backdoor.tdss.565 и не запускается востановление системы

Printable View

24.10.2009, 17:55
Keyn

Вложений: 3

backdoor.tdss.565 и не запускается востановление системы

вылезло окошко с рекламой об активации через смс, сделал проверку Dr. Web CureIt'ом в обычном режиме нашел кучю вирусов все удалил, кроме backdoor.tdss.565 пишет что обезврежен, закрываю CureIt запускаю еще раз тут же опять находит этот же backdoor.tdss.565, хотел сделать проверку в безопастном режиме, но он его не запускал воспользовался SafeBootKeyRepair запустился делаю проверку CureIt ненаходит тот бэкдор, хотел запустить востановление системы также невозможно... снова чистил CureItом в обычно режиме снова backdoor.tdss.565 - обезврежен... поскольку немогу не запустить востановление немогу и отключить, поэтому логи сделаны слегка не поправилам и сейчас компютер не имеет доступа в интернет ( пишу со второго ). в общем помогите избавиться от этого бэкдора и и как сделать работаюшим востановление...

[ATTACH]171814[/ATTACH]

[ATTACH]171815[/ATTACH]

[ATTACH]171816[/ATTACH]
24.10.2009, 18:03
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\drivers\aliserv3.sys','');
DeleteFile('D:\WINDOWS\System32\drivers\aliserv3.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]
24.10.2009, 19:01
Keyn

Вот. последний гмер не так назвал чюток =)
[ATTACH]171848[/ATTACH]

[ATTACH]171849[/ATTACH]

[ATTACH]171850[/ATTACH]

[ATTACH]171851[/ATTACH]
24.10.2009, 19:04
Keyn

ой извеняюсь gamer.log дублируется есть в еще одном архиве... :>
24.10.2009, 19:07
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('d:\windows\system32\drivers\geyekrhepatssf.sys','');
DeleteFile('d:\windows\system32\drivers\geyekrhepatssf.sys');
QuarantineFile('d:\windows\system32\geyekrolesruxc.dll','');
DeleteFile('d:\windows\system32\geyekrolesruxc.dll');
QuarantineFile('d:\windows\system32\geyekrlhktmwbx.dll','');
DeleteFile('d:\windows\system32\geyekrlhktmwbx.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сохраните текст ниже как cleanup.bat в ту же папку, где находится lrr6gmgn.exe (gmer)
[CODE]lrr6gmgn.exe -del service geyekrvhpfthxb
lrr6gmgn.exe -del file "d:\windows\system32\drivers\geyekrhepatssf.sys"
lrr6gmgn.exe -del file "d:\windows\system32\geyekrolesruxc.dll"
lrr6gmgn.exe -del file "d:\windows\system32\geyekrvnnkdppo.dat"
lrr6gmgn.exe -del file "d:\windows\system32\geyekrlhktmwbx.dll"
lrr6gmgn.exe -del file "d:\windows\system32\geyekrmsbdviyl.dat"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet006\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet007\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet009\Services\geyekrvhpfthxb"
lrr6gmgn.exe -reboot[/CODE]И запустите cleanup.bat
Компьютер перезагрузится

Сделать новый лог gmer
24.10.2009, 19:49
Keyn

извеняюсь за свое незнание =)... но возможно ли такое что вы ошиблись и написали 'c:\windows\s... а у меня системный диск называется D... и возможно ли вот в этом месте поподробнее? еше раз извеняюсь...
[QUOTE='thyrex;492656']Сохраните текст ниже как cleanup.bat в ту же папку, где находится lrr6gmgn.exe (gmer)

Код:
lrr6gmgn.exe -del service geyekrvhpfthxb
lrr6gmgn.exe -del file "c:\windows\system32\drivers\geyekrhepatssf.sys"
lrr6gmgn.exe -del file "c:\windows\system32\geyekrolesruxc.dll"
lrr6gmgn.exe -del file "c:\windows\system32\geyekrvnnkdppo.dat"
lrr6gmgn.exe -del file "c:\windows\system32\geyekrlhktmwbx.dll"
lrr6gmgn.exe -del file "c:\windows\system32\geyekrmsbdviyl.dat"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet006\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet007\Services\geyekrvhpfthxb"
lrr6gmgn.exe -del reg "HKLM\SYSTEM\ControlSet009\Services\geyekrvhpfthxb"
lrr6gmgn.exe -rebootИ запустите cleanup.bat[/QUOTE]
24.10.2009, 19:54
thyrex

Прошу прощения. Поправил скрипты в сообщении №5

[QUOTE='Keyn;492691']возможно ли вот в этом месте поподробнее[/QUOTE]Запустить [B]Блокнот[/B] и скопировать скрипт в документ
[B]Файл - Сохранить как...[/B]
[B]Тип файла[/B] - Все файлы (*.*)
[B]Имя файла[/B] - cleanup.bat
24.10.2009, 20:37
Keyn

В общем при запуске cleanup пишет DeleteService: Параметр задан неверно. Потом An error.... не удается найти d:\windows\system32\drivers\geyekrhepatssf.sys... ну и все осталные файлы. возможно я уже удалил :D вот логи...

[ATTACH]171873[/ATTACH]
24.10.2009, 20:53
thyrex

Лог чист. Что с проблемой?
24.10.2009, 21:01
Keyn

бэкдор больше не вылазит :clapping:
Огромное спасибо!!!!! но еще не запускается востановление, пишет - Не удается найти указанный файл.
24.10.2009, 21:10
thyrex

[QUOTE]Восстановление системы: Отключено[/QUOTE]Или у Вас оно не включается заново?
24.10.2009, 21:46
Keyn

Как бы в первом посте я написал что слегка делал "не по поправилам" у меня в принцепи исчезла вкладка которая выделена на рисунке и немогу запустить, ни через - коману rstrui.exe, ни в ручную в обще кудато пропала функция вотановления... если зайти в Сервис и нажать запустить то пишет что "Не удается найти указанный файл", если в Службы найти Служба востановления системы > Запустить пишет что - "Служба востановления системы" на "Локальный компьютер" была запущена и затем остановлена.... :)
[ATTACH]171884[/ATTACH]
24.10.2009, 22:37
thyrex

Посмотрите здесь [url]http://windowsxp.mvps.org/srpolicy.htm[/url]
На английском, но думаю поймете
25.10.2009, 09:22
Keyn

в реестре даже строки нету такой "HKEY_LOCAL_MACHINE \ Software \ Policies \ Microsoft \ Windows NT \ SystemRestore" а в Групповой политике состояние было "не задана"... да и фиг с этим восстановлением... комп соседский у него дитя ток в игрушки играет :D . Вам большое спасибо за помощь.
26.10.2009, 09:22
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\drivers\geyekrhepatssf.sys - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: BackDoor.Tdss.214, BitDefender: Trojan.CryptRedol.Gen.3, AVAST4: Win32:Alureon-CE [Rtk] )[*] d:\windows\system32\drivers\aliserv3.sys - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: BackDoor.Tdss.214, BitDefender: Trojan.CryptRedol.Gen.3, AVAST4: Win32:Alureon-CE [Rtk] )[/LIST][/LIST]