Printable View
Собственно ситуация уже неоднократно здесь описывалась, из трея исчезли почти все иконки. В загрузке msconfig показывает трижды winhelp32, отключить который не удается. Cure из DrWeb проблемы видит, но вылечить не может (даже при загрузке с чистой версии XP-PE).
Прочитаные посты позволяют надеяться, что мой случай излечимый, но запускать чужие срипты у вас рекомендуется. Может быть посмотрите логи и посоветуете, что можно сделать?
Отключите антивирус и интернет!
[URL="http://www.majorgeeks.com/Icesword_d5199.html"]Скачать[/URL],меню,File,появится аналог проводника,найти:
[CODE]c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\system32\winhelp32.exe
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe[/CODE]
правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
DeleteService('VIDEO');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
DeleteService('BrowserTrkWks');
QuarantineFile('srv.exe','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('srv.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Пришлите карантин по правилам и повторите логи...
Спазибо, за оперативный ответ.
Выполнил все по инструкции, только файл c:\windows\system32\winhelp32.exe (упомянутый трижды) у меня не нашелся ни разу. Видимо, он стерся в ходе предыдущих чисток. Вирус не удалился, все осталось, как было.
Карантин выслал, логи ниже, есть ли какие-нибудь предложения?
Вам нужно зайти в AVZ => Файл => Мастер поиска и устранения проблем
Найти и устранить проблему "[B]Некорректный элемент автозапуска[/B]"
Потом в IceSword force delete для файла C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys, если он будет.
Потом скрипт в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DelBHO('7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки сделать новые логи.
Ничего не помогает. После перезагрузки все остается как было (предупреждая очевидный вопрос сообщаю что востановление отключено). Мастер устранения проблем работает странно: сообщает что проблема "Некорректный элемент автозапуска" успешно устранена, но если опять включить поиск проблем, то вновь появляется "Некорректный элемент автозапуска". Так должно быть? Это и в обычном и в защищенном режиме загрузки.
Так не должно быть. Файл video.sys присутсвовал? Сделайте новые логи.
На очередной иттерации вирус устранился, огромное спасибо за помощь. Теперь буду востанавливать загрузку. Еще один вопрос msconfig показывает, что winhelp32 присутствует в автозагрузке, но в нормальном виде то есть галочку загрузки с него можно снимать и он не загружается. Хотелось бы удалить строку с winhelp32 из автозагрузки как это сделать? Лезть в реестр или есть другой способ?
Попробуйте пофиксить его автозагрузку в HiJackThis. Сделайте новые логи.
Привожу последние логи
Ничего зловредного в логах нет.
[URL="http://virusinfo.info/showthread.php?t=4491"] Пофиксите в HijackThis:[/URL]
[quote]O20 - AppInit_DLLs: vmmreg32.dll[/quote]
[QUOTE=grayer;267026]Еще один вопрос msconfig показывает, что winhelp32 присутствует в автозагрузке, но в нормальном виде то есть галочку загрузки с него можно снимать и он не загружается.[/QUOTE]
Зайдите в regedit, откройте ключ реестра
HKEY_LOCAL_MACHINE\Software\Microsoft\Shared Tools\MSConfig\startupreg
Там найдите и удалите ключ, котрорый остался от зловреда, тогда запись в msconfig должна пропасть.
Спасибо, вечером все проделаю. Пока пытался избавится от Symantec, он не деинсталируется ни своими ни предлагаемыми на сайте средствами.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\video.sys - [B]Rootkit.Win32.Agent.cbs[/B] (DrWEB: Trojan.NtRootKit.1388)[*] c:\\windows\\system32\\vmmreg32.dll - [B]Trojan-PSW.Win32.Agent.kkq[/B] (DrWEB: Trojan.Siggen.172)[*] c:\\windows\\system32\\webmin\\video.bkp - [B]Rootkit.Win32.Agent.cbs[/B] (DrWEB: Trojan.NtRootKit.1388)[*] c:\\windows\\system32\\webmin\\vmmreg32.bkp - [B]Trojan-PSW.Win32.Agent.kkq[/B] (DrWEB: Trojan.Siggen.172)[/LIST][/LIST]