Printable View
Здравствуйте, помогите разобраться с проблемой.
Началось неделю назад, выдается сообщение «Система завершает работу. Сохраните данные и выйдите из системы. Отключение системы вызвано NT AUTHORITY\SYSTEM. Система будет перезагружена через 1 минуту". После чего начинается обратный отсчет и система действительно перезагружается через минуту.
Лечил с помощью CureIT. Вирусы нашлись, удалены, но проблема осталась. Логи AVZ и RSIT после лечения прикрепил.
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('cccqli.sys','');
QuarantineFile('awqrbw.sys','');
QuarantineFile('ewoefn.sys','');
QuarantineFile('eimmcc.sys','');
QuarantineFile('cvmnnm.sys','');
QuarantineFile('C:\Recycled\Q678340.exe','');
QuarantineFile('C:\WINDOWS\wsem303.dll','');
QuarantineFile('C:\WINDOWS\System32\94UJDE~1.DLL','');
QuarantineFile('C:\WINDOWS\nem220.dll','');
QuarantineFile('C:\Documents and Settings\Metelkindv\Главное меню\Программы\Автозагрузка\sysfbm32.exe','');
QuarantineFile('C:\windows\System32\drivers\ujebav.sys','');
QuarantineFile('C:\windows\System32\drivers\tihnff.sys','');
QuarantineFile('C:\windows\System32\drivers\rftgne.sys','');
QuarantineFile('C:\windows\System32\drivers\ntcgbf.sys','');
QuarantineFile('C:\windows\System32\msfsr.sys','');
QuarantineFile('C:\windows\System32\drivers\mkwdpi.sys','');
QuarantineFile('C:\windows\System32\drivers\mhtaiu.sys','');
QuarantineFile('C:\windows\System32\drivers\jpvkqr.sys','');
QuarantineFile('C:\windows\System32\drivers\joblhu.sys','');
QuarantineFile('C:\windows\System32\drivers\hrblqn.sys','');
QuarantineFile('C:\windows\System32\drivers\hjbmcg.sys','');
QuarantineFile('C:\windows\System32\drivers\hfodqm.sys','');
QuarantineFile('C:\windows\System32\drivers\gvspdr.sys','');
DeleteFile('C:\windows\System32\drivers\hfodqm.sys');
DeleteFile('C:\windows\System32\drivers\hjbmcg.sys');
DeleteFile('C:\windows\System32\drivers\hrblqn.sys');
DeleteFile('C:\windows\System32\drivers\joblhu.sys');
DeleteFile('C:\windows\System32\drivers\jpvkqr.sys');
DeleteFile('C:\windows\System32\drivers\mhtaiu.sys');
DeleteFile('C:\windows\System32\drivers\mkwdpi.sys');
DeleteFile('C:\windows\System32\msfsr.sys');
DeleteFile('C:\windows\System32\drivers\ntcgbf.sys');
DeleteFile('C:\windows\System32\drivers\rftgne.sys');
DeleteFile('C:\windows\System32\drivers\tihnff.sys');
DeleteFile('C:\windows\System32\drivers\ujebav.sys');
DeleteFile('C:\Documents and Settings\Metelkindv\Главное меню\Программы\Автозагрузка\sysfbm32.exe');
DeleteFile('C:\WINDOWS\nem220.dll');
DeleteFile('C:\WINDOWS\System32\94UJDE~1.DLL');
DeleteFile('C:\WINDOWS\wsem303.dll');DeleteFile('C:\Recycled\Q678340.exe');
DelBHO('{8F4E5661-F99E-4B3E-8D85-0EA71C0748E4}');
DelBHO('{467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E}');
DelBHO('{00000010-6F7D-442C-93E3-4A4827C2E4C8}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{11311111-1111-1111-1111-111111111157}');
DeleteService('ewoefn');
DeleteService('eimmcc');
DeleteService('awqrbw');
DeleteService('cccqli');
DeleteService('cvmnnm');
DeleteService('hfodqm');
DeleteService('hjbmcg');
DeleteService('hrblqn');
DeleteService('joblhu');
DeleteService('jpvkqr');
DeleteService('mhtaiu');
DeleteService('mkwdpi');
DeleteService('msfsr');
DeleteService('ntcgbf');
DeleteService('rftgne');
DeleteService('tihnff');
DeleteService('ujebav');
DeleteFile('cvmnnm.sys');
DeleteFile('eimmcc.sys');
DeleteFile('ewoefn.sys');
DeleteFile('awqrbw.sys');
DeleteFile('cccqli.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи (лог HiJack тоже)
Установите [url=http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4]Service Pack 3[/url] для Windows ХР (может потребоваться активация).
Установите обновления безопасности на Windows.
[B]thyrex[/B],
скрипт выполнил, файлы карантина и новые логи во вложении
[B]virus.zip[/B] из вложений удалите и пришлите как положено
Пофиксите в hiJack
[CODE]O20 - AppInit_DLLs: kеrnеl32.dll MsgPlusLoader.dll
O21 - SSODL: Shell - {3ABAD330-2925-4AE1-8158-94E9FCD3E3E9} - mswshell.dll (file missing)[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\windows\system32\MsgPlusLoader.dll','');
QuarantineFile('mswshell.dll','');
QuarantineFile('C:\WINDOWS\System32\mspmspsv.dll','');
DeleteFile('mswshell.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad','Shell');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
[B]thyrex[/B], простите, что значит "Пофиксите в hiJack"
[url]http://virusinfo.info/showthread.php?t=4491[/url]
Все разобрался, делаю
Файл карантина отправил, логи прикладываю
Что сейчас с проблемой?
[QUOTE=thyrex;635373]Что сейчас с проблемой?[/QUOTE]
Весь вечер система работала нормально, посмотрим дальше утром сообщу. Спасибо
Поставьте SP3(может потребоваться активация)+ все обновления.
[B]thyrex[/B], Спасибо. Всю ночь система отрабтала без сбоев. Надеюсь все нормально. Спасибо за помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]62[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\metelkindv\главное меню\программы\автозагрузка\sysfbm32.exe - [B]Packed.Win32.Krap.ao[/B] ( DrWEB: Trojan.Botnetlog.126, BitDefender: Gen:Variant.Ursnif.8, AVAST4: Win32:Crypt-GHH [Drp] )[/LIST][/LIST]