winhelp32

Помогите избавиться от зверя :(

[url]http://virusinfo.info/showthread.php?t=1235[/url]

Пункты 1-6 выполнил, пункт 7-нет, так как, не запускается панель "Свойства" Моего компьютера. Можно продолжать без пункта 7, или есть другой способ выполнить пункт 7 ?

Продолжайте.

Выполнил п.8-13. Высылаю файлы логов.

Вставьте дистрибутив в CD-ROM - драйв.

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт 1 [/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\winhelp32.exe');
DeleteService('VIDEO');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('c:\windows\system32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\system32\basemuqw32.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\Uoso58.sys','');
QuarantineFile('c:\windows\system32\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\clbcat.dll','');
DeleteService('msupdate');
DeleteFile('C:\WINDOWS\system32\clbcat.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\Uoso58.sys');
DeleteFile('C:\WINDOWS\system32\basemuqw32.dll');
DeleteFile('c:\windows\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_DeleteSvc('msupdate');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт 2 [/URL]
[CODE]begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

1. Запуститесь с дистрибутива.
2. При загрузке давите на клавишу R. Попадете в косоль восстановления.
3. На приглашение введите строку:
[CODE]copy C:\i386\svchost.exe C:\WINDOWS\system32\svchost.exe[/CODE]
Переписывание подтвердите

Если такого файла нет:
На приглашение введите строку:
[CODE]expand X:\i386\svchost.ex_ C:\WINDOWS\system32\svchost.exe[/CODE]
где вместо X подставьте букву CD-ROM-драйва.
Переписывание подтвердите

4. Выйдите из консоли восстановления комадой exit + клавиша ВВОД.
5. Загрузитесь нормально.

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Куда нужно скопировать файлы?

[QUOTE=Игорь;278754]Куда нужно скопировать файлы?[/QUOTE]В любое место на диске, напр. C:\Files


[B]
[COLOR="Red"]
- Скачайте последнюю версию Hijackthis по ссылке в правилах.
[/COLOR]
[/B]

:) БОЛЬШОЕ спасибо за помощь!!!
Теперь по порядку.
1. Лечение провел по всем пунктам, за исключением:
а) не смог отключить систему восстановления
б) в консоле восстановления не смог написать код, так как, в английской раскладке вместо обратной черты пишет решётку, клаву менял не помогает :(.
в) Что такое кэш проводников?
2. После лечения:
а) Запускается панель управления
б) Загрузка процессора 0% (раньше 100%) :D
в) Автозапуск прошёл только у KIS6.0 и языковой панели
г) Проактивная защита KIS6.0 блокирует запуск диспетчера задач :?
д) Логи прикрепил, zip-virus закачал.
Жду дальнейших указаний :)
(зверьки ещё остались: keyloger какой-то)

[QUOTE]
б) в консоле восстановления не смог написать код, так как, в английской раскладке вместо обратной черты пишет решётку, клаву менял не помогает [/QUOTE]Это сделать [B]необходимо[/B]: у Вас заражен системный файл. Его можно заменить только таком образом. Потыкайте клавиши, пока не найдете необходимый обратный слэш. Вы можете воспользоваться LiveCD - если есть под рукой - там все можно сделать через ГУИ.
[QUOTE]в) Что такое кэш проводников?[/QUOTE]
Вы на ссылку нажимали? :O Temporary Internet Files для ИЕ, в других браузерах называется Cache.
[QUOTE](зверьки ещё остались: keyloger какой-то)[/QUOTE]
Логи могу не смотреть - пока не замените svchost.exe - все до фени.

LiveCD - под рукой нет, будем искать. Не подскажете где? :?
А клава на другом компе выдаёт обратный слэш, как положено :(
Значит дело не в клаве? >:(

[QUOTE=Игорь;278983]LiveCD - под рукой нет, будем искать. Не подскажете где? :?[/QUOTE][url]http://www.bartpe.ru/[/url]
[QUOTE=Игорь;278983]Значит дело не в клаве?[/QUOTE]
Конечно нет. Из какой страны у Вас дистрибутив? Драйвер клавы с него грузится.
Судя по Вашему описнаию у Вас почему-то немецкая раскладка. Попробуйте набрать обр. слэш: Правый Alt + какая-то из клавиш справа от 0 в верхнем ряду.

За ссылочку спасибо:), а с клавой я разобрался;), язык то один, Аглицкий, а страны то, ДВЕ!!! У меня стояла Великобритания, а нужно ставить США и тогда всё отлично работает!!! ;)

Perfect! :) Скрипт + Меняйте файл + логи - в студию.

Снова смог зайти на сайт!!!:D
1) заменил userinit.exe из Акрониса
2) Высылаю логи и карантин

давайте посмотритм на что вы заменили ...
C:\WINDOWS\system32\userinit.exe - пришлите согласно приложения 2 правил ...

Высылаю то, что в карантине. Файл userinit.ехе в карантин не добавляется!!!:O

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не обновлена версия Hijackthis. Скачайте последнюю версию по ссылке в правилах.
- Не выключено системное восстановление.
[/COLOR]

Логи выполненные с нарушением правил, как не отображающие состояние системы и не дающие возможности, назначить правильное лечение, в дальнейшем рассматриваться не будут.
Спасибо за понимание.[/B]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
ClearQuarantine;
BC_QrFile('C:\WINDOWS\system32\userinit.exe');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Файл должен попасть в карантин

Файл userinit.ехе в карантин добавил и отправил

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - AppInit_DLLs: vmmreg32.dll
[/CODE]
- Сделайте повторные логи начиная от п.10 правил.