Подозрение на вырусы.

Printable View

18.02.2009, 21:50
razmus

Подозрение на вырусы.

Доброе время суток!
На компьютере были вирусы, проверил Касперским 2009 и Др.Веб, вроде все полечил..(использовал портативные утилиты и лайф сиди).
Пытаюсь установить антивирус, в процессе установки виснет.(то есть установить не могу.)
Попытался запустить Хайджек пишет ошибку, если переименовываю файл запускается. Также пропала вкладка восстановление системы из моего компьютера и в свойствах папки вкладка "типы файлов".
Может все токи что-то еще осталось....
Заранее благодарен!
18.02.2009, 22:10
light59

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{489873CE-F3E1-44A3-8E89-04BE26BE4446}');
QuarantineFile('C:\Program Files\Internet Explorer\IETimber\IETimber.dll','');
QuarantineFile('C:\WINDOWS\system32\bootinit.bat','');
QuarantineFile('C:\WINDOWS\system32\drivers\xqqt.sys','');
QuarantineFile('C:\WINDOWS\system32\CzzvD\J003.exe','');
QuarantineFile('C:\WINDOWS\system32\gement.exe','');
QuarantineFile('c:\windows\system32\fyddos.dll','');
QuarantineFile('c:\windows\haibin8211.dll','');
QuarantineFile('c:\windows\system32\gement.exe','');
QuarantineFile('C:\WINDOWS\system32\migpwd.exe','');
DeleteFile('C:\WINDOWS\system32\migpwd.exe');
DeleteFile('c:\windows\haibin8211.dll');
DeleteFile('C:\WINDOWS\system32\CzzvD\J003.exe');
DeleteFile('C:\WINDOWS\system32\drivers\xqqt.sys');
DeleteFile('C:\WINDOWS\system32\bootinit.bat');
DeleteFile('C:\Program Files\Internet Explorer\IETimber\IETimber.dll');
DeleteService('fwgu');
BC_ImportAll;
BC_DeleteSvc('svchost.exe');
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=40017"]http://virusinfo.info/upload_virus.php?tid=40017[/URL].
Попробуйте отключить восстановление системы.
Повторите логи по правилам.
20.02.2009, 02:12
razmus

Спасибо!
Повторно сделал логи, карантин выслал.
20.02.2009, 02:19
razmus

забыл
20.02.2009, 02:54
Bratez

Пофиксите в HijackThis:
[code]
O2 - BHO: (no name) - {296AB8C6-FB22-4D17-8834-064E2BA0A6F0} - (no file)
O2 - BHO: nqrlibP - {B0BD44BB-5867-434A-B6E9-23AE83300A10} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\realplay.exe','');
QuarantineFile('C:\WINDOWS\system32\Station.exe','');
DeleteFile('c:\windows\system32\fyddos.dll');
DeleteFile('C:\WINDOWS\system32\gement.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('SafeTest');
BC_DeleteSvc('IDESRvb');
BC_DeleteSvc('RDHSRCR');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин согласно приложению 3 правил.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
20.02.2009, 12:21
razmus

Готово, карантин отправил.
20.02.2009, 14:29
razmus

Антивирусы, вроде, больше ничего не находят.
20.02.2009, 15:31
Гриша

Подождем ответ ВиРЛаба...
20.02.2009, 15:44
Bratez

Эти два тоже зловредные.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Station.exe');
DeleteFile('C:\WINDOWS\system32\realplay.exe');
BC_ImportDeletedList;
BC_DeleteSvc('MS Softwar Provider');
BC_DeleteSvc('Proceduresever');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

Восстановление системы - не появилась вкладка? Если есть - отключите.

Сделайте новые логи (только п.2 и 3 раздела Диагностика).
20.02.2009, 22:46
razmus

Все сделано. Вкладка не появилась. Но автоматическое обновление отключено.(по-видимому). В папках "восстановления" пусто, если пробуешь что-то поставить(из того что предлагает создать контрольную точку) пишет система отключена.
20.02.2009, 22:51
V_Bond

выполните скрипт
[code]
begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]
21.02.2009, 00:42
razmus

выполнил, логи кидать?
21.02.2009, 01:59
pig

Пропавшие вкладки появились?
21.02.2009, 12:21
razmus

Вкладка типы файлов появилась, а восстановление системы нет.
Были еще “веб-папки” в моем компьютере, но я убрал(выполнил код, ниже приведенный). По идее где-то салит пробегал.

[CODE]
begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.
[/CODE]

[size="1"][color="#666686"][B][I]Добавлено через 8 часов 59 минут[/I][/B][/color][/size]

Подскажите, пожалуйста, что дальше делать?
..(в смысле избавился от вирусов или нет)
21.02.2009, 16:45
AndreyKa

Попробуйте пройти эту инструкцию:
[url]http://support.microsoft.com/kb/302796/[/url]
Вирусов уже не должно быть.
23.02.2009, 17:50
razmus

Спасибо помогло!
Огромное спасибо!!!
24.02.2009, 17:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\fyddos.dll - [B]Trojan-Downloader.Win32.Small.ajfl[/B][*] c:\windows\system32\gement.exe - [B]Backdoor.Win32.Hupigon.gccj[/B][*] c:\windows\system32\realplay.exe - [B]Trojan-Dropper.Win32.Agent.ahct[/B] (DrWEB: BackDoor.Darkshell.53)[*] c:\windows\system32\station.exe - [B]Backdoor.Win32.Hupigon.gceo[/B][/LIST][/LIST]