Блокируется запуск антивирусов

Printable View

12.12.2009, 21:05
антивир

Блокируется запуск антивирусов

Здравствуйте,

Блокируется запуск антивирусов. После переименования их исполняемых файлов, их все-же удается запустить. Таким образом произвел проверку CureIt. Установка kaspersky internet security 2010 также блокируется.
ОС-windows xp.

В соответствии с правилами выкладываю отчеты:

спасибо.
12.12.2009, 22:59
thyrex

[QUOTE]C:\Program Files\Kaspersky Lab\Копия Kaspersky Internet Security 2010\45.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\55.exe[/QUOTE]Пробовали переименовывать?

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\051926.exe','');
QuarantineFile('C:\WINDOWS\Temp\051158.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\lsasvc.dll','');
QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\GPH765SS\158[2].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\GPH765SS\158[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\GPH765SS\155[1].exe','');
QuarantineFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\DBWC5OXC\05[1].exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\rrhfg.sys','');
DeleteService('abp470n5');
QuarantineFile('Remote Switch.sys','');
QuarantineFile('xmlprov.sys','');
QuarantineFile('C:\Program Files\51Rem\51Rem.exe','');
DeleteService('Nationalyqc Instruments Domain');
QuarantineFile('C:\WINDOWS\system32\z\J001.exe','');
DeleteService('feag');
QuarantineFile('Cmbuhsrvc.sys','');
DeleteService('Cmbuhsrvc');
QuarantineFile('C:\WINDOWS\system32\YXGARD4WJL\D001.exe','');
DeleteService('bk');
StopService('te_Server_2008');
QuarantineFile('C:\WINDOWS\TEMP\NtHid.sys','');
QuarantineFile('C:\WINDOWS\TEMP\Entor.sys','');
QuarantineFile('c:\windows\system32\rpcss.dll','');
QuarantineFile('c:\windows\system32\qmgr.dll','');
QuarantineFile('c:\windows\system32\ntmssvc.dll','');
QuarantineFile('C:\WINDOWS\system32\kb91220421.dll','');
QuarantineFile('C:\WINDOWS\system32\kb8122049.dll','');
QuarantineFile('C:\WINDOWS\system32\kb41220358.dll','');
QuarantineFile('C:\WINDOWS\system32\kb181220545.dll','');
QuarantineFile('C:\WINDOWS\system32\kb01220349.dll','');
QuarantineFile('C:\WINDOWS\system32\t322023.dll','');
QuarantineFile('C:\WINDOWS\system32\t329078.dll','');
QuarantineFile('c:\windows\system32\wmitpfs.dll','');
QuarantineFile('C:\WINDOWS\Tasks\EfEPEaD4ZpVMUXrDbS.inf','');
QuarantineFile('c:\docume~1\alluse~1.win\drm\upebh.dll','');
DeleteFile('c:\docume~1\alluse~1.win\drm\upebh.dll');
DeleteFile('C:\WINDOWS\Tasks\EfEPEaD4ZpVMUXrDbS.inf');
DeleteFile('c:\windows\system32\wmitpfs.dll');
DeleteFile('C:\WINDOWS\system32\t329078.dll');
DeleteFile('C:\WINDOWS\system32\t322023.dll');
DeleteFile('C:\WINDOWS\system32\YXGARD4WJL\D001.exe');
DeleteFile('Cmbuhsrvc.sys');
DeleteFile('C:\WINDOWS\system32\z\J001.exe');
DeleteFile('C:\Program Files\51Rem\51Rem.exe');
DeleteFile('C:\WINDOWS\system32\drivers\rrhfg.sys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\nwcworkstation\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wmitpfs\Parameters','ServiceDll');
DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\DBWC5OXC\05[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\GPH765SS\155[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\GPH765SS\158[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService.NT AUTHORITY.001\Local Settings\Temporary Internet Files\Content.IE5\GPH765SS\158[2].exe');
DeleteFile('C:\WINDOWS\system32\dllcache\lsasvc.dll');
DeleteFile('C:\WINDOWS\Temp\051158.exe');
DeleteFile('C:\WINDOWS\Temp\051926.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('%userprofile%\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
13.12.2009, 10:04
антивир

да, переименовывал касперского, после этого он начинает запускаться, но не обновляет свои базы. возможно, из-за того, что переименнован, а может из-за некорректной установки.

скрипт выполнил. карантин загрузил. новые логи прикрепил.

спасибо.
13.12.2009, 13:11
thyrex

Выполните скрипт в AVZ
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}');
DelCLSID('{80251236-2255-89A4-5687-895462890322}');
QuarantineFile('C:\WINDOWS\TEMP\Entor.sys','');
QuarantineFile('C:\WINDOWS\TEMP\NtHid.sys','');
QuarantineFile('C:\WINDOWS\Tasks\EfEPEaD4ZpVMUXrDbS.inf','');
QuarantineFile('c:\windows\system32\appmgmts.dll','');
QuarantineFile('Remote Switch.sys','');
DeleteFile('C:\WINDOWS\system32\t322023.dll');
DeleteFile('C:\WINDOWS\system32\t329078.dll');
DeleteFile('c:\windows\system32\qmgr.dll');
DeleteFile('c:\windows\system32\ntmssvc.dll');
RenameFile('%windir%\system32\rpcss.dll', '%windir%\system32\rpcss.bak');
CopyFile('%windir%\system32\dllcache\rpcss.dll', '%windir%\system32\rpcss.dll');
DeleteFile('%windir%\system32\rpcss.bak');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\BITS\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wmitpfs\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\Tasks\EfEPEaD4ZpVMUXrDbS.inf');
QuarantineFile('C:\Program Files\intitdll.exe','');
QuarantineFile('C:\WINDOWS\programs\fuckme.vbs','');
DeleteFile('C:\WINDOWS\programs\fuckme.vbs');
DeleteFile('C:\Program Files\intitdll.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
13.12.2009, 14:21
антивир

После выполнения скрипта касперский стал запускаться под своим нормальным именем.

Карантин закачал, логи новые прикрепил.

Сейчас обновляю базы касперского, после чего проведу им полную проверку.

спасибо.
13.12.2009, 14:26
V_Bond

выполните скрипт
[code]
begin
QuarantineFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc99.exe','');
QuarantineFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc97.exe','');
QuarantineFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc106.exe','');
QuarantineFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc101.exe','');
QuarantineFile('C:\Program Files\Re\R.exe','');
end.
[/code]
пришлите карантин согласно приложения 3 правил
13.12.2009, 15:55
антивир

карантин закачал. один файл в карантин не попал:

[QUOTE]Ошибка карантина файла, попытка прямого чтения (C:\Program Files\Re\R.exe)
Карантин с использованием прямого чтения - ошибка[/QUOTE]

кстати, на диске С видимой папки 2 нет, если это существенно.
13.12.2009, 23:08
thyrex

Этот файл Вам известен - [B]C:\Program Files\Re\R.exe[/B] ?

Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc101.exe');
DeleteFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc106.exe');
DeleteFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc97.exe');
DeleteFile('C:\2\S-1-5-21-1757981266-436374069-839522115-1004\Dc99.exe');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip
14.12.2009, 23:08
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]102[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\networkservice.nt authority.001\local settings\temporary internet files\content.ie5\dbwc5oxc\05[1].exe - [B]Trojan-GameThief.Win32.OnLineGames.vwpx[/B] ( BitDefender: Gen:Trojan.Heur.GM.01C02300FA )[*] c:\documents and settings\networkservice.nt authority.001\local settings\temporary internet files\content.ie5\gph765ss\158[2].exe - [B]Worm.Win32.AutoRun.bbrm[/B] ( BitDefender: Gen:Trojan.Heur.PT.amW@bS5En!cb, NOD32: Win32/Spy.Pophot.NAO trojan, AVAST4: Win32:AutoRun-AXT [Wrm] )[*] c:\program files\intitdll.exe - [B]Trojan.Win32.Agent.ddyn[/B] ( BitDefender: Generic.PWS.Games.1.692D82A5 )[*] c:\windows\system32\kb01220349.dll - [B]Trojan.Win32.Vilsel.oge[/B] ( DrWEB: Trojan.Siggen.31110, BitDefender: Generic.PWS.Games.4.4ADBEBAA, AVAST4: Win32:Vilsel-D [Trj] )[*] c:\windows\system32\kb181220545.dll - [B]Trojan.Win32.Vilsel.ooj[/B] ( DrWEB: Trojan.PWS.Gamania.22626, BitDefender: Generic.PWS.Games.4.507FE9D7, AVAST4: Win32:Vilsel-D [Trj] )[*] c:\windows\system32\kb41220358.dll - [B]Trojan.Win32.Vilsel.ond[/B] ( BitDefender: Generic.PWS.Games.4.C49E55B5, AVAST4: Win32:Vilsel-D [Trj] )[*] c:\windows\system32\kb8122049.dll - [B]Trojan.Win32.Vilsel.ogc[/B] ( DrWEB: Trojan.PWS.Gamania.22621, BitDefender: Generic.PWS.Games.4.3280F3DF, NOD32: Win32/PSW.OnLineGames.OPK trojan, AVAST4: Win32:Vilsel-D [Trj] )[*] c:\windows\system32\kb91220421.dll - [B]Trojan.Win32.Vilsel.nvh[/B] ( DrWEB: Trojan.PWS.Gamania.22401, BitDefender: Generic.PWS.Games.4.956F4E8C, AVAST4: Win32:Vilsel-D [Trj] )[*] c:\windows\system32\ntmssvc.dll - [B]Trojan-Downloader.Win32.Small.kib[/B] ( BitDefender: Trojan.Generic.2778847, NOD32: Win32/KillAV.NGS trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\qmgr.dll - [B]Backdoor.Win32.Nbdd.ja[/B] ( DrWEB: BackDoor.Siggen.138, BitDefender: MemScan:Backdoor.PcClient.TFU, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\rpcss.dll - [B]Trojan.Win32.Vilsel.pkm[/B] ( BitDefender: Trojan.PWS.OnlineGames.KDBO )[*] c:\windows\system32\t322023.dll - [B]Trojan-GameThief.Win32.OnLineGames.bnbm[/B][*] c:\windows\system32\t329078.dll - [B]Trojan-GameThief.Win32.OnLineGames.vwow[/B] ( DrWEB: Trojan.PWS.Spydog.3, BitDefender: Trojan.Generic.2898669, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\wmitpfs.dll - [B]Trojan-PSW.Win32.QQPass.pyh[/B] ( BitDefender: Gen:Trojan.Heur.P.bu4@f0iV4xi, AVAST4: Win32:Malware-gen )[*] c:\windows\temp\051158.exe - [B]Trojan-GameThief.Win32.OnLineGames.vwpx[/B] ( BitDefender: Gen:Trojan.Heur.GM.01C02300FA )[*] c:\windows\temp\051926.exe - [B]Trojan-GameThief.Win32.OnLineGames.vwov[/B] ( DrWEB: Trojan.Inject.7712 )[*] c:\2\s-1-5-21-1757981266-436374069-839522115-1004\dc101.exe - [B]Net-Worm.Win32.Piloyd.bq[/B] ( DrWEB: Win32.HLLW.Autoruner.11439, BitDefender: Gen:Trojan.Heur.bmW@@xo@eki )[*] c:\2\s-1-5-21-1757981266-436374069-839522115-1004\dc106.exe - [B]Net-Worm.Win32.Piloyd.bq[/B] ( BitDefender: Gen:Trojan.Heur.bmW@@xo@eki )[*] c:\2\s-1-5-21-1757981266-436374069-839522115-1004\dc97.exe - [B]Net-Worm.Win32.Piloyd.bq[/B] ( BitDefender: Gen:Trojan.Heur.bmW@@xo@eki )[*] c:\2\s-1-5-21-1757981266-436374069-839522115-1004\dc99.exe - [B]Net-Worm.Win32.Piloyd.bq[/B] ( DrWEB: Win32.HLLW.Autoruner.11439, BitDefender: Gen:Trojan.Heur.bmW@@xo@eki )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]