Антивирусы не устанавливаются

Printable View

01.10.2008, 23:32
Sir'J_ONE

Вложений: 1

Антивирусы не устанавливаются

Здравствуйте. На флешке я принес вирус, которого касперский 6 со старенькими базами пропустил (заблокировался диспетчер задач, блокируется просмотр скрытых файлов). На диске С: в корне лежит скрытый файл juok3st.bat при удалении/изменении восстанавливается сам. Я попробовал установить другие антивирусы(kis8, dr.web), ничего не получается и старого касперского удалил. Вирус похоже блокирует не только их запуск, но и сервера с дистрибутивами антивирусов и баз(так например я не могу попасть на [URL="http://www.freedrweb.com"]www.freedrweb.com[/URL], [URL="http://www.%3Cb%3Ekasper%3C/b%3E"]www.[B]kasper[/B][/URL]sky.ru).
Скачал AVZ4, он автоматически закрывается через 1-5 секунд. AVPtool и CureIt вообще скачать не могу. Сработал только hijackthis.
Через gpedit.msc я открыл запуск диспетчера задач подозрительные процессы smss.exe и lsass.exe не завершаются, говорит критические процессы.
Да и похоже кроме стационарного компа я заразил еще 2 ноутбука.
01.10.2008, 23:36
Гриша

Скачайте этот AVZ [url]http://depositfiles.com/en/files/6501498[/url] и сделайте логи...
02.10.2008, 00:10
Sir'J_ONE

Вложений: 2

Скачал, проверил, вот логи.
02.10.2008, 01:28
kps

Да, чистым Ваш компьютер не назовешь, особо непрятно, что Вы подхватили ко всему прочему еще и файловый вирус (с ними AVZ не может бороться).

Делайте так:
1) [url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url] (evrika):
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\ihajxu.pif','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('E:\juok3st.bat','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('C:\juok3st.bat','');
QuarantineFile('C:\WINDOWS\system32\amvo.exe','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\DOCUME~1\007\LOCALS~1\Temp\winuihwiu.exe','');
QuarantineFile('C:\Program Files\MaxAntiSpy\MaxAntiSpy.exe','');
QuarantineFile('C:\WINDOWS\system32\winsys2.exe','');
QuarantineFile('C:\WINDOWS\system32\vcmgcd32.dll','');
QuarantineFile('C:\WINDOWS\system32\MADCHOOK.DLL','');
QuarantineFile('C:\WINDOWS\system32\mstmdm.dll','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('c:\docume~1\007\locals~1\temp\wintxfmu.exe','');
QuarantineFile('c:\windows\system32\winsys2.exe','');
QuarantineFile('c:\docume~1\007\locals~1\temp\winqkil.exe','');
QuarantineFile('c:\program files\pviever\pviever.exe','');
DeleteFile('c:\program files\pviever\pviever.exe');
DeleteFile('c:\docume~1\007\locals~1\temp\winqkil.exe');
DeleteFile('c:\windows\system32\winsys2.exe');
DeleteFile('c:\docume~1\007\locals~1\temp\wintxfmu.exe');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\WINDOWS\system32\mstmdm.dll');
DeleteFile('C:\WINDOWS\system32\MADCHOOK.DLL');
DeleteFile('C:\WINDOWS\system32\vcmgcd32.dll');
DeleteFile('C:\WINDOWS\system32\winsys2.exe');
DeleteFile('C:\DOCUME~1\007\LOCALS~1\Temp\winuihwiu.exe');
DeleteFile('C:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\amvo.exe');
DeleteFile('C:\juok3st.bat');
DeleteFile('E:\autorun.inf');
DeleteFile('E:\juok3st.bat');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\ihajxu.pif');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_Activate;
ExecuteRepair(16);
ExecuteRepair(10);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

2. Пришлите карантин по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=31244[/url] ).

3. Выполните лечение от файлового вируса, как написано здесь: [url]http://virusinfo.info/showthread.php?t=15927[/url]
Обратите внимание на то, что скачивать CureIt! и записывать на CD надо на здоровом компьютере.
Другой вариант лечения - с помощью DrWeb Live CD или Kaspersky Rescue CD.
Для восстановления работы безопасного режима можете использовать такой скрипт в AVZ :
[code]begin
ExecuteRepair(10);
RebootWindows(true);
end.[/code]

После лечения сделайте новые логи и сообщите о результатах.
02.10.2008, 02:33
Sir'J_ONE

Простите, а что отправлять из карантина, там 103 файла суммарным объемом 60 мегабайт.
02.10.2008, 12:26
Rene-gad

[QUOTE=Sir'J_ONE;291399]Простите, а что отправлять из карантина, там 103 файла суммарным объемом 60 мегабайт.[/QUOTE]По идее - все нужно отправлять. Там м.б. очень большие файлы инсталлеров (2Мб и более), которые определены АВЗ эвристически, как подозрительные. Их можно не присылать
02.10.2008, 19:39
Sir'J_ONE

Вложений: 3

Проверил все dr.Web live CD. Вроде как что то помогло, но антивирусы по прежнему не сетапятся.
Сдесь логи.
02.10.2008, 21:17
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('abp470n5');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('Explorer.exe C:\DOCUME~1\007\LOCALS~1\Temp\winmqgr.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\nmhipn.sys','');
QuarantineFile('C:\DOCUME~1\007\LOCALS~1\Temp\sqcstu.exe','');
QuarantineFile('C:\DOCUME~1\007\LOCALS~1\Temp\amikfy.exe','');
QuarantineFile('c:\docume~1\007\locals~1\temp\sqcstu.exe','');
DeleteService('abp470n5');
DeleteFile('c:\docume~1\007\locals~1\temp\sqcstu.exe');
DeleteFile('C:\DOCUME~1\007\LOCALS~1\Temp\amikfy.exe');
DeleteFile('C:\DOCUME~1\007\LOCALS~1\Temp\sqcstu.exe');
DeleteFile('C:\WINDOWS\system32\drivers\nmhipn.sys');
DeleteFile('Explorer.exe C:\DOCUME~1\007\LOCALS~1\Temp\winmqgr.exe');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('abp470n5');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[CODE]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/CODE]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 2 п.4 правил).
- Прикрепите логи к новому сообщению.
02.10.2008, 22:56
kps

Файловый вирус остался. Что обнаружил CureIt! ? Повторную проверку после лечения делали? Пробуйте Kaspersky Rescue CD.
03.10.2008, 12:04
Sir'J_ONE

Выполнил все, как рекомендовал Rene-gad. После выполненияя скриптов и ребута интернет не подключается(у меня PPPoE какого-то мутного провайдера с привязкой к МАК адресу сетевухи), пробовал пересоздавать соединение, но ничего...
Антивирусы не запускаются после установки, касперский закрывется при выборе лицензионного ключа, нод также; антивир устанавливается, комп ребутится и висит 1-2 минуты на приветствии, слышно, что антивир что-то находит и пищит. Приветствие закрывается, антивир закрывается, удаляется ехе-шник.
CureIt не скачивается, Kaspersky Rescue CD тоже. Сканировал диски Dr.Web live CD с базами ноября 2007 года, какие-то файловые вирусы он поудалял(в кол-ве 68 штук). Но ведь видимо, не все. Через gpedit.msc временно открыл запуск диспетчера задач, запущены подозрительные процессы smss.exe и lsass.exe. Regedit разблокировать не получается даже временно.
Я сейчас взял Avira Antvir live CD, попробую просканировать им.

Не карантин, не логи, сейчас прислать не смогу, пишу с коммуникатора. Если антивир не поможет и интернет не заработает до вечера буду делать format c: Ночью интернет нужен, дольше эта борьба с заразой продолжаться не может.
03.10.2008, 15:39
kps

[QUOTE=Sir'J_ONE;292137]Антивирусы не запускаются после установки, касперский закрывется при выборе лицензионного ключа, нод также; антивир устанавливается, комп ребутится и висит 1-2 минуты на приветствии, слышно, что антивир что-то находит и пищит. Приветствие закрывается, антивир закрывается, удаляется ехе-шник.
CureIt не скачивается, Kaspersky Rescue CD тоже.[/QUOTE]

Конечно не запускаются и не скачиваются, файловый вирус остался! Вы ссылку, которую я давал, смотрели? Там написано, скачивать и записывать на CD на здоровом компьютере !

[QUOTE=Sir'J_ONE;292137]Сканировал диски Dr.Web live CD с базами ноября 2007 года, какие-то файловые вирусы он поудалял(в кол-ве 68 штук). Но ведь видимо, не все. .[/QUOTE]

Это очень плохо - старый антивирус это почти отсутствие оного! Антивирус нужен свежий с самыми свежими базами!!!
04.10.2008, 01:35
Sir'J_ONE

Со стационарным компом я вроде разобрался(format c::(), хоть и жестоким методом но все же.
У меня еще 2 заразных ноутбука после проверки сегодняшним Avira [URL="http://www.free-av.com/en/tools/12/avira_antivir_rescue_system.html"]AntiVir Rescue System[/URL] [URL]http://dl.antivir.de/down/vdf/rescuecd/rescuecd.exe[/URL] (он както больше мне понравился, да весит 60 метров) они проходят полную проверку CureIt.
Можно ли будет к вам обратиться с этими компьютерами, и если да, то нужно ли создавать новую тему, или все писать сдесь?
Спасибо.
04.10.2008, 12:02
Rene-gad

[QUOTE=Sir'J_ONE;292528]
Можно ли будет к вам обратиться с этими компьютерами, и если да, то нужно ли создавать новую тему, или все писать сдесь?
[/QUOTE]
Читаем правила вслух
[QUOTE]Обратите внимание:

1) Если у Вас несколько инфицированных операционных систем или компьютеров, то Вам следует оформлять каждую систему отдельным запросом.
[/QUOTE]
22.02.2009, 08:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\autorun.inf - [B]Worm.Win32.AutoRun.bur[/B] (DrWEB: Win32.HLLW.Autoruner.1489)[*] c:\\windows\\system32\\amvo0.dll - [B]Worm.Win32.AutoRun.bur[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] e:\\autorun.inf - [B]Worm.Win32.AutoRun.bur[/B] (DrWEB: Win32.HLLW.Autoruner.1489)[/LIST][/LIST]