разрыв соединения с интернетом, невозможность запустить cure_it

Printable View

20.03.2010, 17:05
nkrdbl

разрыв соединения с интернетом, невозможность запустить cure_it

не могу запустить cure it. пишет "срок действия лицензионного ключа истёк"

постоянно обрывается соединение (почти сразу же), помогает шаманство вроде:
интернет начинает работать только после отключения каких-то процессов и удаления из корня "C" подозрительного файла u5c9o2t1i5d4.exe 76,0 КБ (77*868 байт) с последующей заменой имени и расширения любого текстого файла на u5c9o2t1i5d4.exe

(если надо, могу ещё выложить лог prevx'a, он там многое что обнаружил)

P.S. - хронически не могу загрузиться в бесопасно режиме - выскакивает синий экран. ПОэтому все процедуры проводились в обычном режиме
20.03.2010, 17:42
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('G:\RECYCLER\S-51-9-25-3434476501-1644491933-601014513-1214\Instmsx.exe','');
QuarantineFile('G:\autorun.inf','');
QuarantineFile('D:\autorun.wsh','');
QuarantineFile('C:\autorun.wsh','');
QuarantineFile('C:\autorun.exe','');
DelBHO('{201f27d4-3704-41d6-89c1-aa35e39143ed}');
DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\Instmsx.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0076258761-8282067211-789184825-3618\wmfcgr.exe','');
QuarantineFile('gqtyyur.sys','');
DeleteService('gqtyyur');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\ld7UioB3.sys','');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\ld7UioB3.sys');
DeleteFile('gqtyyur.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-0076258761-8282067211-789184825-3618\wmfcgr.exe');
DeleteFile('C:\WINDOWS\system32\drivers\Instmsx.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
DeleteFile('C:\autorun.exe');
DeleteFile('C:\autorun.wsh');
DeleteFile('D:\autorun.wsh');
DeleteFile('G:\autorun.inf');
DeleteFile('G:\RECYCLER\S-51-9-25-3434476501-1644491933-601014513-1214\Instmsx.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(10);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
20.03.2010, 18:53
nkrdbl

c интернетом теперь все в порядке, с cure it проблема осталась
20.03.2010, 19:58
nkrdbl

карантин отправил кста
20.03.2010, 22:02
thyrex

Как давно скачивали CureIt?

Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip
21.03.2010, 05:59
nkrdbl

починился Сэйфмод

сделал лог и прикрепил ещё лог prevx'a (может поможет чем либо)
Cure it 5 дневной свежести, сейчас качаю новую, вот уже вторые сутки качается, никак выкачаться не может...

кстати, до того, как обратился сюда, пытался сам что то полечить - убил червяка кидокиллером ... надеюсь эта инфа тоже чем либо поможет.
21.03.2010, 11:08
nkrdbl

скачал свежий Cure it, он заработал, в сейфмоде удалил пару вирусов, вот новый лог
21.03.2010, 11:17
thyrex

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=userinit.exe,
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)[/CODE]Больше ничего плохого

Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/URL]
Установите [URL="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/URL] или удалите старый
21.03.2010, 12:00
nkrdbl

спасибо огромное. и ещё такая проблемка - я не могу в свойствах папки поменять параметр "показывать скрытые файлы и папки"...
и меня интересует вот, а что это за строки в протоколе Avz?

>>> C:\WINDOWS\system32\sfcfiles.dll ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
>>> C:\WINDOWS\system32\comres.dll ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
>>> C:\WINDOWS\system32\ntoskrnl.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
>>> C:\WINDOWS\system32\ntkrnlpa.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
>>> C:\WINDOWS\system32\msdtc.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)
>>> C:\WINDOWS\system32\cscript.exe ЭПС: подозрение на Файл с подозрительным именем (CH) (высокая степень вероятности)

Функция NtAssignProcessToJobObject (13) перехвачена (805E839E->B14E3464), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtCreateKey (29) перехвачена (80577925->F74DA0E0), перехватчик spfi.sys
Функция NtCreateThread (35) перехвачена (80586C43->B14E349E), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtDeleteKey (3F) перехвачена (80593334->B14E3290), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtDeleteValueKey (41) перехвачена (80591F8B->B14E3302), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtEnumerateKey (47) перехвачена (80578E1C->F74F7CA2), перехватчик spfi.sys
Функция NtEnumerateValueKey (49) перехвачена (80587691->F74F8030), перехватчик spfi.sys
Функция NtOpenKey (77) перехвачена (80572BFC->F74DA0C0), перехватчик spfi.sys
Функция NtOpenProcess (7A) перехвачена (8058170A->B14E37B2), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtOpenThread (80) перехвачена (805E1939->B14E368E), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtProtectVirtualMemory (89) перехвачена (80581891->B14E352A), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtQueryKey (A0) перехвачена (80578A1C->F74F8108), перехватчик spfi.sys
Функция NtQueryValueKey (B1) перехвачена (8057303F->F74F7F88), перехватчик spfi.sys
Функция NtSetContextThread (D5) перехвачена (80635937->B14E3426), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtSetValueKey (F7) перехвачена (80582294->B14E338E), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtTerminateProcess (101) перехвачена (8058E695->B14E38E6), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtTerminateThread (102) перехвачена (805838EF->B14E35AE), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
Функция NtWriteVirtualMemory (115) перехвачена (805885C2->B14E35E6), перехватчик C:\WINDOWS\System32\drivers\pxrts.sys
21.03.2010, 12:37
thyrex

Выполните скрипт в AVZ
[code]begin
ExecuteRepair(6);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Проверяйте показ скрытых файлов

На остальное не обращайте внимания. Перехватчики от антивируса и эмулятора дисков. Подозрения на файлы объясняются тем, что у Вас скорее всего сборка, а не лицензионная система
21.03.2010, 13:45
nkrdbl

а у меня нет антивируса то!
скрипт выполнил, показ скрытых файлов не работает до сих пор.

ещё вопрос - а на что это prevx ругается?
[Z] c:\windows\system32\drivers\iastor.sys [PX5: 45D2AE7718241B6AB45D04487B488800FCE0BC39] Malware Group: Malware Component
[BN] c:\windows\system32\drivers\gef7679.sys [PX5: 1AAA128E20709191B19900D6916E0A0012FDA12B] Malware Group: High Risk Rootkit
[B] c:\windows\system32\autorun.exe [PX5: 6732446900B8FDA7F00A0052F5ABFE00BD2000BF] Malware Group: High Risk System Back Door
[B] c:\windows\system32\autorun.~ex [PX5: 6732446900B8FDA7F00A0052F5ABFE000563073D] Malware Group: High Risk Worm
21.03.2010, 14:00
thyrex

[QUOTE='nkrdbl;607869']ещё вопрос - а на что это prevx ругается?[/QUOTE]А prevxразве не относится к антивирусному софту?

Проверьте в реестре в ветке [code]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced[/code] параметры [b]ShowSuperHidden, SuperHidden, Hidden[/b] на предмет равенства "1" (это правильное значение)

А также в ветке
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL[/code] параметр "[b]CheckedValue[/b]" тоже должен быть "1"
21.03.2010, 19:25
nkrdbl

[QUOTE=thyrex;607880]А prevxразве не относится к антивирусному софту?

Проверьте в реестре в ветке [code]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced[/code] параметры [b]ShowSuperHidden, SuperHidden, Hidden[/b] на предмет равенства "1" (это правильное значение)

А также в ветке
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL[/code] параметр "[b]CheckedValue[/b]" тоже должен быть "1"[/QUOTE]

ну он бесплатно только сканит, лечить не лечит.
А редактор реестра не запускается. "библиотека aclui.dll не является образом программы для windows NT"

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 49 минут[/I][/B][/color][/size]

поможете то?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 30 минут[/I][/B][/color][/size]

как пофиксить регедит не подскажете?
21.03.2010, 19:48
thyrex

Попробуйте сделать лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
22.03.2010, 12:32
nkrdbl

комбофикс запускал уже но не по правилам (голова уже не соображала ничего к тому моменту) - то есть просто как скачал, сразу же запустил, не закрыв программ некоторых (насколько это критично?)
он тоже несмог там открыть редактор реестра, потребовал aclui.dll, который я в последствии скачал с локалки у кого то и после этого редактор реестра заработал.

В указанных вами строках действительно были неверные параметры, которые я изменил на верные (значение "1") и показ скрытых файлов заработал.

на диске Ц появились папки, которых раньше не замечал:
C:\cmdcons (скрытая)
C:\9556ef11f1bc6ed95903426694d4
23.03.2010, 12:32
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-0076258761-8282067211-789184825-3618\wmfcgr.exe - [B]P2P-Worm.Win32.Palevo.xym[/B] ( BitDefender: Gen:Heur.VB.Krypt.12, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\drivers\instmsx.exe - [B]Net-Worm.Win32.Kolab.hfw[/B] ( DrWEB: BackDoor.IRC.Bot.173, BitDefender: Trojan.Agent.VB.BHV, AVAST4: Win32:Malware-gen )[*] g:\recycler\s-51-9-25-3434476501-1644491933-601014513-1214\instmsx.exe - [B]Net-Worm.Win32.Kolab.hfw[/B] ( DrWEB: BackDoor.IRC.Bot.173, BitDefender: Trojan.Agent.VB.BHV, AVAST4: Win32:Malware-gen )[/LIST][/LIST]