вирус, убил aviru и safe mode

Printable View

09.11.2008, 19:18
s.alexxey

вирус, убил aviru и safe mode

Добрый день! Я тут где то случайно подхватил вирус,
Стало понятно это после того как, из трея вылетел с ошибкой avira, больше ничего он (вирус) не дал установить из известных антивирусов, безопасный режим паказывает синий экран, avptool не устанавливается, cureit запускаеться, но при загрузке сканера вылетает! Что за вирус не знаю.
09.11.2008, 19:31
wise-wistful

Выполните дважды
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WINDOWS\system32\drivers\srosa.sys','');
QuarantineFile('e:\windows\system32\wintems.exe','');
TerminateProcessByName('e:\windows\system32\wintems.exe');
QuarantineFile('e:\windows\system32\drivers\winfilse.exe','');
TerminateProcessByName('e:\windows\system32\drivers\winfilse.exe');
QuarantineFile('e:\documents and settings\Администратор\application data\m\flec006.exe','');
TerminateProcessByName('e:\documents and settings\Администратор\application data\m\flec006.exe');
DeleteFile('e:\documents and settings\Администратор\application data\m\flec006.exe');
DeleteFile('e:\windows\system32\drivers\winfilse.exe');
DeleteFile('e:\windows\system32\wintems.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=33551[/url]

Повторите логи.
09.11.2008, 20:33
s.alexxey

все сделал
09.11.2008, 20:36
Гриша

Логи повторите...
09.11.2008, 22:19
s.alexxey

готово
09.11.2008, 22:28
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile('E:\WINDOWS\system32\ntbackup.exe','');
QuarantineFile('E:\WINDOWS\system32\cleanmgr.exe /D %c','');
QuarantineFile('E:\WINDOWS\system32\CTXFIHLP.EXE','');
QuarantineFile('E:\WINDOWS\system32\CTFMON.EXE','');
QuarantineFile('E:\WINDOWS\System32\wscript.exe','');
QuarantineFile('E:\WINDOWS\System32\cscript.exe','');
QuarantineFile('E:\Program Files\VistaDriveIcon\VistaDrv.exe','');
QuarantineFile('E:\Program Files\SolidWorks Corp\SolidWorks\swScheduler\swBOEngine.exe','');
QuarantineFile('E:\Program Files\QuickTime\qttask.exe','');
QuarantineFile('E:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe','');
QuarantineFile('E:\Program Files\GIGABYTE\GBTUpd\PreRun.exe','');
QuarantineFile('E:\Program Files\DAEMON Tools Lite\daemon.exe','');
QuarantineFile('E:\Program Files\Creative\Volume Panel\VolPanlu.exe','');
QuarantineFile('E:\Program Files\Common Files\Менеджер установки SolidWorks\Scheduler\sldIMScheduler.exe','');
QuarantineFile('E:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe','');
QuarantineFile('E:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe','');
QuarantineFile('E:\Program Files\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe','');
QuarantineFile('E:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe','');
QuarantineFile('E:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\ISUSPM.exe','');
end.[/CODE]

Загрузите карантин...
09.11.2008, 23:14
s.alexxey

сделано
09.11.2008, 23:36
Гриша

Выполните скрипт [B]2 раза[/B]:

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
DeleteFile('e:\documents and settings\Администратор\application data\m\flec006.exe');
DeleteFile('e:\windows\system32\drivers\winfilse.exe');
DeleteFile('E:\Program Files\VistaDriveIcon\VistaDrv.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]

Повторите логи...
10.11.2008, 09:59
s.alexxey

готово
10.11.2008, 11:42
Гриша

Багл ушел, сделайте полную проверку CureIT в Safe Mode, если антивирусный софт не работает, переустановите его...
10.11.2008, 13:39
s.alexxey

помогло спасибо, а то что было в карантине на работоспособность программ отразится?
10.11.2008, 13:49
Гриша

Нет, только вот это украшение E:\Program Files\VistaDriveIcon\VistaDrv.exe было подменено...