Много разных вирусов

Printable View

21.02.2010, 22:09
Detochkin

Много разных вирусов

Касперский обнаруживает около 70 вирусов, лечит, в результате остаются 2 которые не лечатся и не удаляются. Вскоре вирусы множатся (через 2 часа ок. 30 вирусов). Просмотреть содержимое дисков через проводник не удается, приходится открывать правой кнопкой мыши в новом окне.
21.02.2010, 22:33
CyberHelper

1. Пожалуйста, выполните скрипт AVZ:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('c:\43815eaed53a40bf86eaaa88\wgasetup.exe', 'CHQ=N');
QuarantineFile('IntelIde.sys', 'CHQ=N');
QuarantineFile('logon.scr', 'CHQ=N');
QuarantineFile('nvoglnt.dll', 'CHQ=N');
QuarantineFile('C:\WINDOWS\erunt\autoback.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System\LVMaLogD.DLL', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\avsys.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System32\Drivers\dump_diskdump.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System32\Drivers\dump_nvgts.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ubi_bus.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ubi_mdfl.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ubi_mdm.sys', 'CHQ=N');
QuarantineFile('G:\autorun.inf', 'CHQ=N');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe', 'CHQ=N');
QuarantineFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe', 'CHQ=N');
QuarantineFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe,explorer.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\assembly\NativeImages_v2.0.50727_32\System.Data.SqlServ#\0bc5b71414d748fd25ad29c839d2e476\System.Data.SqlServerCe.ni.dll', 'CHQ=N');
QuarantineFile('C:\Program Files\MioNet\RouterDll.dll', 'CHQ=N');
QuarantineFile('C:\Program Files\RALINK\Common\AegisE5.dll', 'CHQ=N');
QuarantineFile('c:\program files\ralink\common\raui.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\COMNCTR.dll', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\ndisapi.dll', 'CHQ=G');
QuarantineFile('c:\windows\system32\nvsvc32.exe', 'CHQ=G');
QuarantineFile('C:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe', 'CHQ=G');
BC_QrFile('c:\43815eaed53a40bf86eaaa88\wgasetup.exe');
BC_QrFile('C:\WINDOWS\System\LVMaLogD.DLL');
BC_QrFile('C:\WINDOWS\system32\avsys.exe');
BC_QrFile('C:\WINDOWS\System32\Drivers\dump_diskdump.sys');
BC_QrFile('C:\WINDOWS\System32\Drivers\dump_nvgts.sys');
BC_QrFile('G:\autorun.inf');
BC_QrFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe');
BC_QrFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe');
BC_QrFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe,explorer.exe');
DeleteFile('c:\windows\system32\upd32.exe');
ExecuteWizard('TSW', 3, 3, true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить [URL]http://virusinfo.info/index.php?page=uploadclean[/URL]
22.02.2010, 00:14
Detochkin

все шаги выполнены. что дальше?
22.02.2010, 02:00
gjf

- [b]Вставьте все заражённые флешки, но не открывайте их в Проводнике, пока Вам не будет это разрешено.[/b]
- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[b]- Антивирус и Файрвол.[/b]
- [url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт:[/url]
[CODE]Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
TerminateProcessByName('c:\windows\system32\upd32.exe');
AddToLog('Удаление скрытого сервиса '+'ceslihdhb'+' - Результат:'+inttostr(BC_ServiceKill('ceslihdhb')) );
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe','');
QuarantineFile('C:\WINDOWS\system32\avsys.exe','');
QuarantineFile('C:\WINDOWS\system32\AegisE5.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe,explorer.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe','');
QuarantineFile('c:\windows\system32\upd32.exe','');
DeleteFile('c:\windows\system32\upd32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4653164776-5751195339-500222462-3684\msdrive.exe,explorer.exe');
DeleteFile('C:\WINDOWS\system32\avsys.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe');
DeleteFile('G:\autorun.inf');
DelCLSID('8ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(1); {восстановление параметров запуска исполняемых файлов}
ExecuteRepair(11); {разблокировка диспетчера задач}
SaveLog(GetAVZDirectory+'avz_log.txt');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/url]
[b]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/b]
- Сделайте повторные логи согласно [url="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/url]
[i]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/i]
- Включите Антивирус и Файрвол
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [url="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/url].
- Прикрепите новые логи, а также файл avz_log.txt из папки AVZ (если таковой имеется) к новому сообщению в этой ветке.
22.02.2010, 18:12
Detochkin

На втором сетевом компе такая же похожая проблема, он не открывает диски, и пишет что отказано в доступе. И можно зайти только через прав. кнопку-проводник в новом окне. Касперский после всех обновлений ни находит ни одного вируса, а машина не хочет при этом перезагружаться в "безопасном режиме, и во все остальные возможные вариации тоже.Плз помогите!
22.02.2010, 18:40
Detochkin

Сделано
22.02.2010, 19:28
gjf

Ну вот, воткнули флешку - и опять нахваталось. Надеюсь, Вы её ещё не вытаскивали? Повторим:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('H:\autorun.inf');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isew32.exe');
DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(false);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки - сделайте повторные логи согласно только пункта 2 [url="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/url]
[i]virusinfo_syscheck.zip[/i]
22.02.2010, 20:16
Detochkin

Сделал
22.02.2010, 20:53
gjf

Чисто
22.02.2010, 22:59
Detochkin

На втором компе похожая проблема

На второй сетевой машине не открывает диски, только правой кнопкой через проводник, в новом окне. Не перезагружается в безопасный режим, и Касперский не находит ни каких вирусов! Что делать прислать Вам логи? Или создать новую тему?
22.02.2010, 23:07
gjf

Новая машина - новая тема.
23.02.2010, 23:07
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]34[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]