Помогите!!! не могу избавиться((

Printable View

09.05.2009, 17:48
Corey

Вложений: 3

Помогите!!! не могу избавиться((

Всем доброго времени суток! С праздником Великой победы!

Такая проблема: мучаюсь уже третий день - [I][B]1)[/B][/I] Стали появляться процессы [B]services.exe[/B], [B]cmd.exe[/B] и начинают плодиться как кролики...грузят всю систему(( [I][B]2)[/B][/I] Как только подключаюсь к интернету
появляется проклятый [B]SVCHOST.EXE[/B] а то и даже две штуки...если его не завершить в течение пары минут... отключается локальная сеть и интернет тоже тухнет, но через 10-15 секунд выскакиевает снова(( [I][B]3)[/B][/I] самая зараза это [B]IEXPLORE.EXE[/B] появляется каждые 5-10 секунд на миг и тут же исчезает!!! всё бы ничего, но когда он выскакивает у меня сворачиваются все окна. Невозможно работать!!!

Прошу помощи, помогите пожалуйста!:(
09.05.2009, 18:02
Макcим

Выполните скрипт[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('c:\windows\system32\userinit.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyf05.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxe73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxe16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxd40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winwd40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winvc16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winvb40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winsx27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winrx50.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winrw84.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winqw83.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winqv73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winpu05.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winot51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winms38.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr80.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winlr16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winlq16.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winkq05.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winjp40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winin62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wingl62.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winej51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Windj40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Windj27.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winck83.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Wincj73.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winci51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winbh51.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winbh40.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winag84.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winag16.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\vitra.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\toje700.sys','');
QuarantineFile('C:\WINDOWS\system32\wbem\wmiapsrv.exe','');
QuarantineFile('C:\WINDOWS\System32\vssvc.exe','');
QuarantineFile('C:\WINDOWS\System32\ups.exe','');
QuarantineFile('C:\WINDOWS\system32\smlogsvc.exe','');
QuarantineFile('C:\WINDOWS\System32\SCardSvr.exe','');
QuarantineFile('C:\WINDOWS\system32\rsvp.exe','');
QuarantineFile('C:\WINDOWS\system32\locator.exe','');
QuarantineFile('C:\WINDOWS\system32\sessmgr.exe','');
QuarantineFile('C:\WINDOWS\system32\nvsvc32.exe','');
QuarantineFile('C:\WINDOWS\system32\msiexec.exe','');
QuarantineFile('C:\WINDOWS\system32\msdtc.exe','');
QuarantineFile('C:\WINDOWS\system32\mnmsrvc.exe','');
QuarantineFile('C:\WINDOWS\system32\imapi.exe','');
QuarantineFile('C:\WINDOWS\System32\dmadmin.exe','');
QuarantineFile('C:\WINDOWS\system32\dllhost.exe','');
QuarantineFile('C:\WINDOWS\system32\cisvc.exe','');
QuarantineFile('C:\WINDOWS\System32\alg.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\rmh3e98.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\qlge55e.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\oje729f.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\nid3db2.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\lgbc9c0.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\jet7cfe.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\jeo7d19.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\ids1f85.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\hcr39d8.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\gbqa9ee.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\fap205e.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\bqle9bd.sys','');
QuarantineFile('C:\WINDOWS\system32\vksaver.dll','');
QuarantineFile('c:\windows\services.exe','');
QuarantineFile('c:\windows\system32\spool\drivers\w32x86\3\cappswk.exe','');
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('c:\windows\system32\ctfmon.exe','');
RebootWindows(false);
end.[/CODE]Загрузите карантин согласно приложению №3 правил.

Полечитесь как написано здесь [url]http://virusinfo.info/showthread.php?t=15927[/url] и сделайте свежие логи.
09.05.2009, 18:57
Corey

Вложений: 3

Скрипт выполнил...никаких изменений я не заметил...всё по прежнему паршиво(( Лечился доктором Вэбом...бесполезно, он ничего не видит!
Карантин загрузил, и вот свежие логи!
09.05.2009, 19:05
Макcим

Лечитесь вот этим [url]http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/[/url] Кстати им же сделайте потом лог "Ручное лечение".
09.05.2009, 20:01
Corey

Вложений: 1

Скачал, просканировал=) вроде бы вся зараза отвяла:D огромнейшое [B]спасибо!!![/B]

P.S. на всякий случай выкладываю лог
09.05.2009, 21:30
Макcим

Рано радуетесь, лечиться ещё долго...

1. Выполните скрипт[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\vksaver.dll');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportDeletedList;
BC_Activate;
ExecuteSysClean;
ExecuteWizard('TSW', 1, 1, true);
ExecuteWizard('BT', 1, 1, true);
RebootWindows(false);
end.[/CODE]2. AVZ => Сервис => Диспетчер служб и драйверов. Там выберете "сервисы" и показывать не запущенные, дословно не помню как это называется. Смысл в том чтобы удалить все службы (только службы, драйвера не трогать!) у которых в имени файла прописано srv.exe (не удалите что-нибудь нужное по ошибке!). Потом перезагрузитесь и сделаете повторно логи AVZ или AVPTool, на Ваше усмотрение.
09.05.2009, 23:42
Corey

Вложений: 2

Всё выполнил строго по инструкции. Прикладываю свежие логи avz
10.05.2009, 00:12
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\wtukd32.exe');
DeleteFile('C:\WINDOWS\system32\tpszxyd.sys');
QuarantineFile('C:\WINDOWS\System32\drivers\vitra.sys','');
DeleteService('Winag16');
DeleteService('Winag84');
DeleteService('Winbh40');
DeleteService('Winbh51');
DeleteService('Winci51');
DeleteService('Wincj73');
DeleteService('Winck83');
DeleteService('Windj27');
DeleteService('Windj40');
DeleteService('Winej51');
DeleteService('Wingl62');
DeleteService('Winin62');
DeleteService('Winjp40');
DeleteService('Winlq16');
DeleteService('Winlr16');
DeleteService('Winlr51');
DeleteService('Winlr80');
DeleteService('Winms38');
DeleteService('Winot51');
DeleteService('Winpu05');
DeleteService('Winqv73');
DeleteService('Winqw83');
DeleteService('Winrw84');
DeleteService('Winrx50');
DeleteService('Winsx27');
DeleteService('Winvb40');
DeleteService('Winvc16');
DeleteService('Winwd40');
DeleteService('Winxd40');
DeleteService('Winxe16');
DeleteService('Winxe73');
DeleteService('Winyf05');
QuarantineFile('c:\windows\system32\userinit.exe','');
DeleteFile('WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyf05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxe73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxe16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxd40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winwd40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winvc16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winvb40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winsx27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrx50.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winrw84.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqw83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winqv73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winot51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winms38.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winlr80.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winlr51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winlr16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winlq16.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winjp40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winin62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wingl62.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winej51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Windj40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Windj27.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winck83.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Wincj73.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winci51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbh51.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winbh40.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winag84.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winag16.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
10.05.2009, 00:38
Corey

Вложений: 3

Скрипт выполнен. Карантин загружен. прикладываю свежи логи...
10.05.2009, 01:05
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_3456_1.tmp','');
QuarantineFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_4472_1.tmp','');
DelBHO('{D4C56A33-3488-495B-8033-9BF834E276D8}');
QuarantineFile('C:\WINDOWS\system32\brastk.exe','');
DeleteService('Winpu05');
DeleteService('Winkq05');
DeleteFile('C:\WINDOWS\System32\Drivers\Winkq05.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winpu05.sys');
DeleteFile('C:\WINDOWS\system32\brastk.exe');
DeleteFile('C:\PROGRA~1\Webalta\WEBALT~1.DLL');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Winpu05');
BC_DeleteSvc('Winkq05');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
10.05.2009, 01:29
Corey

Вложений: 3

Всё выполнено! карантин загрузил...прикладываю свежие логи
10.05.2009, 11:29
AndreyKa

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
DeleteService('xmlprovupnphostdmserverLmHostsNtmsSvcThemes');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1208_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1872_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1172_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_5684_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_1524_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_308_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_3456_1.tmp');
DeleteFile('C:\Documents and Settings\-+-+\LOCALS~1\Temp\avz_4472_1.tmp');
end.
[/code]
[url=http://virusinfo.info/showthread.php?t=4491]Пофиксте[/url] в HijackThis следующие строки:
[quote]
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\windows\system32\wscript.exe
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\
[/quote]
После перезагрузки сделайте новый лог HijackThis и приложите сюда.

Проблема решена?
10.05.2009, 13:02
Corey

Вложений: 1

Пофиксил в HijackThis...прикладываю свежий лог
10.05.2009, 13:03
Гриша

Чисто...
10.05.2009, 13:07
Corey

Огромное спасибо! всем хелперам) которые уделили мне время!!! всем удачной работы;)
10.05.2009, 21:39
Макcим

Проведите пожалуйста процедуру, описанную в первом сообщении [url]http://virusinfo.info/showthread.php?t=3519[/url]
11.05.2009, 21:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]52[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\-+-+\locals~1\temp\avz_1172_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_1208_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_1524_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_1872_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_308_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_3456_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_4472_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\documents and settings\-+-+\locals~1\temp\avz_5684_1.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: Trojan.DownLoad.35111, BitDefender: Trojan.Refpron.S )[*] c:\program files\thunmail\testabd.exe - [B]Trojan-GameThief.Win32.WOW.mih[/B][*] c:\windows\services.exe - [B]Trojan-Downloader.Win32.Small.jsf[/B] ( BitDefender: Trojan.Agent.AMPS )[*] c:\windows\system32\drivers\bqle9bd.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\fap205e.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\gbqa9ee.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\hcr39d8.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\ids1f85.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\jeo7d19.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\jet7cfe.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\lgbc9c0.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\nid3db2.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\oje729f.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\qlge55e.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\rmh3e98.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\drivers\toje700.sys - [B]Backdoor.Win32.IEbooot.brr[/B] ( BitDefender: Rootkit.Otlard.A )[*] c:\windows\system32\tpszxyd.sys - [B]Packed.Win32.Koblu.b[/B] ( BitDefender: Trojan.Delf.PSQ )[*] c:\windows\system32\wtukd32.exe - [B]Packed.Win32.Koblu.b[/B][/LIST][/LIST]