отключен безопасный режим, тормозит при загрузке, переодические вылеты программотключен безопасный режим, тормозит при загрузке, переодические вылеты программ

Printable View

18.05.2010, 06:38
arva

отключен безопасный режим, тормозит при загрузке, переодические вылеты программотключен безопасный режим, тормозит при загрузке, переодические вылеты программ

Доброе утро! На компьютере явно сидит какая то пакость - в диспетчере задач вижу много подозрительных процессов вроде userinit.exe А вот веб с последними базами почему то их не видит. Самое интересное, если скачать любой *.exe файл - веб сразу ругается на него что обнаружил вирус. Кроме этого отключен запуск системы в безопасном режиме. При загрузке в обычном режиме система почти полностью загружается и намертво виснет. Получается загрузиться только с помощью пункта "загрузить последнюю удачную конфигурацию". Логи прилагаю.
18.05.2010, 06:53
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
F2 - REG:system.ini: Shell=Explorer.exe csrcs.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('slmvsrv.exe','');
QuarantineFile('c:\documents and settings\all users\application data\srtserv\slmvsrv.exe','');
QuarantineFile('C:\WINDOWS\system32\poussub.exe','');
QuarantineFile('C:\WINDOWS\system32\dyzuzoc.exe','');
QuarantineFile('C:\Documents and Settings\User\Application Data\xgezu.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
DeleteService('protect');
QuarantineFile('jrmpciyxjzrjkh.sys','');
DeleteService('jrmpciyxjzrjkh');
QuarantineFile('00001C8D.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\WPM49.tmp','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\srtserv\sdata.dll','');
TerminateProcessByName('c:\windows\temp\wpv511274083602.exe');
QuarantineFile('c:\windows\temp\wpv511274083602.exe','');
TerminateProcessByName('c:\docume~1\user\locals~1\temp\wpm49.tmp');
QuarantineFile('c:\docume~1\user\locals~1\temp\wpm49.tmp','');
TerminateProcessByName('c:\windows\system32\userini.exe');
QuarantineFile('c:\windows\system32\userini.exe','');
TerminateProcessByName('c:\windows\system32\kydu.exe');
QuarantineFile('c:\windows\system32\kydu.exe','');
TerminateProcessByName('c:\windows\system32\dyzuzoc.exe');
QuarantineFile('c:\windows\system32\dyzuzoc.exe','');
TerminateProcessByName('c:\windows\system32\csrcs.exe');
QuarantineFile('c:\windows\system32\csrcs.exe','');
TerminateProcessByName('c:\docume~1\user\locals~1\temp\1303.exe');
QuarantineFile('c:\docume~1\user\locals~1\temp\1303.exe','');
TerminateProcessByName('c:\docume~1\user\locals~1\temp\0646997.exe');
QuarantineFile('c:\docume~1\user\locals~1\temp\0646997.exe','');
DeleteFile('c:\docume~1\user\locals~1\temp\0646997.exe');
DeleteFile('c:\docume~1\user\locals~1\temp\1303.exe');
DeleteFile('c:\windows\system32\csrcs.exe');
DeleteFile('c:\windows\system32\dyzuzoc.exe');
DeleteFile('c:\windows\system32\kydu.exe');
DeleteFile('c:\windows\system32\userini.exe');
DeleteFile('c:\docume~1\user\locals~1\temp\wpm49.tmp');
DeleteFile('c:\windows\temp\wpv511274083602.exe');
DeleteFile('C:\Documents and Settings\All Users\Application Data\srtserv\sdata.dll');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\WPM49.tmp');
DeleteFile('jrmpciyxjzrjkh.sys');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('C:\Documents and Settings\User\Application Data\xgezu.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
DeleteFile('C:\WINDOWS\system32\dyzuzoc.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','viru');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','viru');
DeleteFile('C:\WINDOWS\system32\poussub.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','dulik');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','dulik');
DeleteFile('c:\documents and settings\all users\application data\srtserv\slmvsrv.exe');
DeleteFile('slmvsrv.exe');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
QuarantineFile('c:\windows\system32\svchost.exe:exe.exe','');
QuarantineFile('c:\windows\explorer.exe:userini.exe','');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFileMask('C:\Documents and Settings\User\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteRepair(10);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
18.05.2010, 07:25
arva

Карантин:

Файл сохранён как 100518_072455_quarantine_4bf208873d776.zip
Размер файла 1765413
MD5 6ee4545f3f7554377d741de6c8454a4d

Лечение уже дало определенный результат - компьютер нормально загрузился в обычном режиме, раньше намертво зависал.
18.05.2010, 07:30
arva

Новые логи:
18.05.2010, 08:16
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\modoh.exe');
TerminateProcessByName('c:\windows\temp\wpv011274083741.exe');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\WINDOWS\system32\dyzuzoc.exe','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\DOCUME~1\User\LOCALS~1\Temp\wvfugaxawe.sys','');
QuarantineFile('c:\windows\temp\wpv011274083741.exe','');
QuarantineFile('c:\windows\system32\modoh.exe','');
DeleteFile('c:\windows\system32\modoh.exe');
DeleteFile('c:\windows\temp\wpv011274083741.exe');
DeleteFile('C:\DOCUME~1\User\LOCALS~1\Temp\wvfugaxawe.sys');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\dyzuzoc.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','services');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','viru');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','viru');
DeleteService('era3uyteupyo7li');
DeleteService('jrmpciyxjzrjkh');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
18.05.2010, 09:32
arva

Карантин:
Файл сохранён как 100518_093040_virus_4bf22600cef30.zip
Размер файла 1805733
MD5 00658d89c81bd34eaf3e819297278b90

Новые логи:
18.05.2010, 10:47
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\temp\wpv431274083913.exe');
TerminateProcessByName('c:\windows\system32\wootousecouqu.exe');
TerminateProcessByName('c:\windows\system32\userini.exe');
DeleteService('era3uyteupyo7li');
DeleteFile('c:\windows\system32\wootousecouqu.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('C:\WINDOWS\Temp\wpv431274083913.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','viru');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','viru');
DeleteFile('C:\WINDOWS\system32\dyzuzoc.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('c:\windows\system32\wootousecouqu.exe');
BC_DeleteFile('c:\windows\temp\wpv431274083913.exe');
BC_DeleteSvc('era3uyteupyo7li');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
18.05.2010, 13:27
thyrex

Дополнительно к совету [B]polword[/B]

Логи [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] и [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url] тоже подготовьте
19.05.2010, 13:27
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]117[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\user\application data\xgezu.exe - [B]Trojan.Win32.Pakes.oej[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Gen:Variant.Fakealert.8, AVAST4: Win32:Malware-gen )[*] c:\docume~1\user\locals~1\temp\svchost.exe - [B]Trojan-Clicker.Win32.Cycler.pee[/B] ( DrWEB: Trojan.MulDrop1.17753, BitDefender: Trojan.Generic.3851225, AVAST4: Win32:Unruy-G [Trj] )[*] c:\docume~1\user\locals~1\temp\0646997.exe - [B]Trojan-Clicker.Win32.Cycler.seu[/B] ( DrWEB: Trojan.Siggen1.30114, BitDefender: Trojan.Generic.3947515, AVAST4: Win32:Unruy-G [Trj] )[*] c:\docume~1\user\locals~1\temp\1303.exe - [B]Trojan-Dropper.Win32.Vidro.aas[/B] ( DrWEB: Trojan.Packed.20262, BitDefender: Gen:Variant.FakeAlert.4, AVAST4: Win32:Bamital-T [Drp] )[*] c:\windows\explorer.exe:userini.exe:$data - [B]Email-Worm.Win32.Joleee.etk[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BP, AVAST4: Win32:Bredolab-DF [Trj] )[*] c:\windows\system32\csrcs.exe - [B]Worm.Win32.AutoIt.tc[/B] ( DrWEB: Win32.HLLW.Autohit.11080, BitDefender: Gen:Trojan.Heur.AutoIT.Xq3@bGeXLPeO )[*] c:\windows\system32\dyzuzoc.exe - [B]Trojan-Dropper.Win32.Vidro.abp[/B] ( DrWEB: Trojan.WinSpy.773, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )[*] c:\windows\system32\kydu.exe - [B]Trojan-Dropper.Win32.Vidro.abp[/B] ( DrWEB: Trojan.WinSpy.773, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )[*] c:\windows\system32\poussub.exe - [B]Trojan-Dropper.Win32.Vidro.abp[/B] ( DrWEB: Trojan.WinSpy.773, BitDefender: Gen:Variant.Zbot.7, AVAST4: Win32:Bamital-T [Drp] )[*] c:\windows\temp\wpv011274083741.exe - [B]Email-Worm.Win32.Joleee.eup[/B] ( DrWEB: Trojan.Spambot.6788, AVAST4: Win32:Bredolab-DH [Trj] )[*] c:\windows\temp\wpv511274083602.exe - [B]Packed.Win32.Katusha.a[/B] ( DrWEB: Trojan.Packed.20231, BitDefender: Gen:Variant.Bredo.2, AVAST4: Win32:Bredolab-DH [Trj] )[/LIST][/LIST]