Здравствуйте, в общем включив позавчера машину обнаружил это окно и машина ведет себя странно(открываются окна не те которые запускаешь, постоянно пытается сам подключиться к сети). Своим стандартным антивирусом сканил, он находит но ничего не может сделать с зараженныи файлами.
Помогите пожалуйста разобраться с этой бедой, не возможно работать.
логи прилагаются.
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\KYE\Setup.exe','');
QuarantineFile('C:\WINDOWS\System32\atiptaxx.exe','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\WINDOWS\system32\sssvcs.exe','');
QuarantineFile('C:\WINDOWS\system32\lcsass.exe','');
QuarantineFile('C:\WINDOWS\System32\blphc7d8j0erk5.scr','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winwi60.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Windg21.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winve38.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Winve38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Windg21.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winwi60.sys');
DeleteFile('C:\WINDOWS\System32\blphc7d8j0erk5.scr');
DeleteFile('C:\WINDOWS\system32\lcsass.exe');
DeleteFile('C:\WINDOWS\system32\sssvcs.exe');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportAll;
BC_DeleteSvc('Winve38');
BC_DeleteSvc('Winwi60');
BC_DeleteSvc('Windg21');
BC_DeleteSvc('ThemesRpcSs');
BC_DeleteSvc('SwPrvSENS');
BC_DeleteSvc('Netman Licensing Service');
BC_DeleteSvc('BrowserSpooler');
BC_DeleteSvc('BITSRpcSs');
ExecuteSysClean;
ExecuteRepair(5);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=30625[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe[/CODE]
Повторите логи.
И нам нужен в теме не [b]virusinfo_cure.zip[/b], а [b]virusinfo_syscure.zip[/b]
ваши рекомендации выполнил файл карантина отправил.
вложения добавил.
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:
[CODE]C:\WINDOWS\System32\Drivers\Winve38.sys[/CODE]
правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\atiptaxx.exe','');
QuarantineFile('C:\WINDOWS\Temp\~DFFB30.tmp','');
QuarantineFile('C:\Program Files\ASWPro\ASWPro.exe','');
DeleteService('Winve38');
DeleteService('ProtectedStoragedmserver');
DeleteFile('C:\WINDOWS\System32\Drivers\Winve38.sys');
DeleteFile('C:\DOCUME~1\ПОЛЬЗО~1\LOCALS~1\Temp\KYE\Setup.exe');
DeleteFile('C:\Program Files\ASWPro\ASWPro.exe');
DeleteFile('C:\WINDOWS\Temp\~DFFB30.tmp');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Winve38');
BC_DeleteSvc('ProtectedStoragedmserver');
BC_Activate;
ExecuteRepair(5 );
ExecuteRepair(6 );
RegKeyStrParamWrite('HKEY_USERS','.DEFAULT\Control Panel\Desktop','Wallpaper','');
RebootWindows(true);
end.[/CODE]
Пришлите карантин по правилам и повторите логи...
карантин отправил, сделал повторные логи.
[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.
[COLOR="Red"]
- Не обновлена версия Hijackthis. Скачайте последнюю версию по ссылке в правилах.[/COLOR]
Логи выполненные с нарушением правил рассматриваться не будут.
Спасибо за понимание.[/B]
Система у Вас однако дырявая....
Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\DRIVERS\Tap480rprap.sys','');
DeleteService('Tap480rprap');
DeleteFile('C:\WINDOWS\System32\DRIVERS\Tap480rprap.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Tap480rprap');
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
рекомендации выполню завтра когда доберусь до машины. дырявая не то слово, у мя чувсто что все это приходит из локалки и на всех компах открытые для широкого доступа папки и диски.
может подскажете какие мероприятия провести перед лечением, а то проверяю после скриптов 3мя прогами все чисто, подключаюсь к локалке чтоб выйти в нет и посмотреть ваши рекомендации и все начинается по новой!
[QUOTE=onebe;287718]дырявая не то слово[/QUOTE]Ну так у Вас Сервис Пак 1 стоит... ;)Вы лучше машину из сети уберите и работайте с другой если есть такая возможность.
нет такой возможности... :(
может обновления сервис пак3 мне поможет, смена инет браузера?
Ставить обновления на зараженную машину бессмысленно.Попробуем ограничить доступ к машине.
1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. Перегрузить систему, далее по тексту.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]