спасайте! полная машина всякой заразы

Printable View

04.11.2009, 10:11
vknyaz

спасайте! полная машина всякой заразы

Машина битком набита зверьками. Вэбер ловит, лечит, после перезагрузки все опять оживает. Спасайте!
04.11.2009, 11:06
Шапельский Александр

Закройте/выгрузите все программы кроме AVZ .
[COLOR=Red][B]Отключите[/B][/COLOR]:
- ПК от интернета/локалки;
- антивирус и файрвол.;
- [COLOR=Red][B]восстановление системы[/B];[/COLOR]
- выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\5VKQ2462JH\F001.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcc32a.dll','');
QuarantineFile('c:\windows\system32\rhmetpc.dll','');
QuarantineFile('C:\WINDOWS\TEMP\Drvftl.sys','');
QuarantineFile('C:\WINDOWS\system32\8CP4HDQ7BE\J003.exe','');
DeleteService('eada');
QuarantineFile('C:\WINDOWS\system32\UTG89E0JWT\J003.exe','');
DeleteService('fsdfs');
QuarantineFile('C:\WINDOWS\gjjx.exe','');
DeleteService('hjkjxx');
QuarantineFile('C:\WINDOWS\system32\dgkhcv.exe','');
DeleteService('Network Power Services');
QuarantineFile('C:\WINDOWS\dad.exe','');
QuarantineFile('C:\WINDOWS\system32\5VKQ2462JH\J001.exe','');
QuarantineFile('C:\WINDOWS\nhg.exe','');
SetServiceStart('sadasx', 4);
SetServiceStart('windows_0', 4);
SetServiceStart('n hj', 4);
QuarantineFile('C:\WINDOWS\system32\RhmetpC.dll','');
QuarantineFile('C:\WINDOWS\system32\mywcc090908.dll','');
QuarantineFile('C:\WINDOWS\Fonts\CEEBDCF0.DLL','');
TerminateProcessByName('c:\windows\system32\8cp4hdq7be\j003.exe');
TerminateProcessByName('c:\windows\system32\utg89e0jwt\j003.exe');
TerminateProcessByName('c:\windows\system32\5vkq2462jh\j001.exe');
TerminateProcessByName('c:\windows\gjjx.exe');
TerminateProcessByName('c:\windows\system32\5vkq2462jh\f001.exe');
TerminateProcessByName('c:\windows\system32\dgkhcv.exe');
TerminateProcessByName('c:\windows\dad.exe');
DeleteFile('C:\WINDOWS\Fonts\CEEBDCF0.DLL');
DeleteFile('C:\WINDOWS\system32\mywcc090908.dll');
DeleteFile('C:\WINDOWS\system32\RhmetpC.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\BITS\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\nhg.exe');
DeleteFile('C:\WINDOWS\system32\5VKQ2462JH\J001.exe');
DeleteFile('C:\WINDOWS\dad.exe');
DeleteFile('C:\WINDOWS\system32\dgkhcv.exe');
DeleteFile('C:\WINDOWS\gjjx.exe');
DeleteFile('C:\WINDOWS\system32\UTG89E0JWT\J003.exe');
DeleteFile('C:\WINDOWS\system32\8CP4HDQ7BE\J003.exe');
DeleteFile('C:\WINDOWS\TEMP\Drvftl.sys');
DeleteFile('C:\WINDOWS\system32\dllcc32a.dll');
DeleteFile('C:\WINDOWS\system32\5VKQ2462JH\F001.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(9);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
После выполнить:
- включите антивирус и файрволл
- подключите ПК к интернету/локалке
- закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
04.11.2009, 12:48
vknyaz

карантин отправил. логи прикрепляю.
04.11.2009, 13:04
Шапельский Александр

[QUOTE][COLOR=Red]Отключите восстановление системы[/COLOR][/QUOTE]
Отключать надо!!!
Сделайте лог Gmer и прикрепите к новому сообщению
04.11.2009, 16:17
vknyaz

прикрепляю
04.11.2009, 18:07
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\MuxaSoft Dialer\msdkrnl.dll','');
QuarantineFile('F:\tv2lzbny.exe','');
QuarantineFile('C:\WINDOWS\TEMP\Drvftl.sys','');
DeleteFile('C:\WINDOWS\TEMP\Drvftl.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
04.11.2009, 18:54
vknyaz

отправил карантин
04.11.2009, 20:49
Шапельский Александр

Еще раз выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\MuxaSoft Dialer\msdkrnl.dll','');
QuarantineFile('F:\tv2lzbny.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Закачайте карантин по ссылке [COLOR=Red]Прислать запрошенный карантин[/COLOR] в шапке Вашей темы (Приложение 3 правил).
05.11.2009, 20:49
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]40[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\dad.exe - [B]Trojan-Downloader.Win32.Agent.cpzf[/B] ( DrWEB: Trojan.DownLoad.50454, BitDefender: Gen:Trojan.Heur.PT.aeW@bGKjzQc, AVAST4: Win32:Trojan-gen )[*] c:\windows\fonts\ceebdcf0.dll - [B]Backdoor.Win32.Popwin.coi[/B] ( DrWEB: Trojan.Click.27758, BitDefender: Win32.Worm.Winko.I, NOD32: Win32/Popwin.NCG trojan, AVAST4: Win32:Trojan-gen )[*] c:\windows\gjjx.exe - [B]Trojan-Downloader.Win32.Agent.cpzf[/B] ( DrWEB: Trojan.DownLoad.50454, BitDefender: Gen:Trojan.Heur.PT.aeW@bGKjzQc, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\dgkhcv.exe - [B]Backdoor.Win32.Xyligan.ep[/B] ( DrWEB: BackDoor.Siggen.1592, BitDefender: DeepScan:Generic.PcClient2.14659DC6, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\dllcc32a.dll - [B]Backdoor.Win32.Agent.altb[/B] ( DrWEB: BackDoor.Siggen.977, BitDefender: Gen:Trojan.Heur.GM.5404800000, NOD32: Win32/Spy.Delf.NUD trojan, AVAST4: Win32:Dogrobot [Drp] )[*] c:\windows\system32\mywcc090908.dll - [B]Backdoor.Win32.Agent.altg[/B] ( DrWEB: BackDoor.Siggen.978, BitDefender: Gen:Trojan.Heur.PT.bi4@beU@HZf, NOD32: Win32/Spy.Delf.NHV trojan, AVAST4: Win32:Dogrobot [Drp] )[*] c:\windows\system32\rhmetpc.dll - [B]Backdoor.Win32.Agent.aktk[/B] ( DrWEB: BackDoor.Siggen.932, BitDefender: Trojan.Generic.2466797, NOD32: Win32/Agent.AKTK trojan, AVAST4: Win32:PcClient-ZE [Trj] )[*] c:\windows\system32\utg89e0jwt\j003.exe - [B]Trojan.Win32.Agent.cwzy[/B] ( DrWEB: Trojan.Siggen.4868, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\5vkq2462jh\f001.exe - [B]Trojan.Win32.Scar.ygq[/B] ( DrWEB: Trojan.Siggen.5634, BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\5vkq2462jh\j001.exe - [B]Trojan-GameThief.Win32.Magania.cbrb[/B] ( DrWEB: DDoS.Bonke, BitDefender: Gen:Trojan.Heur.ciW@rPfa1tkby, AVAST4: Win32:Dogrobot [Drp] )[*] c:\windows\system32\8cp4hdq7be\j003.exe - [B]Trojan.Win32.Scar.xqw[/B] ( BitDefender: Trojan.Rincux.AW, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]