Схватил вирус не могу от него избавиться

Printable View

30.07.2009, 21:02
gudge25

Схватил вирус не могу от него избавиться

Схватил вирус [COLOR=Red]sdra64.exe[/COLOR] касперский находит говорит что вылечит при перезагрузке-не лечит все происходит по новой.Если пофиксить F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\sdra64.exe, -вылезает синий экран.
30.07.2009, 21:29
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Siber Systems\AI RoboForm\RoboFormComFillForms.html','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\ntoskrnl.exe','');
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('c:\windows\system32\ctfmon.exe','');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportALL;
ExecuteSysClean;
BC_QrSvc('zeftvhstn');
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(false);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин по [url=http://virusinfo.info/showthread.php?t=1235]правилам[/url].
Сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Еще сделайте такой лог: [url]http://virusinfo.info/showthread.php?t=40118[/url]
30.07.2009, 22:07
gudge25

Все сделал жду дальнейших рекомендаций
GMER has found system modification
30.07.2009, 23:57
kps

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]R3 - URLSearchHook: (no name) - - (no file)
O4 - HKUS\S-1-5-19\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [ZZZZ1_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\custom.inf,OnceFirstLogonInstall,0 (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection
O4 - HKUS\.DEFAULT\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection
[/code]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SetAVZPMStatus(false);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\aujasnkj.sys','');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\aujasnkj.sys');
BC_ImportALL;
ExecuteSysClean;
DeleteService('eqotrtcnp');
DeleteService('zeftvhstn');
BC_Activate;
RebootWindows(false);
end.[/code]

Компьютер перезагрузится.
Сделайте снова 4 лога и пришлите новый карантин.
31.07.2009, 00:30
gudge25

Вложений: 1

все сделал.
теперь gmer-svchost.exe--rootkit activity
31.07.2009, 13:21
kps

[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O4 - HKUS\S-1-5-19\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection
O4 - HKUS\S-1-5-20\..\RunOnce: [ZZZZ2_FirstLogonSetting] %SystemRoot%\System32\rundll32.exe advpack.dll,LaunchINFSection
O4 - HKUS\S-1-5-18\..\RunOnce: [IE7_011] regsvr32 /s /n /i:u shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [IE7_011] regsvr32 /s /n /i:u shell32 (User 'Default user')
[/code]

Скачайте этот AVZ: [url]http://rapidshare.com/files/262070083/avz.exe.html[/url] и положите его в отдельную папку.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в скачанном по ссылке AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\fubenrkn.dll','');
DeleteFile('C:\WINDOWS\system32\fubenrkn.dll');
BC_ImportALL;
ExecuteSysClean;
DeleteService('zeftvhstn');
DeleteService('eqotrtcnp');
DeleteService('tduceku');
RegKeyDel('HKLM', 'SYSTEM\ControlSet005\Services\zeftvhstn');
RegKeyDel('HKLM', 'SYSTEM\ControlSet006\Services\zeftvhstn');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\eqotrtcnp');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\tduceku');
RegKeyDel('HKLM', 'SYSTEM\ControlSet009\Services\eqotrtcnp');
RegKeyDel('HKLM', 'SYSTEM\ControlSet009\Services\zeftvhstn');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
В этой отдельной папке будет папка с карантином. Его пришлите нам по правилам. И сделайте новые логи, логи AVZ - со скачанным по ссылке выше AVZ.
03.08.2009, 18:34
gudge25

скиньте пожалуйста правильную ссылку на AVZ
03.08.2009, 19:22
Rene-gad

[QUOTE=gudge25;442186]скиньте пожалуйста правильную ссылку на AVZ[/QUOTE]Ссылка рабочая. Нажмите кнопку Free User и ждите 1 минуту.
03.08.2009, 20:59
thyrex

Кроме новых логов (после выполнения рекомендаций из сообщения №6) сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]
04.08.2009, 01:07
gudge25

[QUOTE=Rene-gad;442213]Ссылка рабочая. Нажмите кнопку Free User и ждите 1 минуту.[/QUOTE]
....avz.exe не является приложенем win 32
04.08.2009, 02:28
kps

Пробуйте скрипт тогда в обычном AVZ. Не забудьте потом прислать новый карантин и сделать новые логи.
05.08.2009, 17:43
gudge25

Вложений: 4

сделал
05.08.2009, 17:52
Rene-gad

Код:

[CODE]gmer.exe -del reg "HKLM\SYSTEM\ControlSet006\Services\zeftvhstn"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet007\Services\zeftvhstn"
gmer.exe -del file "C:\WINDOWS\system32\fubenrkn.dll"
gmer.exe -reboot[/CODE]

скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 123.bat и запустите.

После перезагрузки:

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Повторите действия, описанные в п. 2 и 3 Диагностики и новые логи прикрепите к новому сообщению, повторите лог gmer.
05.08.2009, 18:20
gudge25

Вложений: 3

сделал ! касперский находит постоянно C:\WINDOWS\SYSTEM32\x/PE_Patch.UPX/UPX Generic Host Process for Win32 Services Обнаружено: Net-Worm.Win32.Kido.ih
C:\DOCUMENTS AND SETTINGS\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\VRCG9QCU\nhdt[1].bmp/PE_Patch.UPX/UPX Generic Host Process for Win32 Services Обнаружено: Net-Worm.Win32.Kido.ih
ВЫЛАЗИТ SVchost.exe ---память не может быть read --- после этого нижняя панель становиться с мин эффектами -тоесть кнопка ПУск квадратная не зеленая итд
05.08.2009, 20:02
Rene-gad

[QUOTE]Обнаружено: Net-Worm.Win32.Kido.ih[/QUOTE] [url]http://support.kaspersky.ru/faq/?qid=208636215[/url]

После лечения:
- Повторите действия, описанные в п. 2 и 3 Диагностики и новые логи прикрепите к новому сообщению
05.08.2009, 21:00
kps

Вы не прислали карантин после скрипта из сообщения номер 6. Пришлите пожалуйста.
06.08.2009, 21:00
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\sdra64.exe - [B]Trojan-Spy.Win32.Zbot.yvv[/B][/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]