Вирус Win32.HLLP.whboy.origin.. вылечить не получается...

Printable View

Показывать 40 сообщений этой темы на одной странице

24.04.2009, 14:02
BoozyWoozy

Вложений: 3

Вирус Win32.HLLP.whboy.origin.. вылечить не получается...

Пробовал НОД3 не смог установить....
Касперский стоял но перестал загружатся...
ДР. веб постоянно находи одни и теже файлы без прогресса ... тоесть скаждым запуском одно и тоже. пробовал зопасном режиме и с ливСД .....
поведение у вируса странное побил exe файлы но не все(к примеру ВОРД убил Ексель нет )))
при запуске инсталяционного шника инстал не запускается зато создаётся в тойже папке копия инсталятора с расширением exe.exe....
24.04.2009, 15:35
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('Pvb16');
QuarantineFile('C:\WINDOWS\dropcpyr.dll','');
QuarantineFile('WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\ieqnfqn.dll','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
QuarantineFile('C:\WINDOWS\copyfstq.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Pvb16.sys','');
QuarantineFile('C:\WINDOWS\system32\WlCtrl32.dll','');
DeleteFile('C:\WINDOWS\system32\WlCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Pvb16.sys');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\system32\ieqnfqn.dll');
DeleteFile('WinCtrl32.dll');
DeleteService('Pvb16');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Pvb16');
ExecuteRepair(7);
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
24.04.2009, 17:16
BoozyWoozy

Вложений: 3

всё сделал ...
одно но при запуске обозревателя со старту пытается зайти на страничку
24.04.2009, 17:45
BoozyWoozy

ещё в процесах есть неубиваемые 2 процесса:
1) CTHELPER.EXE
2) iexplore.exe
я их убиваю и через 5 сек они снова появляются....
24.04.2009, 19:08
light59

ga2.exe_ - Trojan.Win32.VB.nwp,
haha.exe_, lc.exe_, lskkt.exe_, scha.exe_ - Backdoor.Win32.VB.inm
Детектирование файлов будет добавлено в следующее обновление.

[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
F2 - REG:system.ini: Shell=Explorer.exe C:\PROGRA~1\COMMON~1\Microsoft\CTHELPER.EXE
F3 - REG:win.ini: load=C:\PROGRA~1\COMMON~1\\svchost.exe
[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]В AVZ -> файл-> Выполнить скрипт[/URL]

[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files\common files\microsoft\cthelper.exe');
TerminateProcessByName('c:\program files\common files\svchost.exe');
TerminateProcessByName('c:\program files\microsoft office\smss.exe');
TerminateProcessByName('c:\windows\system32\schost.exe');
QuarantineFile('C:\WINDOWS\copyfstq.exe','');
QuarantineFile('c:\k1.tmp','');
QuarantineFile('C:\WINDOWS\system32\Drivers\cpqui.sys','');
QuarantineFile('C:\WINDOWS\system32\YIXarL.dll','');
QuarantineFile('C:\Program Files\Common Files\avicap.dll','');
QuarantineFile('C:\Program Files\Common Files\Microsoft\CTHELPER.EXE','');
QuarantineFile('C:\Program Files\Common Files\Microsoft\krnln.fnr','');
QuarantineFile('C:\Program Files\Microsoft Office\krnln.fnr','');
QuarantineFile('c:\program files\common files\svchost.exe','');
QuarantineFile('c:\program files\microsoft office\smss.exe','');
QuarantineFile('c:\windows\system32\schost.exe','');
StopService('msnapa');
DeleteService('msnapa');
DeleteFile('c:\windows\system32\schost.exe');
DeleteFile('c:\program files\microsoft office\smss.exe');
DeleteFile('c:\program files\common files\svchost.exe');
DeleteFile('C:\Program Files\Microsoft Office\krnln.fnr');
DeleteFile('C:\Program Files\Common Files\Microsoft\krnln.fnr');
DeleteFile('C:\Program Files\Common Files\Microsoft\CTHELPER.EXE');
DeleteFile('C:\Program Files\Common Files\avicap.dll');
DeleteFile('C:\WINDOWS\system32\YIXarL.dll');
DeleteFile('c:\k1.tmp');
BC_ImportDeletedList;
BC_DeleteSvc('k360');
BC_DeleteSvc('msnapa');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(16);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Пришлите карантин согласно правил по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=44461"]http://virusinfo.info/upload_virus.php?tid=44461[/URL].
Сделайте полную проверку AVPTool и повторите логи.
25.04.2009, 15:04
BoozyWoozy

Вложений: 3

есть процес который ни АВП ни АВЗ завершить\удалить не может ...
АВП написал удалит после ребута но не удалил...
процес qqsafe.exe...
в темп папке юзера постоянно создаются какието файлы .. штук 10-15 еще в корзине постоянна есть 4 файла которых не видно но удалить можно....
карантин выслал логи повторил....

есть идеи?
25.04.2009, 16:19
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\cursors\qqsafe.exe');
QuarantineFile('C:\WINDOWS\copyfstq.exe','');
QuarantineFile('C:\WINDOWS\system32\lssas.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\cpqui.sys','');
QuarantineFile('c:\windows\cursors\qqsafe.exe','');
DeleteFile('c:\windows\cursors\qqsafe.exe');
DeleteFile('C:\WINDOWS\system32\lssas.exe');
DeleteFile('C:\WINDOWS\copyfstq.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
25.04.2009, 17:10
BoozyWoozy

Вложений: 3

Всё сделал только скрипт пришлось сделать в безопасном режиме ... ибо просто выдавал ошибку....
нипонятных процессов больше не наблюдается....
логи и карантин в студии.....
26.04.2009, 11:02
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205418
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205418
O2 - BHO: (no name) - {DCF49866-8F81-4F5F-8193-7EC75A2AB321} - (no file)
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('xmqmawo');
StopService('ClipSrv');
QuarantineFile('C:\WINDOWS\system32\ntsd.exe','');
QuarantineFile('copyfstq.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\cpqui.sys','');
QuarantineFile('C:\WINDOWS\java\classes\c1ipsrv.exe','');
QuarantineFile('C:\WINDOWS\system32\YIXarL.dll','');
DeleteFile('C:\WINDOWS\system32\YIXarL.dll');
DeleteFile('C:\WINDOWS\java\classes\c1ipsrv.exe');
DeleteFile('C:\WINDOWS\system32\drivers\cpqui.sys');
DeleteFile('copyfstq.exe');
DeleteService('ClipSrv');
DeleteService('xmqmawo');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('ClipSrv');
BC_DeleteSvc('xmqmawo');
executerepair(6);
executerepair(9);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
27.04.2009, 08:46
BoozyWoozy

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]ww.9348.сn/?205418[/url]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [url]ww.9348.сn/?205418[/url]
не фиксятся.....
после повторного сканирования они снова на том же месте
27.04.2009, 09:25
BoozyWoozy

Вложений: 3

вот логи....
и карантин...
27.04.2009, 13:08
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205418
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205418
[/CODE]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\scha.exe','');
QuarantineFile('C:\WINDOWS\system32\lskkt.exe','');
QuarantineFile('C:\WINDOWS\system32\YIXarL.dll','');
DeleteFile('C:\WINDOWS\system32\YIXarL.dll');
DeleteFile('C:\WINDOWS\system32\lskkt.exe');
DeleteFile('C:\WINDOWS\system32\scha.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
27.04.2009, 13:54
BoozyWoozy

не фиксится... пробовал раз 5-6.....
27.04.2009, 13:54
Rene-gad

[QUOTE=BoozyWoozy;393612]не фиксится... пробовал раз 5-6.....[/QUOTE]Логи?
27.04.2009, 14:41
BoozyWoozy

Вложений: 3

щас 2 минутки.....

[size="1"][color="#666686"][B][I]Добавлено через 42 минуты[/I][/B][/color][/size]

можно я включу в карантин файл по своему усмотрению?
просто он запускает процесс и явно не принадлежит к системе и софту установленном мною.... находится в систем32\дриверс....

логи и карантин залил..
27.04.2009, 17:52
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\TXPlatformm.exe');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205418
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.9348.cn/?205418
[/CODE]
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
27.04.2009, 18:31
BoozyWoozy

Вложений: 3

C:\WINDOWS\system32\drivers\TXPlatformm.exe
удаляется без проблем ручками.....
а вот фикс не проходит....
щас попробовал ручками в реестре удалить... после перезагрузки выложу логи....

[size="1"][color="#666686"][B][I]Добавлено через 21 минуту[/I][/B][/color][/size]

после удаления в реестре адреса с HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]ww.9348.сп/?205418[/url]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = [url]ww.9348.сп/?205418[/url]

машина грузится только в безопасном режиме (((
хотя я не удалял ничего а только поменял адрес в нужных файлах

вот логи ... правда из безопасного режима....

вообщем файл TXPlatformm.exe вновь и вновь появляется в папке систем32\дриверс....
также он появляется в процессах при запуске некоторых exe файлов при этом создаётся файл с тем же названием в тойже папке но с расширением .exe.exe
прописывает себя в реестре в :HKCU\software\microsoft\windows\curentwersion\run
имя explorer тип reg_SZ начение C:\WINDOWS\system32\drivers\TXPlatformm.exe

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

Закрывайте наверное тему... ибо нет возможности больше затягивать у меня решение этой проблеммы.... буду переставлять систему.....
27.04.2009, 21:08
Rene-gad

Сделайте еще лог gmer: [url]http://virusinfo.info/showthread.php?t=40118[/url] а потом - своя рука - владыка ;)
ЕЩЕ РАЗ УВИЖУ АКТИВНУЮ ССЫЛКУ НА ЗЛОВРЕДА В ТЕМЕ - БАН ОБЕСПЕЧЕН!!!!
27.04.2009, 21:17
BoozyWoozy

извените я не знал что она будет активной....
просто скопировал из кода ПРОФИКСИТЕ.......
сцылки поправил....
логи будут через 10 мин....
27.04.2009, 21:19
Rene-gad

[QUOTE=BoozyWoozy;393812]
логи будут через 10 мин....[/QUOTE]Нужен [B]1 лог[/B] gmer, сканирование может длиться и час :)

Показывать 40 сообщений этой темы на одной странице