Не загружаются диспетчер задач и т.п.

Printable View

17.07.2009, 16:37
schegloff

Вложений: 3

Не загружаются диспетчер задач и т.п.

Симптомы:
- не запускается диспетчер задач ("Отключен администратором")
- не запускаются regedit и avz4
- не выполняются команды в cmd
- не заходит на virusinfo.info
- при попытке войти в безопасном режиме - сразу перезагрузка
- вирус гадит в корень всех сетевых дисков большим количеством исполнимых файлов

Помогите, пожалуйста. Файлы в аттаче.
17.07.2009, 16:46
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('R:\iuurko.exe','');
QuarantineFile('P:\mrki.cmd','');
QuarantineFile('P:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\snfmm.sys','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\winkeqwjh.exe','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\w6c12f.exe','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\mcme.exe','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\ihae.exe','');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\ihae.exe');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\mcme.exe');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\w6c12f.exe');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\winkeqwjh.exe');
DeleteFile('C:\WINDOWS\system32\drivers\snfmm.sys');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('P:\autorun.inf');
DeleteFile('P:\mrki.cmd');
DeleteFile('R:\autorun.inf');
DeleteFile('R:\iuurko.exe');
DeleteFileMask('C:\DOCUME~1\1\LOCALS~1\Temp', '*.*', true);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(10);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=50176[/url]).

Пролечите компьютер, как описано здесь:
[url]http://virusinfo.info/showthread.php?t=15927[/url].

Обновите базы AVZ и сделайте новые логи.
17.07.2009, 17:22
schegloff

Вложений: 1

Ни один из вариантов лечения не подходит - нет возможности записать болванку и нет компьютеров с Касперским или DrWeb. Обновленные логи высылаю.
17.07.2009, 17:38
Bratez

Карантина вашего нет - пришлите.
17.07.2009, 18:41
schegloff

Пролечил этой штукой: [url]http://support.kaspersky.ru/faq/?qid=208636131[/url]

Карантин загрузил. На вирусинфо по-прежнему не заходит.
17.07.2009, 18:51
schegloff

Вложений: 1

Выкладываю логи после использования утилиты от Касперского
17.07.2009, 20:31
thyrex

Вполне возможно, что Sality выжил в борьбе

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('abp470n5', 4);
DeleteService('abp470n5');
QuarantineFile('C:\WINDOWS\system32\drivers\snfmm.sys','');
QuarantineFile('C:\WINDOWS\system32\advapi32t.exe','');
DeleteService('mnmsrvcwscsvc');
DeleteFile('C:\WINDOWS\system32\advapi32t.exe');
DeleteFile('C:\WINDOWS\system32\drivers\snfmm.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]Обновить базы AVZ[/B]
Сделайте новые логи
20.07.2009, 09:04
schegloff

Вложений: 3

Выполнил. Выкладываю карантин и логи.

Диспетчер задач по-прежнему не открывается.
20.07.2009, 09:34
thyrex

Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\WINDOWS\system32\drivers\pnotq.sys','');
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[SIZE="3"][COLOR="Red"][B]Обновите базы AVZ[/B][/COLOR][/SIZE]

Сделайте новые логи AVZ
20.07.2009, 09:45
schegloff

Выслал карантин.
20.07.2009, 10:15
schegloff

Вложений: 3

Новые логи
20.07.2009, 10:21
thyrex

d:\popopo3\ - что это за папка?

d:\popopo3\opopop.com - болен [B]Sality.aa[/B]

А в новых логах полезла дальше нечисть.

Лечитесь дальше от файлового вируса. Sality_off запускали с CD (DVD)?
20.07.2009, 10:25
schegloff

[QUOTE=thyrex;434496]d:\popopo3\ - что это за папка?

d:\popopo3\opopop.com - болен [B]Sality.aa[/B]

А в новых логах полезла дальше нечисть.

Лечитесь дальше от файлового вируса. Sality_off запускали с CD (DVD)?[/QUOTE]
Да это и есть Sality_off, только переименованный.
Запускался с флешки, поначалу лечил на какое-то время, потом перестал.
20.07.2009, 10:39
thyrex

На чистой машине скачайте Sality_off и CureIt
Запишите на CD (на чистой машине)
Пропишите запуск Sality_off -m в автозагрузку (как сделать смотрим [url]http://support.kaspersky.ru/faq/?qid=208636131[/url])
Вставляете диск в привод, перезагружаетесь.
Когда запустится Sality_off, можно запускать CureIt на лечение
И флэшку вылечить не забудьте
20.07.2009, 16:17
schegloff

Вложений: 3

Сделал по интструкции. Вроде, вирус побежден.

Посмотрите, пожалуйста, логи.
20.07.2009, 16:23
thyrex

Может быть...

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\kqggn.sys','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\nxoewo.exe','');
TerminateProcessByName('c:\docume~1\1\locals~1\temp\winsbjxh.exe');
QuarantineFile('c:\docume~1\1\locals~1\temp\winsbjxh.exe','');
TerminateProcessByName('c:\docume~1\1\locals~1\temp\w107ea8.exe');
QuarantineFile('c:\docume~1\1\locals~1\temp\w107ea8.exe','');
DeleteFile('c:\docume~1\1\locals~1\temp\w107ea8.exe');
DeleteFile('c:\docume~1\1\locals~1\temp\winsbjxh.exe');
DeleteFile('C:\DOCUME~1\1\LOCALS~1\Temp\nxoewo.exe');
DeleteFile('C:\WINDOWS\system32\drivers\kqggn.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
21.07.2009, 16:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]47[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\1\doctorweb\quarantine\wait[1].htm - [B]Trojan-Spy.Win32.Zbot.pmq[/B] ( DrWEB: Trojan.Packed.366, BitDefender: Trojan.Generic.1544039 )[*] c:\docume~1\1\locals~1\temp\ihae.exe - [B]Trojan-Downloader.Win32.Agent.bqbt[/B] ( DrWEB: Trojan.MailSpam.41, BitDefender: Backdoor.Agent.AAFO )[*] c:\docume~1\1\locals~1\temp\mcme.exe - [B]Trojan.Win32.Agent.cogy[/B] ( DrWEB: Trojan.Spambot.3378, BitDefender: Trojan.Generic.2044615 )[*] c:\docume~1\1\locals~1\temp\winkeqwjh.exe - [B]Trojan-PSW.Win32.Agent.nkr[/B] ( DrWEB: Trojan.PWS.Sector.origin, BitDefender: Trojan.Crypt.HO )[*] c:\docume~1\1\locals~1\temp\w6c12f.exe - [B]Backdoor.Win32.Spammy.a[/B] ( BitDefender: Trojan.Crypt.HO )[*] d:\popopo3\opopop.com - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[*] p:\jnnqj.cmd - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[*] p:\mlkg.pif - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[*] p:\mrki.cmd - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[*] r:\iuurko.exe - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[*] r:\mlcx.pif - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[*] r:\yfckdu.pif - [B]Virus.Win32.Sality.aa[/B] ( DrWEB: Win32.Sector.17, BitDefender: Win32.Sality.OG )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]