AVIRA предумпреждает о вирусах в папке system32

Авира постоянно предупреждает о вирусах в папке windows\system32, файлы меняют имя после каждой перезагрузки.
SpybotS&D блокирует изменения в реестре BHO

Сканирование в безопасном режиме лечилкой от Др.Веб, Авирой, AVZ, и SpybotS&D не решило проблему.

Сканеры находили такие вредоносы:

killfiles 808
IRC chazz 38
Crypt XPACK Gen [trojan]


Авира:

Virus or unwanted program 'TR/Crypt.XPACK.Gen [trojan]'
detected in file 'C:\WINDOWS\system32\cbXNGyAp.dll.


Virus or unwanted program 'TR/Crypt.XPACK.Gen [trojan]'
detected in file 'C:\Documents and Settings\Max\Local Settings\Temporary Internet Files\Content.IE5\B2MJVP30\ico[1].


Иногда блокируются сайты goog.com, virusinfo.info, хотя ругие открываются.

Вы чего - забыли как и что? Напоминаем: [url]http://virusinfo.info/showthread.php?t=1235[/url] :)

Знаю.
Файлы не помещаются, разместил по ссылкам.


[url]http://slil.ru/26038739[/url]
[url]http://slil.ru/26038753[/url]
[url]http://slil.ru/26038724[/url]

Отключите
- ПК от интернета/локалки
[B][COLOR="Red"]- Антивирус, Файрвол, Tea Timer от Спайбота[/COLOR][/B] - его можно сразу или потом - фтопку вместе с Zone Alarm
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O2 - BHO: (no name) - {109BE732-8F8C-49D4-A3F4-FEDCAC7F0A25} - C:\WINDOWS\system32\geBuRJab.dll
O3 - Toolbar: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - (no file)
O4 - Startup: PowerReg Scheduler V3.exe
O4 - Startup: SpywareGuard.lnk.disabled
O4 - Startup: Xfire.lnk.disabled
O20 - Winlogon Notify: geBuRJab - C:\WINDOWS\SYSTEM32\geBuRJab.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('lredbooo');
DeleteService('Trufos');
DeleteService('Profos');
QuarantineFile('C:\DOCUME~1\Max\LOCALS~1\Temp\lredbooo.sys','');
QuarantineFile('C:\WINDOWS\system32\geBuRJab.dll','');
DeleteFile('C:\WINDOWS\system32\geBuRJab.dll');
DeleteFile('C:\Program Files\Softwin\BitDefender10\profos.sys');
DeleteFile('C:\Program Files\Softwin\BitDefender10\trufos.sys');
DeleteFile('C:\DOCUME~1\Max\LOCALS~1\Temp\lredbooo.sys');
BC_ImportDeletedList;
ExecuteSysClean;
executerepair(13);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.

Спасибо, теперь, вроде, все нормально.

[url]http://slil.ru/26039410[/url]
[url]http://slil.ru/26039411[/url]

Для кого было написано красным шрифтом???
[COLOR="Red"]Отключите
.....
- Антивирус, Файрвол, Tea Timer от Спайбота [/COLOR]>:(
Еще одна попытка. Если будете и дальше не выполнять указания - закрою тему.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O1 - Hosts: 1127.0.0.1 galleries.dacash.com[/CODE]

[CODE]begin
SetAVZGuardStatus(True);
ClearHostsFile;
DeleteService('BDRsDrv');
DeleteService('BDFsDrv');
DeleteFile('C:\Program Files\Softwin\BitDefender10\bdfsdrv.sys');
DeleteFile('C:\Program Files\Softwin\BitDefender10\bdrsdrv.sys');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Логи повторите от п. 10 правил.

Файрвол пришлось удалить, не открывался.
Авире отключил активную защиту, из памяти она убирается только деинсталяцией.

Логи:


[url]http://slil.ru/26041150[/url]
[url]http://slil.ru/26041152[/url]
[url]http://slil.ru/26041146[/url]

[QUOTE=asd911;264801]Файрвол пришлось удалить[/QUOTE]Ну и не ставьте его больше - включите Виндовс-Файрвол. Вы ж уже поняли, что защитные программы берегут только береженных ;)
[QUOTE]Авире отключил активную защиту, из памяти она убирается только деинсталяцией.[/QUOTE]
Почему? Можно службы остановить.
И еще: я не помню, есть ли в Спайботе функция, позволяющая восстановить файл hosts? Из-за того , что Спайбот его при иммунзации - которая помогает, как зайцу стопсигнал - изувечил, Ваши логи никуда не помещаются.
Если такой опции нет - переименуйте файл [B]C:\WINDOWS\system32\drivers\etc\hosts [/B]в [B]hosts_old[/B] и замените его файлом [B]C:\i386\hosts[/B].
Вот еще один файлик от Битдефендера остался. Если хотите удалить - выполните скрипт
[CODE]begin
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Softwin\BitDefender10\bdagent.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Как работает система? Вроде ничего зловредного не видать.

Рекомендую обновить Джаву и почитать нашу библию: [url]http://security-advisory.virusinfo.info/[/url]

Спасибо, машина работает нормально.
Анвира ничего не находит.


Файрвол ставил только чтоб закрыть порты от сканеров. С нормальным я не разберусь.

"Библия" интересная, обязательно изучу, спасибо.

[QUOTE=asd911;264951]
Файрвол ставил только чтоб закрыть порты от сканеров. [/QUOTE]
От каких сканеров? :O От портскана, что ли? :D А можно от ветра защититься? И нужно ли?

Все что знаю, в основном прочел на этом сайте :)
В теме фаерволов было сказано, что виндовс оставляет много открытых портов, а сканеры их обнаруживают и таким образом злодей или програма может получить доступ к машине.
Может я чего не понял, но фаервол тогда решил поставить :)

[QUOTE=asd911;264998]В теме фаерволов было сказано, что виндовс оставляет много открытых портов, а сканеры их обнаруживают и таким образом злодей или програма может получить доступ к машине.[/QUOTE]Вы что-то неправильно поняли. При нормальной системе без файрвола порты для внешнего доступа находятся в статусе CLOSED (закрыт) , с файрволом - в статусе STEALS (невидимка). Статус OPEN существует только в том случае, если порт открыт - либо пользователем для специальных целей , либо троянской программой. В последнем случае необходимо не закрывать порт каким-либо софтом, который имеет не много шансов против другого (зловредного) софта, а удалять троянскую программу. Это - функция антивируса.
Чтобы перевести не изпользуемые порты в недоступное извне состояние, необходимо и достаточно отключить ненужные службы. Справочник по Службам можно скачать по ссылке в моей подписи. Кроме того - есть маленькая тулза, которая минимирует количество работающих служб до необходимого : [url]http://dingens.org/index.html.en[/url] .
И помните- троян умеет все, что умеет пользователь. Хорошо сконструированный троян обьедет любой файрвол на Ура.
Для проверки портов можно воспользоваться тулзой ShieldsUp на портале [url]www.grc.com[/url]. Если без файрвола все порты имеют статус CLOSED - значит Ваша система работает нормально и от файрвола можно отказаться.

Еще раз спапсибо, тест показал, что порты скрыты.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\geburjab.dll - [B]Trojan.Win32.Monderb.elc[/B] (DrWEB: Trojan.Virtumod.based.23)[/LIST][/LIST]