Printable View
CureIt при запуске пишет "Обнаружена ошибка. Приложение будет закрыто" В дополнительно написано ModName: kernel32.dll. Не запускается ни в обычном режиме, ни в безопасном
avz.exe в обычном режиме вываливает ошибку каждую секунду. Помогает тольеко завершение процесса. Проводил скрипты в безопасном режиме.
AVPtool пролечил несколько вирусов и троянов.
При попытке запуска sfc /scannow завершает работу windows мотивируя тем, что прекратил работу RPD
Выполнять в обычном режиме!
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:
[CODE]C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\VIDEO.sys [/CODE]
правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteService('mmctl');
QuarantineFile('C:\WINDOWS\system32\mmctl.sys','');
DeleteService('VIDEO');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\system32\mmctl.sys');
DeleteFile('ctlsys.dll');
DeleteFile('autorun.bat');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.[/CODE]
Пришлите карантин по правилам и повторите логи...
[quote=Гриша;323958]Выполнять в обычном режиме!
[URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]Скачать[/URL],меню,File,появится аналог проводника,найти:
[code]C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\VIDEO.sys [/code]
правая кнопка мыши Force Delete на запрос о перезагрузке ответьте положительно.
[/quote]
Выполнил. однако программа не стала перезагружать комп, а только сказала, что это лучше бы сделать
Перезагрузил.
[quote=Гриша;323958]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteService('mmctl');
QuarantineFile('C:\WINDOWS\system32\mmctl.sys','');
DeleteService('VIDEO');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\system32\mmctl.sys');
DeleteFile('ctlsys.dll');
DeleteFile('autorun.bat');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.[/code]
Пришлите карантин по правилам и повторите логи...[/quote]
AVZ так и не работает. говорит что-то про extract.avz не успеваю заметить, т.к. тут же перекрывается ошибкой Access Violation. При повторном запуске IceSword файлы
[code]C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\VIDEO.sys [/code]
находятся на месте, как будто их не удаляли.
По вышеназванным причинам, скрипт выполнить не могу.
IMHO, надо грузиться с Live CD или цеплять диск к другой системе.
Сделал так: Загрузил в обычном режиме IceSword и сделал Force Delete двум зловредным файлам. Пререзагрузился в безопасный режим и выполнил скрипт. Перезагрузился в обычный режим. В IceSword файлов больше не нашёл. Avz запустился в нормальном режиме. Выполнил скрипт ещё раз. После перезагрузки выкладываю карантин. Скоро выложу повторные логи.
[QUOTE=Villainus;324026]Загрузил в обычном режиме IceSword[/QUOTE]
А он в безопасном и не работает, насколько я помню.
Прилогаю логи повторного сканирования
Ну что? всё в порядке в логах?
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
O20 - AppInit_DLLs: vmmreg32.dll
O20 - Winlogon Notify: ctlsys - C:\WINDOWS\
O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe (file missing)
[/CODE]
Установите Service Pack 3. Возможно потребуется активация.
Что с проблемами?
Комп забрали, SP3 поставить не успел. Стал работать намного быстрее, других проблем не замечено.
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
[quote=light59;324439][URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[code]
O20 - AppInit_DLLs: vmmreg32.dll
O20 - Winlogon Notify: ctlsys - C:\WINDOWS\
O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe (file missing)
[/code][/quote]
Пофиксил
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\mmctl.sys - [B]Trojan-Spy.Win32.Goldun.bgd[/B] (DrWEB: Trojan.Clb.24)[*] c:\\windows\\system32\\video.sys - [B]Trojan-PSW.Win32.Agent.lii[/B] (DrWEB: Trojan.Firestarter)[*] c:\\windows\\system32\\vmmreg32.dll - [B]Trojan-Dropper.Win32.Agent.abph[/B] (DrWEB: Trojan.Firestarter)[/LIST][/LIST]