Printable View
Здравствуйте, у меня появилась такая же проблема, как и у многих, кто к Вам обращается. NOD32 4.0.437.0 выдает сообщение: "Оперативная память - [B]Win32/Rootkit.Agent.ODG[/B] троянская программа - очистка невозможна". Помогите пожалуйста.
Все делал по инструкции форума. Логи ниже.
Ну помогите, в самом деле!
Сижу на чужом компе и уже хочу домой :)
Тем, кто ОЧЕНЬ спешит я обычно советую сделать format c:\ - получается намного быстрее.
[QUOTE]Пожалуйста, помните, что помощь Вам оказывается бесплатно, и на добровольной основе. Не требуйте помощи в категоричной форме.[/QUOTE]
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL].
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
Извините если мое сообщение получилось требовательным и категоричным :)
Просто уже 2-й день с этим компом маюсь - а домой не отпускают :)
И винду не дают переставить, говорят: "Лицензионная!" А тут - "зверь" с вирусом :)
Теперь по существу:
1) Бонжур удален
2) Времянки почищены.
3) Лог прикреплен.
Спасибо за помощь!
П.С. G-mer сообщил о следах руткитов.
И еще вопрос: периодически пропадают элементы окон. После свернуть/развернуть или перемещения опять появляются. Знаю что проблема характерна для "зверя", а вот можно ее как-то победить?
Код:
[CODE]gmer.exe -del service SKYNETxfmqxoba
gmer.exe -del file "C:\WINDOWS\system32\drivers\SKYNETfucbfomv.sys"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETqgfjwbsm.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETkverqoiv.dat"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETssfvscnm.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETgwypbivo.dat"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETxfmqxoba"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETxfmqxoba"
gmer.exe -reboot[/CODE]
скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 123.bat и запустите.
После перезагрузки повторите логи по правилам + gmer.
При первом запуске 123.bat выдал ошибку на строке:
gmer.exe -del file "C:\WINDOWS\system32\SKYNETgwypbivo.dat"
(ошибка в доступе к памяти по адресу...)
После перезагрузки повторный запуск батника прошел до строки:
gmer.exe -del file "C:\WINDOWS\system32\drivers\SKYNETfucbfomv.sys"
дальше писал ошибки, что файл не существует. Т.е. они удалились?
NOD после перезагрузок по-прежнему выдает предупреждение о рутките.
Все логи в аттаче.
-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Temp\nro.tmp\SetupX.exe','');
BC_ImportAll;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
Код:
[CODE]gmer.exe -del service SKYNETxfmqxoba
gmer.exe -del file "C:\WINDOWS\system32\drivers\SKYNETfucbfomv.sys"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETwsp.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETiqxerxeu.dat"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETbvttyeqc.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNEThenwkbdu.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETyeurgbrq.dat"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETxfmqxoba"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETxfmqxoba"
gmer.exe -reboot[/CODE]
скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 22222.bat и запустите.
После перезагрузки повторите логи по правилам + gmer.
Карантин отправлен
[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]
После выполнения скрипта в AVZ и перезагрузки виндовс просит найти драйвера на неизвестное устройство.
[QUOTE=MEXAHO3ABP;449970]
После выполнения скрипта в AVZ и перезагрузки виндовс просит найти драйвера на неизвестное устройство.[/QUOTE]Удалите его.
Устройство удалил.
Логи прикрепил... Жду дальнейших указаний :)
Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('\systemroot\system32\drivers\SKYNETfucbfomv.sys','');
DeleteFile('\systemroot\system32\drivers\SKYNETfucbfomv.sys');
SysCleanAddFile('C:\Documents and Settings\Admin\Local Settings\Temp\nro.tmp\SetupX.exe');
SysCleanAddFile('D:\Winamp\winampa.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.
[b]Обновите базы AVZ[/b].
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
Обновите Java.
Скрипт GMER не срабатывает.
Ответьте плиз на вслед. вопросы:
1. Вы сохраняте файл как 22222.bat? ДА/НЕТ
2. Вы сохраняте файл в той же папке, где лежит файл gmer.exe ? ДА/НЕТ
3. Вы запускаете файл двойным щелчком? ДА/НЕТ
4. ПК после выполнения скрипта перегружается? ДА/НЕТ
Если Вы на все вопросы ответили ДА: Файл 22222.bat запакуйте и прикрепите к сообщению.
После выполнения скрипта AVZ при перезагрузке прошел чекдиск диска f (не системного).
Карантин отправлен.
AVZ обновлен.
Лог в аттаче.
Java обновил.
1. Вы сохраняте файл как 22222.bat? ДА
2. Вы сохраняте файл в той же папке, где лежит файл gmer.exe ? ДА
3. Вы запускаете файл двойным щелчком? ДА
4. ПК после выполнения скрипта перегружается? ДА
Но есть ньюансы.
Вот содержимое 22222.bat:
gmer.exe -del service SKYNETxfmqxoba
gmer.exe -del file "C:\WINDOWS\system32\drivers\SKYNETfucbfomv.sys"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETwsp.dll" - до этой строки (включая ее) все работает нормально, дальше пишет ошибку: "такой файл не существует"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETiqxerxeu.dat"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETbvttyeqc.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNEThenwkbdu.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETyeurgbrq.dat"
дальше все строки срабатывают как надо
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETxfmqxoba"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETxfmqxoba"
gmer.exe -reboot
компьютер перезагружается.
22222.bat прикрепил.
P.S. Нод больше не ругается на Rootkit.agent.ODG.
Руткит удален, осталась только запись его драйвера в реестре.
NOD32 успокоился?
NOD32 спокоен как море в штиль :)
Спасибо аагромедное!!!
Еще почистить надо чем-нибудь?
- Прочитайте [URL="http://virusinfo.info/showthread.php?t=30339"]Как не стать завсегдатаем раздела Помогите?[/URL]
[QUOTE]O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll[/QUOTE]
- Обновите JavaRE
:)
А 1.6.0 - это уже старая ява??? :)
[size="1"][color="#666686"][B][I]Добавлено через 33 минуты[/I][/B][/color][/size]
Спасибо за помощь!
Все рекомендации принял к исполнению.
Комп теперь чистый. Gmer больше не ругается.
На основании последнего лога (прикреплен), выполнил такой bat'ник:
gmer.exe -del service SKYNETxfmqxoba
gmer.exe -del file "C:\WINDOWS\system32\drivers\SKYNETfucbfomv.sys"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETqdeombcj.dat"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETxrxtfpou.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETxaxtiwts.dll"
gmer.exe -del file "C:\WINDOWS\system32\SKYNETscjaivko.dat"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\SKYNETxfmqxoba"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\SKYNETxfmqxoba"
gmer.exe -reboot
именно после него gmer и успокоился!
Отдельное спасибо AndreyKa за скрипт для AVZ.
Теперь поехал проверять свой комп :)
Дело не в номере версии а в номере билда.
Ваша версия по уровню безопасности соответствует 1.5.0_16 или 1.4.2_18.
[url]http://java.sun.com/javase/6/webnotes/6u7.html[/url]
И какой билд тогда ставить?
И как?
Я просто обновил яву из ее контрол панели...
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
Или там EE поставить?
Ставить крайний билд: 1.6.0_16 Через ту же Панель управления можно посмотреть какой сейчас установлен.
Щас стоит (build 1.6.0_15-b03).
На сайте тыкаю: проверить версию, а он отвечает - самая крайняя...
Упс. Отвечает: "У вас установлена рекомендованная версия Java (Version 6 Update 15). "
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
А чего он тогда сам не обновляется до версии 16, если кнопку Update нажимаешь???
Сырая она что-ли? :)
[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]
Все. Обновил. Ручками с сайта.