Printable View
Заблокировал почти все что только можно.
AVPTool CureIt AVZ не работают. (выкидывает или зависает даже при попытке просто зайти в папку с ними)
Не могу отключить восстановление системы, в свойствах "Мой компьютер" отсутствует эта графа... не знаю как так.
Regedit.exe не запускается т.е. в ручную тоже не отключить.
Скачал Kaspersky Rescue Disk 10 , записал на cd , не работает.
Нужен LiveCD с возможностью поиска и правки исправления в реестре. Например, [B]ERD Commander[/B]
Ок.
Скачал, записал, запустил. Вроде работает. (Winternals ERD Commander 2005)
Что делать дальше?
Пуск - Выполнить - [B]erdregedit[/B]
Посмотрите в реестре:
[B]ветка[/B] [CODE]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/CODE]
[B]параметр[/B] [CODE]AppInit_DLLs[/CODE]
Содержимое этого параметра в своем сообщении напишите
Да, есть такой, лежит в C:/WINDOWS/system32
Чем его открывать? В блокноте иероглифы какие то...
Или вам нужно название самого файла?
C:/WINDOWS/system32/gpeojqs.dll
Выполнять из LiveCD
1. Переименовать этот файл
2. Очистить параметр AppInit_DLLs
3. Пробуйте загружаться обычным способом
Если баннер пропал, выполняйте правила + делайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
Ок, баннер пропал!
Но по прежнему заблокирован диспетчер задач, Regedit.exe и восстановление системы, я даже не знаю включено оно у меня вообще или выключено...
(в безопасном режиме не работает, пишет что то про групповую политику и администратора домена)
после запуска ComboFix лог по адресу: C:\ComboFix.txt не появился.
[QUOTE='suharev;641315']после запуска ComboFix лог по адресу: C:\ComboFix.txt не появился.[/QUOTE]Ошибки выдавались какие? Попробуйте еще раз сделать
Переименованный файл запакуйте с паролем [B]virus[/B] и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пофиксите в HiJack
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\system32\gpeojqs.dll[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\~.exe','');
QuarantineFile('C:\WINDOWS\System32\XDkHD7qg.exe','');
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
QuarantineFile('C:\WINDOWS\System32\sdra64.exe','');
QuarantineFile('C:\Documents and Settings\Саша\txwt.exe','');
DeleteFile('C:\Documents and Settings\Саша\txwt.exe');
DeleteFile('C:\WINDOWS\System32\sdra64.exe');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
DeleteFile('C:\WINDOWS\System32\XDkHD7qg.exe');
DeleteFile('C:\WINDOWS\system32\~.exe');
DeleteFileMask('%windir%\Tasks', 'At*.job', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(11);
ExecuteRepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Переименованный файл: C:/WINDOWS/system32/gpeojqs.dll не могу найти.
100% помню новое название которое ему дал, искал через поиск и вручную, его нету.
С ComboFix разобрался, лог прикрепил снизу.
Quarantine из папки AVZ в архиве zip с паролем virus прислал.
Диспетчер задач, восстановление системы и Regedit.exe работают.
Regedit скинул с другого компьютера (посоветовал мне это сделать ComboFix, после чего тоже заработал)
Cтарый Regedit был сломан, не знаю чем.
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
c:\windows\system32\ufenru.dll
c:\windows\system32\hzhzhz.dll
Driver::
Folder::
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
hzhzhz тот самый переименованный файл.
Сделал как вы показали, вот лог :
Чисто.
Запакуйте, пожалуйста, папку [B]C:\Qoobox\Quarantine[/B] с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.
[URL="http://virusinfo.info/showpost.php?p=493610&postcount=1"]Удалите ComboFix[/URL]
Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все новые патчи
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Установите [url="www.adobe.com/products/acrobat/"]Adobe Acrobat 9.3[/url] или удалите старый
Спасибо!
Карантин отправил, сейчас займусь установкой сп3 и т.д.
Карантин получен. Спасибо
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\~.exe - [B]Trojan-Spy.Win32.Zbot.roh[/B] ( DrWEB: Trojan.PWS.Panda.22, BitDefender: Backdoor.Bot.91981, AVAST4: Win32:Zbot-APD [Trj] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]