Подозрение на наличие вируса

Printable View

16.03.2009, 11:21
kitty2007

Вложений: 3

Подозрение на наличие вируса

Здравствуйте. У меня следующая проблема. Компьютер загружается 5-7 минут, после чего появляется окошко, в котором написанно "Работа мастера регистрации невозможна, поскольку необходимые сведения о системе отсутствуют или недоступны", не подключается интернет, не работает диспетчер задач (при вызове пишет что он отключен администратором), на протяжении двух месяцев скачиваю различные антивирусные программы, и каждый раз они находят новые вирусы. В последнее время не могу удалить некоторые программы, постоянно выдаются ошибки.
16.03.2009, 11:47
Rene-gad

[B][COLOR="Red"]Обновите базы АВЗ: Файл/Обновление баз!!![/COLOR][/B]
Удалите лишний антивирус - у Вас АВАСТ+Symantec!!!

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windows\system32\regwiz.exe,
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('yeJ40');
StopService('wcH73');
StopService('Vbg27');
StopService('Tye05');
StopService('tcpsr');
StopService('poof');
StopService('ovrscn');
StopService('Lqv40');
StopService('kprof');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1131-1111-1111-611111193428}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-611111193423}');
QuarantineFile('ovrscn.dll','');
QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
QuarantineFile('C:\WINDOWS\system32\svch6ru.dll','');
QuarantineFile('C:\WINDOWS\system32\poof.sys','');
QuarantineFile('C:\WINDOWS\system32\ovrscn.sys','');
QuarantineFile('C:\WINDOWS\system32\kprof.sys','');
QuarantineFile('C:\WINDOWS\system32\eufo.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\yeJ40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\wcH73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Vbg27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Tye05.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\tcpsr.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Lqv40.sys','');
QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
QuarantineFile('C:\Documents and Settings\Катерина\Рабочий стол\с ноута щас\новячок\С рабочего компа\новяк\АО.doc','');
QuarantineFile('C:\Documents and Settings\Катерина\svchost.exe','');
QuarantineFile('C:\DOCUME~1\F98B~1\LOCALS~1\Temp\winlogon.exe','');
DeleteService('yeJ40');
DeleteService('wcH73');
DeleteService('Vbg27');
DeleteService('Tye05');
DeleteService('tcpsr');
DeleteService('poof');
DeleteService('ovrscn');
DeleteService('Lqv40');
DeleteService('kprof');
DeleteFile('ovrscn.dll');
DeleteFile('C:\WINDOWS\system32\svshost.dll');
DeleteFile('C:\WINDOWS\system32\svch6ru.dll');
DeleteFile('C:\WINDOWS\system32\poof.sys');
DeleteFile('C:\WINDOWS\system32\ovrscn.sys');
DeleteFile('C:\WINDOWS\system32\kprof.sys');
DeleteFile('C:\WINDOWS\system32\eufo.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\yeJ40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\wcH73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Vbg27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Tye05.sys');
DeleteFile('C:\WINDOWS\System32\drivers\tcpsr.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Lqv40.sys');
DeleteFile('C:\WINDOWS\system32\cssrss.exe');
DeleteFile('C:\Documents and Settings\Катерина\svchost.exe');
DeleteFile('C:\DOCUME~1\F98B~1\LOCALS~1\Temp\winlogon.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('yeJ40');
BC_DeleteSvc('wcH73');
BC_DeleteSvc('Vbg27');
BC_DeleteSvc('Tye05');
BC_DeleteSvc('tcpsr');
BC_DeleteSvc('poof');
BC_DeleteSvc('ovrscn');
BC_DeleteSvc('Lqv40');
BC_DeleteSvc('kprof');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
19.03.2009, 09:24
kitty2007

Вложений: 3

Сделала все как написанно, но вот Symantec ни в какую не хочет удаляться.
19.03.2009, 10:21
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windows\system32\regwiz.exe,[/CODE]

А Аваст зачем удалили? 1 Антивирус можно/нужно оставить. Решите-какой, тогда второй поможем удалить.
20.03.2009, 10:14
kitty2007

Вложений: 3

Дело в том, что когда у меня закончилась лицензия на Symantec, я его попыталась удалить, но почему-то он удалился частично. В результате он как бы есть, но не работает и от вирусов не защищает. Поэтому для защиты пришлось установить АВАСТ. А так как вы написали что один из антивирусов надо удалить, то мне ничего не оставалось как удалить АВАСТ. Но я бы хотела чтобы вы помогли мне избавиться от Symantec.
20.03.2009, 11:39
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteService('SymEvent');
DeleteService('SAVRTPEL');
DeleteService('SAVRT');
DeleteService('NAVEX15');
DeleteService('NAVENG');
DeleteService('Symantec AntiVirus');
DeleteService('SavRoam');
DeleteService('DefWatch');
DeleteService('ccPwdSvc');
DeleteFile('C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe');
DeleteFile('C:\Program Files\Symantec AntiVirus\DefWatch.exe');
DeleteFile('C:\Program Files\Symantec AntiVirus\SavRoam.exe');
DeleteFile('C:\PROGRA~1\COMMON~1\SYMANT~1\VIRUSD~1\20070621.017\naveng.sys');
DeleteFile('C:\PROGRA~1\COMMON~1\SYMANT~1\VIRUSD~1\20070621.017\navex15.sys');
DeleteFile('C:\Program Files\Symantec AntiVirus\savrt.sys');
DeleteFile('C:\Program Files\Symantec AntiVirus\Savrtpel.sys');
DeleteFile('C:\Program Files\Symantec\SYMEVENT.SYS');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(11);
RebootWindows(true);
end.[/CODE]

Повторите пункт 2 диагностики...
23.03.2009, 10:46
kitty2007

Вложений: 1

Скрипт выполнила. Но Symantec не удалился. Зато наконец-то заработал диспетчер задач.

Здравствуйте, я бы хотела узнать, посмотрели ли вы мой вчерашний лог? Есть ли всетаки шансы удалить Symantec или нет?
24.03.2009, 17:46
Rene-gad

Симантек держится до последнего патрона ;)

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SetAVZGuardStatus(True);
DeleteService('Symantec AntiVirus');
DeleteFile('C:\Program Files\Symantec AntiVirus\Rtvscan.exe');
DeleteFile('C:\PROGRA~1\SYMANT~1\VPTray.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
BC_DeleteSvc('Symantec AntiVirus');
RebootWindows(true);
end.[/CODE]

Повторите пункт 2 диагностики...
25.03.2009, 19:57
kitty2007

Вложений: 3

Не желает никак симантик удаляться. В логах его вроде не видно, по при щелчке правой кнопкой мыши на любой иконке находящейся на рабочем столе, он начинает сам загружаться. В процессе загрузки он выдает ошибку и просит поставить установочный диск. Надежда начинает потихоньку умирать. Решила на всякий случай сделать кроме пункта 2 диагностики еще и пункт 1, и в результате в протоколе обнаружила предупреждение "Опасно! Обнаружена маскировка процессов". Все собранные логи прилагаю. Очень надеюсь на помощь.
25.03.2009, 20:37
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: kerberos4 - C:\WINDOWS\
O20 - Winlogon Notify: ovrscn - C:\WINDOWS\
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Program Files\Symantec AntiVirus\Rtvscan.exe');
DeleteFile('C:\PROGRA~1\SYMANT~1\VPTray.exe');
DeleteFile('C:\Program Files\Common Files\Symantec Shared\SSC\vpshell2.dll');
Executerepair(7);
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите папки
C:\Program Files\Symantec AntiVirus\
C:\Program Files\Common Files\Symantec Shared\

- Сделайте повторные логи
virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log
25.03.2009, 21:31
kitty2007

Вложений: 3

Новые логи
25.03.2009, 21:34
Гриша

В логах чисто, установите SP3+all updates...
26.03.2009, 21:34
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]34[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]