Printable View
[B]Как избавится от сообщения "Warning!Your System is infected!"[/B]
Здравствуйте, внизу в правом углу панели инструментов появился кружочок с крестиком и постоянно выбивал информацию о вирусе и о возможности приобретения платного антивируса, удалось удалить папку с этой прогой, но как результат- синий екран с черным прямоугольником с текстом "Your System is infected!" и предупреждениями.
Помогите пожалуйста.
Здравствуйте.
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в [U]Hijackthis[/U]:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O20 - Winlogon Notify: crypt - C:\WINDOWS\
O20 - Winlogon Notify: rewzpo - C:\WINDOWS\[/CODE]
Обновите базы AVZ. Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, запустите только AVZ и Internet Explorer.
Выполните скрипт в [U]AVZ[/U]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\avast!antivirus.exe');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Документы\Stardock\WindowBlinds\WBInstall32.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\WTSRV.EXE','');
QuarantineFile('C:\WINDOWS\system32\Drivers\NDIS.sys','');
QuarantineFile('c:\windows\system32\avast!antivirus.exe','');
SetServiceStart('avast!Antivirus', 4);
DeleteService('avast!Antivirus');
DeleteFile('c:\windows\system32\avast!antivirus.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('avast!Antivirus');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Очистите временные папки интернета.
Сделайте новые логи по правилам.
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{A8328420-90D0-4C47-8648-E502D40CACE7}: NameServer = 82.207.66.241 82.207.66.242
O17 - HKLM\System\CCS\Services\Tcpip\..\{DEDCBF84-554D-4D24-B17A-1CAA9A07A9AC}: NameServer = 192.158.1.29[/CODE]
Айпишники Ваши?
Простите что так поздно отвечаю, был на работе.
выполнил все ваши вышеуказанные шаги- синий екран пока не исчез(((
насчет айпишников вопрос не понял, у меня один компьютер дома и интернет, там айпи меняется вроде.
карантин отправил в архиве с паролем virus
[QUOTE]C:\WINDOWS\system32\Drivers\NDIS.sys - Virus.Win32.Protector.b[/QUOTE]
Нужно заменить файл: [url]http://virusinfo.info/showthread.php?t=51654[/url]
[QUOTE][B]192.158.1.29[/B]
OrgName: Veterans Administration-VA Medical Center
OrgID: VAMC
Address: 3801 Miranda Avenue
City: Palo Alto
StateProv: CA
PostalCode: 94304
Country: US
NetRange: 192.158.1.0 - 192.158.1.255
CIDR: 192.158.1.0/24
NetName: VAMCPALOALT1
NetHandle: NET-192-158-1-0-1
Parent: NET-192-0-0-0-0
NetType: Direct Assignment
NameServer: NS1.BARRNET.NET
Comment:
RegDate: 1992-04-20
Updated: 1993-09-22
RTechHandle: DR29-ARIN
RTechName: Robinson Dean
RTechPhone: 1-415-858-3971
RTechEmail: [email][email protected][/email][/QUOTE]
[QUOTE]82.207.66.242
inetnum: 82.207.64.0 - 82.207.67.255
netname: UKRTELNET
descr: Ukrtelecom IP access network in Kiev
descr: NCC2006091478 Approved IP assignment
country: ua
remarks: E-mail for SPAM and abuse [email][email protected][/email]
admin-c: ARM42-RIPE
tech-c: ARM42-RIPE
status: ASSIGNED PA
mnt-by: AS6849-MNT
source: RIPE Filtered
person: Remiga Alexander
address: JSC UKRTELECOM
address: 18 Shevchenko blvd
address: Ukraine Kiev
phone: 380 (44) 230-9024
nic-hdl: ARM42-RIPE
mnt-by: AS6849-MNT
source: RIPE Filtered
route: 82.207.0.0/17
descr: AGGREGATE BLOCK FOR UKRTELECOM
origin: AS6849
mnt-by: AS6849-MNT
source: RIPE Filtered [/QUOTE]
Я не думаю, что выше приведенные адреса говорят Вам что-нибудь.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O17 - HKLM\System\CCS\Services\Tcpip\..\{A8328420-90D0-4C47-8648-E502D40CACE7}: NameServer = 82.207.66.242 82.207.66.249
O17 - HKLM\System\CCS\Services\Tcpip\..\{DEDCBF84-554D-4D24-B17A-1CAA9A07A9AC}: NameServer = 192.158.1.29
[/CODE]
Вы не первый владелец ПК? Если я прав, то Вам лучше всего, переустановить систему полностью.
подскажите пожалуйста где достать этот файл, таких папок у меня не существует на компьютере(((
%systemroot%\system32\dllcache или %systemroot%\ServicePackFiles\i386.
[size="1"][color="#666686"][B][I]Добавлено через 44 минуты[/I][/B][/color][/size]
первый владелец. правда при покупке были проблеммы, на ноут установили сервис пак 3 и некоторые программы для моей работы (3дмакс например) не запускались, я отдал ноут и мне поставили сервис пак 2, проблемм потом не было...
насчет айпишников- 82.207.66.242
inetnum: 82.207.64.0 - 82.207.67.255
netname: UKRTELNET
это как бы ближе, мой провайдер
профиксил, что пореккомендуете теперь делать?
[QUOTE=архитектор;447909]подскажите пожалуйста где достать этот файл, таких папок у меня не существует на компьютере[/QUOTE]Прочитайте [B]внимательно[/B] статью , в особенности написанное [SIZE="1"]мелким шрифтом[/SIZE] :)
После замены файла сделайте новые логи по п.1 - 3 правил.
Добавлю
В этой папки [CODE]%systemroot%\system32\dllcache [/CODE] [B]данный зловред[/B] тоже подменяет файл. Так что из нее [B]не стоит заменять[/B]
я нашел такой же файл с таким же названием в другом месте в системе, а именно в
C:\WINDOWS\SoftwareDistribution\Download\eced8b5ea8e636fb8bff2b719fa62647 - ndis.sys
могу лия его использывать для замены и как осуществить замену?
простите что я полный чайник в этом(
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
хм, пробился в папку C:\WINDOWS\system32\dllcache
нашел файл, но как заменить не пойму( простым копированием не получается(
[QUOTE='архитектор;448437']хм, пробился в папку C:\WINDOWS\system32\dllcache
нашел файл, но как заменить не пойму( простым копированием не получается([/QUOTE]Прочтите внимательно сообщение №7
понял, заменять не стоит, а что тогда делать?..(
помогите одолеть этот вирус(
[QUOTE=архитектор;448547]
помогите одолеть этот вирус([/QUOTE]Нужно заменить файл с дистрибутива или с аналогичной системы. Вы статью по ссылке внимательно прочитали?
прочитал внимательно...но не знаю где найти аналогическую систему и не понимаю что такое дистрибутив((( когда пробовал копированием заменить файл, выбила ошибка, что файл занят другим приложением(
[QUOTE=архитектор;448839]не понимаю что такое дистрибутив[/QUOTE]
что такое [URL="http://ru.wikipedia.org/wiki/%D0%94%D0%B8%D1%81%D1%82%D1%80%D0%B8%D0%B1%D1%83%D1%82%D0%B8%D0%B2"]дистрибутив[/URL]
[size="1"][color="#666686"][B][I]Добавлено через 41 секунду[/I][/B][/color][/size]
[QUOTE=архитектор;448839]не знаю где найти аналогическую систему [/QUOTE]
У соседей, друзей, коллег и т.д. :)
все, серьезно взялся за решение этой проблеммы!
вопрос- как узнать что у друзей или коллег такая же ОС и тот же сервис пак? можно ли это какнить прописать или вычислить?
[QUOTE=архитектор;449706]как узнать что у друзей или коллег такая же ОС и тот же сервис пак? [/QUOTE]Правой кнопкой мыши замаркировать Мой Компьютер/Свойства
файл ndis.sys достал с работы с незараженного компа, теперь обьясните пожалуйста как запустить консоль восстановления или же как получить загрузочный диск для запуска этой панели? потому что в безопасном режиме выбивает что файл занят другим приложением при попытке замены(
[QUOTE=архитектор;452023]теперь обьясните пожалуйста как запустить консоль восстановления[/QUOTE]там в статье, на которую Вам ссылку дали, абсолютно все написано, а что не написано (по причине соблюдения авторских прав) - даны ссылки на оригинальные статьи. Вы только читайте, плиз. :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\ndis.sys - [B]Virus.Win32.Protector.b[/B] ( DrWEB: Trojan.NtRootKit.2912, BitDefender: Rootkit.19224, NOD32: Win32/Protector.C virus, AVAST4: Win32:Cutwail-J )[/LIST][/LIST]