Обнаружил соединение z-connect, блокированны права администратора.

Printable View

16.11.2009, 15:55
BediVeR

Обнаружил соединение z-connect, блокированны права администратора.

Здравствуйте.
Компьютер ведет себя неадекватно. Подтормаживает, временами сбивается работа драйвера монитора с соответствующим сообщением. Не могу изменять msconfig и открывать regedit, отключены права администратора. Недавно в сетевых подключениях появилось некое соединение удаленного доступа с названием "z-connect", в интернете нашел инфу, что это вирус. Проверял Dr.Web-ом - обнаружил лишь пару каких-то троянов, удалил. Z-connect и все вышеописанное осталось.
Прошу помочь :)
с Ув. Денис
16.11.2009, 16:02
Rene-gad

Здравствуйте,

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Driver\Files\driver.exe','');
QuarantineFile('C:\C\Settings\cl.exe','');
QuarantineFile('C:\BIN\RECYCLE\Bin.exe','');
QuarantineFile('C:\WINDOWS\system32:vcrt80.exe','');
DeleteFile('C:\WINDOWS\system32:vcrt80.exe');
DeleteFile('C:\BIN\RECYCLE\Bin.exe');
DeleteFile('C:\C\Settings\cl.exe');
DeleteFile('C:\Driver\Files\driver.exe');
DeleteFileMask('C:\BIN','*.*',true);
DeleteFileMask('C:\C\Settings','*.*',true);
DeleteFileMask('C:\Driver','*.*',true);
DeleteDirectory('C:\BIN');
DeleteDirectory('C:\C\Settings');
DeleteDirectory('C:\Driver');
DelCLSID('{0922162D-E289-17F9-6283-EAE70BDE63D2}');
DelCLSID('{67KLN5J0-4OPM-00WE-AAX5-74CC2A323342}');
DelCLSID('{67KLN5J0-4OPM-00WE-AAX5-74CC3A322132}');
DelCLSID('{67XOR2B0-3GMC-89VV-JIJ1-32KL2R3233771}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

[COLOR="Red"]Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.[/COLOR]

После перезагрузки:

-[URL="http://virusinfo.info/upload_virus.php?tid=XXXXX"] Закачайте карантин [/URL] (см. дополнительную информацию Приложения 2 и 3 правил).
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
16.11.2009, 16:54
BediVeR

Вложений: 3

карантин прислал.. если правильно понял как:?..
новые логи:
16.11.2009, 17:09
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('jtzmpiioy');
RegKeyResetSecurity('HKLM','SYSTEM\CurrentControlSet\Services\jtzmpiioy');
DeleteService('uesjmtkxg');
RegKeyResetSecurity('HKLM','SYSTEM\CurrentControlSet\Services\uesjmtkxg');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=BediVeR;509897]карантин прислал.. если правильно понял как:?..
[/QUOTE]Правильно, только туда ничего не попало. Но это не Ваша вина :)
17.11.2009, 10:14
BediVeR

Уезжал, только сей час зашел в интернет.
С каждой загрузкой компьютера обнаруживается некое устройство "модем на шине Hight Definition Audio", появляться стало после использования первого скрипта. после удаления в диспетчере устройств при перезагрузке появляется вновь.
вот лог GMER
17.11.2009, 10:39
Ingener

Выполните скрит в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
DeleteService('jtzmpiioy');
DeleteService('uesjmtkxg');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\jtzmpiioy\Parameters');
RegKeyDel('HKLM', 'SYSTEM\ControlSet002\Services\uesjmtkxg\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\jtzmpiioy\Parameters');
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Services\uesjmtkxg\Parameters');
QuarantineFile('C:\WINDOWS\system32\owggwsx.dll','');
QuarantineFile('C:\Program Files\Movie Maker\owggwsx.dll','');
DeleteFile('C:\WINDOWS\system32\owggwsx.dll');
DeleteFile('C:\Program Files\Movie Maker\owggwsx.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните второй скрипт в AVZ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл quarantine.zip закачайте по ссылке "[COLOR="Red"]прислать запрошенный карантин[/COLOR]" вверху темы.
Повторите лог GMER.
17.11.2009, 12:15
BediVeR

скрипты выполнил, карантин прислал.
GMER сканирует у меня очень долго, вечером вышлю лог

скажите пожалуйста, во время сканирования GMER можно работать на компьютере?

[size="1"][color="#666686"][B][I]Добавлено через 57 минут[/I][/B][/color][/size]

так что? ответьте пожалуйста, это ведь не займет много времени.. да или нет?
17.11.2009, 14:25
Ingener

[QUOTE=BediVeR;510380]скажите пожалуйста, во время сканирования GMER можно работать на компьютере?

так что? ответьте пожалуйста, это ведь не займет много времени.. да или нет?[/QUOTE]
Не желательно. Лучше когда сканирует GMER ничего не делайте.
17.11.2009, 18:01
BediVeR

новый лог GMER:
17.11.2009, 18:46
Ingener

В логе GMER чисто.

Проблемы решены?
17.11.2009, 18:51
BediVeR

соединение z-connect осталось и постоянно появляется устройство "модем на шине Hight Definition Audio", z-connect сей час удалю в ручную, перезагружусь и напишу..

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

z-connect не появляется, права админинстратора норм. [B]Ingener[/B], [B]Rene-gad[/B], спасибо!
теперь подскажите пожалуйста как удалить это устройство, что-бы оно больше не появлялось? поиск в реестре по названию результата не дал, зарание спасибо.
17.11.2009, 19:12
Rene-gad

Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].
17.11.2009, 20:26
BediVeR

Вложений: 1

В описании по [URL="http://virusinfo.info/showthread.php?t=53070"]ссылке[/URL], четвертый пункт:
[I]По окончании сканирования будет сгенерирован лог.[/I]
по окончанию работы MBAM никакой лог не был создан, выкладываю сохраненный отчет. То ли это, что вы просили?
18.11.2009, 01:06
BediVeR

боюсь как-бы меня не забыли)) поэтому ап.
18.11.2009, 10:37
Rene-gad

[QUOTE=BediVeR;510772]
по окончанию работы MBAM никакой лог не был создан, выкладываю сохраненный отчет.[/QUOTE]А что есть [I]лог[/I], если не [I]отчет [/I]по-английски?
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\NEXT\FILES\Desktop.ini','');
DeleteFile('C:\NEXT\FILES\Desktop.ini');
DeleteFileMask('C:\NEXT', '*.*', true);
DeleteDirectory('C:\NEXT');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
-[URL="http://virusinfo.info/upload_virus.php?tid=60384"] Закачайте карантин [/URL] (см. дополнительную информацию Приложения 2 и 3 правил).
[QUOTE]модем на шине Hight Definition Audio[/QUOTE] см. тут : [url]http://otvet.mail.ru/question/31099955/[/url]
18.11.2009, 13:51
BediVeR

[QUOTE]А что есть лог, если не отчет по-английски? [/QUOTE]
ну просто судя по описанию, я так понял что он должен был создаться автоматически) ну если я все выложил верно, то это уже не важно :)

Скрипт выполнил.
Каранин закачал.
18.11.2009, 13:55
Rene-gad

Жалобы есть?
18.11.2009, 13:56
BediVeR

вроде-бы нет :)
спасибо!
19.11.2009, 13:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]