Printable View
Avast при каждой загрузке находит зараженные файлы, которые создаются в папке D:/_temp, с числовыми названиями (070.ехе, 154.ехе и т.д.), вирусы win32:VB-pkr[drp], win32: Dravur-D[cryp]. Как только он их находит, инет блокируется ( как ни странно, частично работает контакт, остальные сайты нет). При каждой перезагрузке cure it находит одни и те же вирусы, тоже с числовыми названиями, вирус Hllw.lime.8.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3769657372-5400880701-324239481-3372\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-3769657372-5400880701-324239481-3372\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','taskman');
QuarantineFile('C:\WINDOWS\wndrive32.exe','');
DeleteFile('C:\WINDOWS\wndrive32.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log;)
- Скачайте RSIT [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
Карантин отослан.
1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('D:\_TEMP\477.exe','');
QuarantineFile('D:\_TEMP\668.exe','');
QuarantineFile('D:\_TEMP\822.exe','');
QuarantineFile('D:\_TEMP\338.exe','');
QuarantineFile('C:\WINDOWS\system32\28.exe','');
QuarantineFile('C:\WINDOWS\system32\42.exe','');
QuarantineFile('C:\WINDOWS\system32\33.exe','');
QuarantineFile('C:\WINDOWS\system32\07.exe','');
QuarantineFile('C:\WINDOWS\system32\35.exe','');
QuarantineFile('C:\WINDOWS\system32\77.exe','');
DeleteFile('D:\_TEMP\477.exe');
DeleteFile('D:\_TEMP\668.exe');
DeleteFile('D:\_TEMP\822.exe');
DeleteFile('D:\_TEMP\338.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\07.exe');
DeleteFile('C:\WINDOWS\system32\35.exe');
DeleteFile('C:\WINDOWS\system32\77.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log;)
- Сделайте повторные логи log.txt и info.txt.
После выполнения первого скрипта и перезагрузки avast предупредил об 01.ехе в c:\windows\system32, вирус win32:vbmod[trj]. Затем вылетела ошибка svchost.exe память обратилась, не может быть read и т.д., сдох инет, пришлось ребутаться. Карантин сделал до того, как все это произошло. Логи делаю после 2ой перезагрузки. Так, RSIT создает только 1 файл...
1. Панель управления - Брандмауэр Windows
Удалите из его исключений
[QUOTE]D:\_TEMP\477.exe
D:\_TEMP\338.exe
D:\_TEMP\822.exe
D:\_TEMP\668.exe
D:\_TEMP\417.exe[/QUOTE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
ExecuteRepair(19);
RebootWindows(true);
end.[/CODE]
После перезагрузки:
обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- Обновите [URL="http://www.java.com/ru/download/manual.jsp"]Java [/URL].
- поставте [URL="http://www.adobe.com/go/EN_UK-H-GET-READER"]Adobe Reader 9.3[/URL] или удалите старый.
- Проведите процедуру, которая описана в первом сообщении [URL="http://virusinfo.info/showthread.php?t=3519"]тут[/URL].
результат загрузки прикрепите к новому сообщению
Брандмауэр отключен, в исключениях ничего похожего не нашел.
IE обновить не смог, просит установить какой то update, а когда его устанавливаю, говорит, что стоит версия новее и обновлять не надо. Остальное обновил. В процессе avast опять засек пару файлов: C:\WINDOWS\system32\53.exe [L] Win32:VBMod [Trj]
C:\WINDOWS\system32\42.exe [L] Win32:VBMod [Trj].
файл прикрепить не могу, размер больше чем можно. Но я в той ветке его загрузил и написал последнее сообщение.
"Файл сохранён как: 100607_214320_virusinfo_files_COMPUTER_4c0d2fb8c3d 6d.zip
Размер файла: 11325369
MD5: a2c7e2a28fc08cdc09b2d25d6110d30d"
делайте новый комплект логов +лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
Лог MbaM - это сохраненный отчет? Что-то самостоятельно он не сгенерировался, может я посмотрел не там? Прикрепляю результат отчета.
Я тут подумал. Могут ли логи не полностью отражать ситуацию? Процесс (wndrive32.exe), который блочит мне инет и создают кучу файлов в разных папках, он самопроизвольно запускается раз минут в 15. А логи я делаю после перезагрузки и , когда он еще не запущен, не знаю влияет ли это как то на кач-во, на всякий решил сообщить.
Обновления для системы, вышедшие после SP3, все установлены? Сомнительно
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-3769657372-5400880701-324239481-3372\syscr.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Win32.HLLW.Lime.8, AVAST4: Win32:VBMod [Trj] )[*] c:\windows\system32\07.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Win32.HLLW.Lime.8, AVAST4: Win32:VBMod [Trj] )[*] c:\windows\system32\33.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Win32.HLLW.Lime.8, AVAST4: Win32:VBMod [Trj] )[*] c:\windows\system32\35.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Win32.HLLW.Lime.8, AVAST4: Win32:VBMod [Trj] )[*] c:\windows\system32\41.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Win32.HLLW.Lime.8, AVAST4: Win32:VBMod [Trj] )[*] c:\windows\system32\77.exe - [B]Worm.Win32.VBNA.b[/B] ( DrWEB: Win32.HLLW.Lime.8, AVAST4: Win32:VBMod [Trj] )[/LIST][/LIST]