Бьюсь второй день, но не получается....

Printable View

24.10.2008, 22:24
AntonKr

Вложений: 2

Бьюсь второй день, но не получается....

Проблема в том, что нет возможности войти в safe mode, т.к. гибнет на mup.sys (видимо связано с железом - т.к. пробовал разные скрипты восстановления). Но могу работать с диском запустив Висту на соседнем диске. Вроде находит вирусы и удаляет и ручками многие удалил, но до реестра дотянуться нет возможности. На зараженной системе могу запустить только переименованные файлы avz и hijackthis. Согласно правилам прилагаю файлы. Буду признателен если будет возможность помочь.
24.10.2008, 22:29
Гриша

Выполните скрипт [B]2 раза[/B]!

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('WinUpdating.exe');
DeleteFile('c:\windows\system32\drivers\winfilse.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.
[/CODE]

Повторите логи...
25.10.2008, 00:07
AntonKr

Вложений: 2

выполнил скрипт 2 раза и повторяю логи. Очень благодарен за Вашу помощь.
25.10.2008, 00:32
AntonKr

Странно.... вкладывал все логи :(. Повторяю....
25.10.2008, 00:32
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\___dumprep___ 0 -k','');
QuarantineFile('C:\WINDOWS\system32\WinSpooler.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\srosa.sys','');
QuarantineFile('c:\windows\system32\drivers\winfilse.exe','');
DeleteFile('c:\windows\system32\drivers\winfilse.exe');
DeleteFile('C:\WINDOWS\system32\drivers\srosa.sys');
DeleteFile('C:\WINDOWS\system32\WinSpooler.exe');
DeleteFile('C:\WINDOWS\system32\___dumprep___ 0 -k');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
25.10.2008, 01:15
AntonKr

Вложений: 2

Карантин выслал, логи повторяю.

P.S. Извиняюсь за ранее вложенный карантин - невнимательность уже связанна с усталостью.
25.10.2008, 01:46
AntonKr

Может что не так сделал? Стоит ли ждать ответа?
25.10.2008, 01:53
Палыч

[QUOTE=AntonKr;301403] Стоит ли ждать ответа?[/QUOTE]
Да, стоит. Просто эксперты и хэлперы работают сразу с несколькими темами и не всегда могут ответить сразу же. Плюс к этому на анализ логов уходит какое-то время.
Короче -- не волнуйтесь, про Вас не забыли. Просто периодически проверяйте свою тему.
25.10.2008, 02:00
AntonKr

Спасибо. Я, на всякий случай, отправил свой "зловред" в соответстующую тему.
25.10.2008, 12:49
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe','');
QuarantineFile('C:\Program Files\QuickTime\qttask.exe','');
QuarantineFile('C:\WINDOWS\system32\vsjitdebugger.exe','');
end.[/CODE]

Загрузите карантин...
25.10.2008, 15:10
AntonKr

Карантин загружен.
26.10.2008, 00:12
Гриша

C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe-[B]Trojan-Downloader.Win32.Bagle.aei[/B]

Выполнить скрипт [B]2 раза[/B]!

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('c:\windows\system32\drivers\winfilse.exe');
DeleteFile('C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]

Повторите логи...
26.10.2008, 01:30
AntonKr

Вложений: 4

Я уже понял, что именно в этом файле. Прикрепил логи выполнения скрипта и текущие логи Хайджека и АВЗ. Вроде сейчас все успокоилось. Большое Вам спасибо за Вашу помощь. А донейшен по пэйпалу можно сделать?
26.10.2008, 10:34
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('WinSpooler.exe');
DeleteFile('C:\WINDOWS\system32\WinSpooler.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Выполните полную проверку CureIT, логи повторите...
26.10.2008, 19:16
AntonKr

Вложений: 2

CureIT проверку сделал, нашлось парочка троянов. Далее выполнил АВЗ и Хайджек. Логи повторяю.
26.10.2008, 19:30
AntonKr

Вложений: 2

Деинсталировал камеру, установленную сегодня для чистоты логов. Логи пересобрал:
26.10.2008, 19:32
V_Bond

пофиксите
[code]
O4 - HKCU\..\Policies\Explorer\Run: [Windows Printing Driver] WinSpooler.exe
[/code]
сделайте новые логи [B]по правилам[/B]
26.10.2008, 20:47
AntonKr

Вложений: 3

Пофиксил, логи прикрепил.
26.10.2008, 20:51
Гриша

Чисто...