Вирус winNT32.dll Потеря траффика

Printable View

01.08.2008, 16:01
Exciter

Вирус winNT32.dll Потеря траффика

прошу помочь в лечении от вируса, т.к. обычным путем его устранить не получается
Компьютер отправляет много пакетов данных и съедает много траффика
01.08.2008, 16:19
V_Bond

отключите восстановление системы !!!
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]
C:\WINDOWS\System32\drivers\Dsi25.sys - - force delete
C:\WINDOWS\system32\Drivers\Xur23.sys -- force delete
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\hnetcfg.dll','');
QuarantineFile('c:\windows\system32\winnt32.dll','');
QuarantineFile('WLCtrl32.dll','');
DeleteService('Xci71');
QuarantineFile('C:\WINDOWS\System32\Drivers\Xci71.sys','');
DeleteService('Tqw62');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tqw62.sys','');
DeleteService('spO15');
QuarantineFile('C:\WINDOWS\System32\Drivers\spO15.sys','');
DeleteService('Sgm23');
QuarantineFile('C:\WINDOWS\System32\Drivers\Sgm23.sys','');
DeleteService('Rxe03');
QuarantineFile('C:\WINDOWS\System32\Drivers\Rxe03.sys','');
DeleteService('Oub47');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ojg82.sys','');
DeleteService('Oeb51');
QuarantineFile('C:\WINDOWS\System32\Drivers\Oeb51.sys','');
DeleteService('Nrx62');
QuarantineFile('C:\WINDOWS\System32\Drivers\Nrx62.sys','');
DeleteService('Ixe08');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ixe08.sys','');
DeleteService('gkQ71');
QuarantineFile('C:\WINDOWS\System32\Drivers\gkQ71.sys','');
DeleteService('Fta36');
QuarantineFile('C:\WINDOWS\System32\Drivers\Fta36.sys','');
DeleteService('Fgm16');
QuarantineFile('C:\WINDOWS\System32\Drivers\Fgm16.sys','');
DeleteService('Cro51');
QuarantineFile('C:\WINDOWS\System32\Drivers\Cro51.sys','');
DeleteService('Bhc82');
QuarantineFile('C:\WINDOWS\System32\Drivers\Bhc82.sys','');
DeleteService('tcpsr');
DeleteService('ServiceLayer');
QuarantineFile('ServiceLayer.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Xur23.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Dsi25.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\Dsi25.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Xur23.sys');
DeleteFile('ServiceLayer.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Bhc82.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Cro51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Fgm16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\gkQ71.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ixe08.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Nrx62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oeb51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ojg82.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Oub47.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Rxe03.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Sgm23.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\spO15.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tqw62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xci71.sys');
DeleteFile('WLCtrl32.dll');
DeleteFile('c:\windows\system32\winnt32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\gkQ71.sys');
DeleteFile('C:\WINDOWS\system32\drivers\spO15.sys');
DeleteFile('C:\WINDOWS\system32\hnetcfg.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласноприложения 3 правил ...
повторите логи ...
01.08.2008, 19:33
Exciter

[QUOTE]C:\WINDOWS\System32\drivers\Dsi25.sys - - force delete
C:\WINDOWS\system32\Drivers\Xur23.sys -- force delete[/QUOTE]
удалил
скрипт выполнил
01.08.2008, 19:46
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - AppInit_DLLs:
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
O20 - Winlogon Notify: WinNt32 - WinNt32.dll (file missing)
O20 - Winlogon Notify: WLCtrl32 - C:\WINDOWS\
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Xur23');
DeleteService('Dsi25');
DeleteService('Fta36');
QuarantineFile('C:\WINDOWS\System32\Drivers\Dsi25.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Xur23.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Fta36.sys','');
QuarantineFile('C:\WINDOWS\system32\mstask.dll','');
DeleteFile('C:\WINDOWS\System32\Drivers\Fta36.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Xur23.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Dsi25.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Xur23');
BC_DeleteSvc('Dsi25');
BC_DeleteSvc('Fta36');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
01.08.2008, 20:58
Exciter

всё сделал, как написали
01.08.2008, 21:02
Rene-gad

[QUOTE=Exciter;262380]всё сделал, как написали[/QUOTE]а еще 2 лога где ? :O
01.08.2008, 21:27
Exciter

эм... по красной ссылке их закачал
значит я не так понял. Где карантин нужно взять?
01.08.2008, 21:38
Гриша

Отключите антивирус и интернет!

[URL="http://www.majorgeeks.com/Icesword_d5199.html"]Скачать[/URL],меню,File,появится аналог проводника,найти:

[CODE]C:\WINDOWS\System32\drivers\tcpsr.sys
C:\WINDOWS\system32\Drivers\Xur23.sys
C:\WINDOWS\system32\Drivers\Dsi25.sys
C:\WINDOWS\system32\WinNt32.dll[/CODE]

правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('tcpsr');
DeleteService('Dsi25');
DeleteFile('C:\WINDOWS\system32\Drivers\Dsi25.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\system32\Drivers\Xur23.sys');
DeleteFile('C:\WINDOWS\system32\WinNt32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('Dsi25');
BC_DeleteSvc('Xur23');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи...
01.08.2008, 21:46
Rene-gad

[QUOTE=Exciter;262397]эм... по красной ссылке их закачал
значит я не так понял. Где карантин нужно взять?[/QUOTE]Читайте правила, плиз, там все написано, их только ЧИТАТЬ надо :)
03.08.2008, 20:52
Exciter

Вложений: 3

после того, как я отчистил темп папки, кэш и корзину антивирус [U]смог[/U] удалить winNT32.dll и
[QUOTE]
C:\WINDOWS\System32\drivers\tcpsr.sys
C:\WINDOWS\system32\Drivers\Dsi25.sys
[/QUOTE]
тоже удалились, но то ли в следствии очистки тем папок, то ли ещё из-за чего-то перестал работать брандмауэр windows и раньше была локальная сеть через Wi-fi, а теперь создать локалку не удаётся.
оставшийся
[QUOTE]C:\WINDOWS\system32\Drivers\Xur23.sys[/QUOTE]
я удалил, как написали

P.S.[QUOTE]1. Нажмите кнопку Пуск и выберите команду Выполнить.
2. В поле Открыть введите regedit и нажмите клавишу ВВОД.
3. Выберите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\VolumeCaches
4. В меню Файл выберите команду Экспорт, нажмите кнопку Рабочий стол, в поле Имя файла введите VolumeCaches и нажмите кнопку Сохранить.

Примечание. В файле VolumeCaches будет храниться резервная копия раздела реестра VolumeCaches. Если после выполнения данной процедуры возникнут проблемы, восстановите информацию в реестре, используя данную резервную копию. Чтобы восстановить раздел реестра VolumeCaches, дважды щелкните файл VolumeCaches.reg, находящийся на рабочем столе, и нажмите кнопку Да.
5. Разверните следующий раздел реестра:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Explorer\VolumeCaches
6. Удалите раздел Compress old files.
7. Закройте редактор реестра.[/QUOTE]
когда появились проблемы с локалкой и брандмауэром пробовал восстановить реестр, но выдаёт ошибку (ошибка при доступе к реестру)
03.08.2008, 21:02
Rene-gad

В логах чисто. Но правила выполнять надо:
[QUOTE]Перед выполнением следующих пунктов (8, 10, 12) закройте свои антивирусные программы, игры, текстовые редакторы и любые другие программы, оставьте запущенным только программу-браузер [/QUOTE]
У Вас - все наоборот.
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]
Систему до Сервис Пак 3 обновите.