Kido + Banker, а может и ещё что-то :(

Здрасте.
Просю помочь, если только это возможно.

Кратко обрисую ситуевину:

Комп глюкает, тормозит и лагает. Как бы не очень сильно, но работать мешает. На сайты антивирусов и ВирусИнфо зайти не получалось, пока AVZ(полиморф) первый раз не прошолся, а НОД и до сих пор неможет обновиться :?

Пугает что AVZ вовремя сканирования ругнулся красным на какой то[COLOR=Red][B][B][U]Banker[/U][/B][/B] [COLOR=Black]Это както с банком связано.[/COLOR][/COLOR]

Отключите восстановление системы!

[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\p2001.exe','');
QuarantineFile('C:\WINDOWS\system32\logon.exe','');
QuarantineFile('C:\WINDOWS\system32\dybvatzx.dll','');
DeleteFile('C:\WINDOWS\system32\logon.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][COLOR="Red"]Прислать запрошенные файлы[/COLOR][/B]" над первым сообщением темы).

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]:
[CODE]F2 - REG:system.ini: Shell=Explorer.exe logon.exe
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)[/CODE]

[u]Дополнительно[/u]:
- Скачайте [b]GMER[/b] по одной из указанных ссылок:
[url="http://www.gmer.net/download.php"]Gmer со случайным именем (рекомендуется)[/url], [url="http://www.gmer.net/gmer.zip"]Gmer в zip-архиве ([b]перед применением распаковать в отдельную папку[/b])[/url]
- Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).
Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите [b]No[/b].
После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:
[list][*]Sections[*]IAT/EAT[*]Show all[/list]Из всех дисков оставьте отмеченным только системный диск (обычно [b]C:\[/b])
- Нажмите на кнопку [b]Scan[/b] и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите [b]OK[/b].
После окончания проверки сохраните его лог (нажмите на кнопку [b]Save[/b]) и вложите в сообщение.

Карантин отправил. Лог GMER сделал. Что дальше?.

ЗЫ. В сетке более 10 компов, на них тоже нужно проделать тоже самое или есть другие способа? И о Banker-е разъясните плиз. Это правда може както с банком быть связано и чем может грозить?

[URL="http://virusinfo.info/showthread.php?t=40118"]Выполните[/URL] следующие команды в gmer:
[CODE]gmer.exe -del service aaulw
gmer.exe -del file "C:\WINDOWS\system32\dybvatzx.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\aaulw"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\aaulw"
gmer.exe -reboot[/CODE]
Подготовьте новый лог гмер.

Trojan-Banker.Win32.Banker.afwk - занимается тем, что ворует пароли к клиент-банкам. Желательно их сменить.

Другие машины в отдельные темы. Там могут быть свои звери.

Выполнил эти команды, лучшеб не выполнял, пипец полнейший :(
Комп стал грузиться 7-8 минут вместо 3-4 как до лечения, а раньше, до того как вирус поймал, вообще максимум полторы минуты было. :(
Сети нестало.:(
Рабочий стол стал ХЗ на что пожожий - ярлыков нет, панель какбы есть, но на ней только трей и кнопка Пуск. Проги запускаются через Пуск | Все программы, но окна запущеных прог на панели не видать, а если свернуть окна то приходится маневрировать ими только через Альт + Таб, вобщем кошмар.

Я уже человеку который меня на ваш форум направил высказал все, что на душе накипело, он правда не сильно обиделся и даже (несмотря на то что сам находится в отъзде) разрешил с его ноута продолжить с вами общаться. Говорит, тип, процесс лечения не завершон...

Так что же, господа Харошии, мне дальше делать?!

[QUOTE=cherubic;458286]Выполнил эти команды, лучшеб не выполнял[/QUOTE]Хмм, если бы обновили систему вовремя
[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)[/QUOTE]не пришлось бы команд выполнять.
[QUOTE]Я уже человеку который меня на ваш форум направил высказал все, что на душе накипело
[/QUOTE]А он тут причем? Поиск виноватого в таком случае нужно всегда начинать со взгляда в зеркало.
[QUOTE]Говорит, тип, процесс лечения не завершон...[/QUOTE]Правду говорит.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
ExecuteRepair(1);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки сделайте новые логи по правилам и лог gmer.

[QUOTE=Rene-gad;458339]Хмм, если бы обновили систему вовремя
не пришлось бы команд выполнять.[/QUOTE]Чего теперь рассуждать, еслиб да кабы?.
А как насчот "не навреди"? Мне каэтся, тут этот принцип некоторые Хелперы точно игнорируют! Дал команды для выполнения и не подумал, как мне после этих команд дальше консультации получать!
Или он и мысли не допускал что после их выполнения, Инет накроется? :censored:
Ну тогда это говорит о его квалификации и кидает тень на репутацию всего вашего форума! >:(
[QUOTE=Rene-gad;458339]А он тут причем? Поиск виноватого в таком случае нужно всегда начинать со взгляда в зеркало.
Правду говорит.[/QUOTE]Как причем? Я только от него и слышал о вашем форуме, так мне нахваливал, тип, там собрались спецы супер, кого попало в хелперы не берут и ваще их, тип, спец курсы какиет проходить заставляют..
А по факту оказалось ХЗ что. :censored:
Лишний раз убедился что бесплатный сыр бывает только в мышеловке, а ведь хотел же в Скорую компьютерную помощь обратиться, хоть и дороговато берут, зато с гарантией, а он меня по телефону битый час отговаривал и отговорил на мою голову. Ну да ладна, дествительно, сам виноват, поддался на уговоры :?
А куда деваться? И выполню и логи сделаю, но только не раньше чем в понедельник.
Надеюсь после этого ниче больше не отвалится? >:(

[QUOTE=cherubic;458823]
А как насчот "не навреди"? Мне каэтся, тут этот принцип некоторые Хелперы точно игнорируют![/QUOTE]Это не так :) . Просто логи - это как айсберг - 1/7 видно, 6/7 нет. Может что-то и накрылось в процессе.
Кроме того - Вы можете сами увидеть, что конкретно делает скрипт (если посмотрите его, конечно). Скрипты, которые Вы получили и выполнили, написаны без ошибок и должны были удалить зловредные файлы, драйверы и записи в реестре.
[QUOTE]Ну тогда это говорит о его квалификации и кидает тень на репутацию всего вашего форума! [/QUOTE]Вы нас с Гарри Поттером не путаете часом? Мы колдовать не умеем и полного выздоровления не гарантируем, тем более - при запущенных случаях.
[QUOTE]Лишний раз убедился что бесплатный сыр бывает только в мышеловке[/QUOTE]А сколько нужно раз, наступить на грабли, чтобы убедиться, что они больно бъют?
[QUOTE]хотел же в Скорую компьютерную помощь обратиться, хоть и дороговато берут, зато с гарантией[/QUOTE]Если Вам дают ГАРАНТИЮ в лечении системы - за деньги или бесплатно - то просто не верьте.
ГАРАНТИЮ дает только переустановка системы в чистый раздел с установкой в оффлайне всех Сервис Паков.
В этом случае можно - до первого подключения в сеть - говорить о ГАРАНТИРОВАННО ЧИСТОЙ системе.
[QUOTE]И выполню и логи сделаю, но только не раньше чем в понедельник. [/QUOTE]Да уж как и когда Вам угодно будет.

Скрипт выполнил. Поведение системы не изменилось, все также тормозит и сети нет, но окна уже сварачиваются вниз рабочего стола, над панелью, а не кудато под нее, как было ранее.
Заметил новую лажу, не получается копировать текст из одного окна в другое, например, текст скрипта с браузера в AVZ. В браузере выделяю скрипт копирую через правую клавишу мыши, перехожу в AVZ опять жму на правою кнопку мышки, чтоб вставить, а меню не активно. :O Пришлось набирать скрипт пальцАми :)
Да в проводнике тоже самое, файлы не копируются из директории в директорию, ни мышкой ни с клавы :?

ЗЫ. Стал глючить НОД32, может эта изза него так тормозит Винда? Хотел его снести, но нигде не нашел деинсталятара, может както руками его можно выковырять, не подскажете как?
Хотел установить СП-3 с диска, с этого диска многие знакомые его устанавливали, а у меня не захотело, пишет, тип, не запущена служба. Хотел запустить ее, а фиг вам, пишет: [B]Ошибка 2: Не удалось найти указанный файл.[/B] Таких не запускаемых служб много, и хотя в свойства всех стоит Авто, они при перезагрузке все равно не работают.
Вобщем Ж полнейшая. Я уже и на переустановку согласилсяб, так установочный диск не видет жестких дисков, приятель говорит, нужны дрова для контролера, но уменя их нет, а где взять не знаю, у кого не спрошу - ни у кого нет. :(

ЗЫЗЫ. Пока ждал завершения сканирования, созвонился с приятелем, который ваш форум рекомендовал. Так вот, он считает что причина всех глюк в том что был поврежден или удален [COLOR="Red"][B]svchost.exe. Грит, чтоб я на это обратил внимание хелперов, тип, подскажут как восстановить[/B].[/COLOR]
Прошу прощения за красный цвет, эт я так ваше внимание привлекаю :)

[QUOTE=cherubic;459217]причина всех глюк в том что был поврежден или удален svchost.exe. [/QUOTE]
Если Вы вытащите из автомобиля мотор - автомобиль никак не поедет, если Вы удалите из ПК svchost.exe - ПК никак не запустится. Я понятно излагаю? ;)
Он может быть поврежден или заражен - это правда.
Файл svchost.exe - пришлите по правилам (приложение 2 и 3).

Пока суд да дело:
- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
При этом все системные файлы будут заменены, может и Ваша проблема решится.

[QUOTE=Rene-gad;459239]Если Вы вытащите из автомобиля мотор - автомобиль никак не поедет, если Вы удалите из ПК svchost.exe - ПК никак не запустится. Я понятно излагаю? ;)
Он может быть поврежден или заражен - это правда.
Файл svchost.exe - пришлите по правилам (приложение 2 и 3).[/QUOTE]Обязательно пришлю, как токо снова буду возле болящего компа :)

[QUOTE=Rene-gad;459239]Пока суд да дело:
- Установите Сервис Пак 3 - возможно потребуется активация, и все последующие важные патчи.
При этом все системные файлы будут заменены, может и Ваша проблема решится.[/QUOTE]Я бы рад, так не ставится, я ж уже писал[QUOTE]Хотел установить СП-3 с диска, с этого диска многие знакомые его устанавливали, а у меня не захотело, пишет, тип, не запущена служба. Хотел запустить ее, а фиг вам, пишет: [B]Ошибка 2: Не удалось найти указанный файл.[/B] Таких не запускаемых служб много, и хотя в свойства всех стоит Авто, они при перезагрузке все равно не работают.[/QUOTE]После обеда буду опять звонить Платову в Ебипет, может что дельное посоветует, а то вам видно некогда вникать, я вижу у вас тут работы хватает и без меня :)
Если будут положительные сдвиги напишу, мож комту пригодится.
И спасиб что не отказали... :)

ЗЫ А как на счет НОДа, можно его както выдрать из ситемы?

[QUOTE=cherubic;459217]
Хотел установить СП-3 с диска, с этого диска многие знакомые его устанавливали[/QUOTE]А что за диск такой? Скачайте сетап по ссылке в моей подписи.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE=cherubic;459251]вам видно некогда вникать[/QUOTE]Почему Вы так решили? Пришлете svchosts- проверим его, может он патченный. Можете заменить его из дистрибутива или с любой аналогичний системы. Подробности тут: [url]http://virusinfo.info/showthread.php?t=51654[/url]

[QUOTE=Rene-gad;459288]А что за диск такой?[/QUOTE] WindowsXP-KB936929-SP3-x86-RUS, на сколько мне известно официальный скачаный с сайта MS

[QUOTE=Rene-gad;459288]Пришлете svchosts- проверим его, может он патченный. Можете заменить его из дистрибутива или с любой аналогичний системы. Подробности тут: [URL]http://virusinfo.info/showthread.php?t=51654[/URL][/QUOTE]Прислать тот самый svchosts уже не получится, там где он должен был бы быть его не оказалось, зато я его нашол в какойто с папок с названием начинающимся с $MS, тупо скопировал в system32 перезагрузил и система ожила, и сеть, и тормоза пропали. :094:
Осталась только одна проблема, как снести НОД32. Может что присоветуете? А то каждый раз звонить Платову накладно, он сейчас в Египте.

[QUOTE=cherubic;459445]
Осталась только одна проблема, как снести НОД32. .[/QUOTE]А через установку/удаление программ - никак? Попробуйте накатать ту же версию повторно. Тогда должны появиться файлы типа uninstall.exe

[B]cherubic[/B], приносим свои извинения за непростую ситуацию, в которой Вы оказались по вине вируса [B]Kido[/B]. Он заменил собой файл [B]svchost.exe[/B] и работал под именем [B]logon.exe[/B]. Неосторожное удаление этого файла привело к тем печальным последствиям, из которых Вы с честью выбрались.

Рекомендую Вам ознакомиться с алгоритмом гарантированного удаления этого вируса:
[url]http://support.kaspersky.ru/wks6mp3/error?qid=208636215[/url]

[QUOTE=Rene-gad;459467]А через установку/удаление программ - никак? Попробуйте накатать ту же версию повторно. Тогда должны появиться файлы типа uninstall.exe[/QUOTE]Повторно не получается! Грит, тип, у вас уже установлен, если есть проблемы обратитесь к админу. :(

[QUOTE=DVi;459487][B]cherubic[/B], приносим свои извинения за непростую ситуацию, в которой Вы оказались по вине вируса [B]Kido[/B]. Он заменил собой файл [B]svchost.exe[/B] и работал под именем [B]logon.exe[/B]. Неосторожное удаление этого файла привело к тем печальным последствиям, из которых Вы с честью выбрались.

Рекомендую Вам ознакомиться с алгоритмом гарантированного удаления этого вируса:
[URL]http://support.kaspersky.ru/wks6mp3/error?qid=208636215[/URL][/QUOTE]Извинения принимаются, хоть я и не понял, в какое отношение вы имеете к этому вирусу, что извиняетесь за его действия ;) :)

[QUOTE='cherubic;459529']в какое отношение вы имеете к этому вирусу, что извиняетесь за его действия[/QUOTE]
извиняемся не за вирус, а за не корректное лечение.

[QUOTE=cherubic;459529]Грит, тип, у вас уже установлен, если есть проблемы обратитесь к админу. :( [/QUOTE]К админу обращаться смысла не имеет, тем более он в Египте ;), а вот в техподдержку ЕСЕТ ИМО нужно.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\logon.exe - [B]Worm.Win32.Agent.xt[/B] ( DrWEB: Win32.HLLW.Autoruner.6865, BitDefender: Worm.Generic.80558, NOD32: Win32/AutoRun.FakeAlert.CS worm, AVAST4: Win32:Walivun [Trj] )[/LIST][/LIST]