] (DrWEB: Trojan.Packed.468)[*] d:\\autorun.inf - [B]Worm.Win32.AutoRun.ehx[/B][/LIST][/LIST]