Выкидывает из интернета и синий экран.NOD32 не удаляет Win32/Protector.С virus

Printable View

07.12.2009, 02:43
bigdeni1

Выкидывает из интернета и синий экран.NOD32 не удаляет Win32/Protector.С virus

В интернете работать можно не более 5 минут, подключение не разрывается, но на сайты не заходит. NOD32 нашел и не удаляет Win32/Protector.С virus. при сканировании AVZ написал о подозрении на Backdoor.Win32.Nepoe.hp. А при перезагрузки появляется так называемый синий экран. приходится перезагружать с помощью кнопки. логи прилагаются. заранее спасибо.
07.12.2009, 06:41
pig

CureIt запускали?
07.12.2009, 08:48
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('oaajrzpd');
DeleteService('zwtqpywpycdh7');
DeleteService('zspfoadokm7');
DeleteService('zslkkitmqrd9');
DeleteService('zqrmkglwrlmib1');
DeleteService('zkutsvggcgrgx5');
DeleteService('zfmtvgum7');
DeleteService('zbfqjsyetx7');
DeleteService('oaajrzpd');
QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY\Local Settings\Temporary Internet Files\Content.IE5\MHLDQ32E\tnup[1].exe','');
QuarantineFile('C:\WINDOWS.0\system32\24.scr','');
QuarantineFile('C:\WINDOWS.0\system32\wuaucIt.exe','');
QuarantineFile('C:\WINDOWS.0\system32\winulty.exe','');
QuarantineFile('C:\WINDOWS.0\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS.0\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS.0\system32\photo_id.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe','');
QuarantineFile('C:\Documents and Settings\Admin\av_md.exe','');
QuarantineFile('C:\WINDOWS.0\system32\Drivers\oaajrzpd.sys','');
QuarantineFile('C:\WINDOWS.0\system32\csrcs.exe','');
QuarantineFile('C:\WINDOWS.0\system32\cftmon.exe','');
QuarantineFile('C:\WINDOWS.0\system32\av_md.exe','');
QuarantineFile('C:\WINDOWS.0\services.exe','');
QuarantineFile('c:\windows.0\system32\wuaucit.exe','');
TerminateProcessByName('c:\windows.0\system32\wuaucit.exe');
QuarantineFile('c:\windows.0\services.exe','');
TerminateProcessByName('c:\windows.0\services.exe');
QuarantineFile('c:\windows.0\system32\cftmon.exe','');
QuarantineFile('c:\windows.0\system32\csrcs.exe','');
TerminateProcessByName('c:\windows.0\system32\csrcs.exe');
QuarantineFile('c:\documents and settings\admin\av_md.exe','');
TerminateProcessByName('c:\documents and settings\admin\av_md.exe');
QuarantineFile('c:\windows.0\system32\av_md.exe','');
TerminateProcessByName('c:\windows.0\system32\av_md.exe');
DeleteFile('c:\windows.0\system32\av_md.exe');
DeleteFile('c:\documents and settings\admin\av_md.exe');
DeleteFile('c:\windows.0\system32\csrcs.exe');
DeleteFile('c:\windows.0\services.exe');
DeleteFile('c:\windows.0\system32\wuaucit.exe');
DeleteFile('C:\Documents and Settings\Admin\av_md.exe');
DeleteFile('C:\WINDOWS.0\services.exe');
DeleteFile('C:\WINDOWS.0\system32\av_md.exe');
DeleteFile('C:\WINDOWS.0\system32\csrcs.exe');
DeleteFile('C:\WINDOWS.0\system32\Drivers\oaajrzpd.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zbfqjsyetx7.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zfmtvgum7.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zkutsvggcgrgx5.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zqrmkglwrlmib1.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zslkkitmqrd9.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zspfoadokm7.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zwtqpywpycdh7.sys');
DeleteFile('C:\WINDOWS.0\system32\drivers\zxapevcbs3.sys');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','av_md');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Test321');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Test321');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Test321');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','services');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','av_md');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ControlExecTromp');
DeleteFile('C:\WINDOWS.0\system32\photo_id.exe');
DeleteFile('C:\WINDOWS.0\system32\cftmon.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','photo_id');
DeleteFile('C:\WINDOWS.0\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
DeleteFile('C:\WINDOWS.0\system32\sdra64.exe');
DeleteFile('C:\WINDOWS.0\system32\winulty.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Upgrate Utility');
DeleteFile('C:\WINDOWS.0\system32\wuaucIt.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update');
DeleteFile('C:\WINDOWS.0\system32\24.scr');
DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY\Local Settings\Temporary Internet Files\Content.IE5\MHLDQ32E\tnup[1].exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
DeleteFileMask('C:\WINDOWS\system32','??.scr', false);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
07.12.2009, 15:29
bigdeni1

CureIt не запускал.
07.12.2009, 18:04
snifer67

после скрипта сделайте новые логи.
07.12.2009, 20:39
Alex_Goodwin

[QUOTE=bigdeni1;527893]CureIt не запускал.[/QUOTE]

А надо бы. Или AVPTool - они протектора лечат, в отличие от Nod :)
09.12.2009, 23:47
bigdeni1

Вот новые логи
10.12.2009, 00:32
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\rjoac.dll','');
DeleteFile('C:\WINDOWS\system32\rjoac.dll');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
DeleteFile('C:\WINDOWS\system32\01.tmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пролечитесь [url]http://support.kaspersky.ru/downloads/utils/tdsskiller.zip[/url]

Сделайте новые логи
10.12.2009, 23:08
bigdeni1

синий экран исчез, но из интернета выкидывает. пролечился вот Новые логи. в карантине ничего не было.
11.12.2009, 00:45
thyrex

TDSSkiller что-нибудь находил?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\regedit.exe','');
DeleteFile('C:\WINDOWS.0\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
13.12.2009, 19:38
bigdeni1

TDSSkiller ничего не нашел. в карантине ничего не было при последней проверке.перед созданием новых логов решил поставить на проверку компьютера и запустил CureIt на ночь, утром включил монитор, и увидел что очень много вирусов удалено серии Backdoor и проверка еще на закончена, NOD в свою очередь показывал только наличие и невозможность удаления Win32/protector.c я не стал заканчивать проверку и выключил монитор, а когда пришел и включил монитор, то увидел синий экран. вот так неожиданно. перезагружал несколько раз - ничего - синий экран. во всех безопасных режимах не запускается. помогите!
13.12.2009, 19:53
snifer67

Загрузитесь с LiveCD, файл C:\WINDOWS\System32\Drivers\atapi.sys
замените на чистый из дистрибутива Windows.
[url]http://virusinfo.info/showthread.php?t=51654[/url]
17.12.2009, 11:55
bigdeni1

загрузился с LiveCD, заменил файл на чистый, но тем не менее синий экран. что еще можно сделать?
19.12.2009, 14:43
AndreyKa

[QUOTE=bigdeni1;533881]...
запустил CureIt на ночь, утром включил монитор, и увидел что очень много вирусов удалено серии Backdoor и проверка еще на закончена, NOD в свою очередь показывал только наличие и невозможность удаления Win32/protector...[/QUOTE]
:( NOD надо было на время проверки отключить.
[url]http://support.microsoft.com/kb/315341/ru[/url] см. Способ 2.
20.12.2009, 14:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\networkservice.nt authority\local settings\temporary internet files\content.ie5\mhldq32e\tnup[1].exe - [B]Backdoor.Win32.Nepoe.my[/B] ( AVAST4: Win32:Spyware-gen [Spy] )[*] c:\recycler\s-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe - [B]Trojan.Win32.Buzus.clha[/B] ( DrWEB: BackDoor.Siggen.637, BitDefender: Backdoor.Generic.226063, AVAST4: Win32:Malware-gen )[*] c:\windows.0\system32\cftmon.exe - [B]Trojan.Win32.Autoit.acr[/B] ( DrWEB: Trojan.Siggen.34013 )[*] c:\windows.0\system32\csrcs.exe - [B]Trojan.Win32.Autoit.aaw[/B] ( DrWEB: Win32.HLLW.Autohit.10628, BitDefender: Worm.Generic.99983 )[*] c:\windows.0\system32\24.scr - [B]Backdoor.Win32.Nepoe.my[/B] ( AVAST4: Win32:Spyware-gen [Spy] )[/LIST][/LIST]