Здравствуйте!
Поймали вирус, Пробовали проверять Dr.Web cureIt и AvpTool. Вирус находит, но не может его удалить.
Заметил одну особенность, в безопасном режиме, во время работы и проверки, процесс svchost.exe постоянно рос, при этом в начале проверки он мог занимать 8мб, а к концу более 2,5гб.
прошу прощения, забыл указать что был еще какой-то вирус, если не ошибаюсь троян, который тоже не смог удалить AvpTool. Dr.Web, вроде все почистил и ни на что не ругался....
[B]1.[/B] Скачайте [url="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]"OSAM" (Online Solutions Autorun Manager)[/url]. В меню драйверов правой кнопкой по [B]cirjewu[/B] и выберите [B]"Turn Run Off"[/B], потом подтвердите перезагрузку.
html-лог работы утилиты заархивируйте и прикрепите к своему сообщению
[B]2.[/B]Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\syssec32.exe','');
QuarantineFile('C:\WINDOWS\system32\ejqikf.exe','');
QuarantineFile('C:\WINDOWS\system32\bbf2ec30.exe','');
DeleteFile('C:\WINDOWS\system32\bbf2ec30.exe');
DeleteFile('C:\WINDOWS\system32\ejqikf.exe');
DeleteFile('C:\WINDOWS\system32\syssec32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Secure Star');
DeleteFile('C:\System Volume Information\_restore{70278076-46BF-415B-BFFF-CDD6B2762447}\RP1\A0005069.dll');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW',2 ,2 ,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "Прислать запрошенный карантин" над первым сообщением темы)
[B]3.[/B] Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
А так же сделайте новые логи AVZ и hijackthis
Все сделал, по ощущениям компьютер стал работать быстрее.
Забыл заархивировать, извините...
Проверил AvpToll, Все почистилось)))) Огромное Спасибо!!!!
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFileF('c:\windows\system32', '*.exe,*.bat', false,'', 0, 0, '16.07.2010', '22.07.2010');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS\system32\mssfc.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\sfc.sys');
DeleteFile('C:\WINDOWS\system32\mssfc.dll');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]
Лога ComboFix, на диске С не оказалось....
[QUOTE='AlexMakeewUs;676107']Лога ComboFix, на диске С не оказалось....[/QUOTE]Попробуйте запустить утилиту еще раз
Лог ComboFix
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
C:\WINDOWS\system32\pyrxdwz.exe
C:\WINDOWS\system32\cqdeghu.exe
C:\WINDOWS\system32\jwislem.exe
C:\WINDOWS\system32\mredugc.exe
C:\WINDOWS\system32\dbfd1494.exe
C:\WINDOWS\system32\mcbuqfs.exe
C:\WINDOWS\system32\mjbwww.exe
C:\WINDOWS\system32\garuaob.exe
C:\WINDOWS\system32\310a425e.exe
C:\WINDOWS\system32\tkwuink.exe
C:\WINDOWS\system32\aelysta.exe
C:\WINDOWS\system32\jyaiye.exe
C:\WINDOWS\system32\gfedyvh.exe
C:\WINDOWS\system32\tlowhyw.exe
C:\WINDOWS\system32\meiilbs.exe
C:\WINDOWS\system32\pbrkjad.exe
C:\WINDOWS\system32\sbmnqvz.exe
C:\WINDOWS\system32\sjhbrbt.exe
C:\WINDOWS\system32\d88c5ce8.exe
C:\WINDOWS\system32\bqgygbx.exe
C:\WINDOWS\system32\ytmqqtc.exe
C:\WINDOWS\system32\saoncww.exe
C:\WINDOWS\system32\nbieokq.exe
C:\WINDOWS\system32\dstvbcw.exe
C:\WINDOWS\system32\xcxlgjm.exe
C:\WINDOWS\system32\tmnkfrr.exe
C:\WINDOWS\system32\aanklaw.exe
C:\WINDOWS\system32\qoaewgh.exe
C:\WINDOWS\system32\ommmcrr.exe
C:\WINDOWS\system32\jmhienp.exe
Driver::
Folder::
C:\found.000
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\ghvpzyh.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( NOD32: Win32/Spy.Shiz.NBG trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\lovwgaw.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.PWS.Ibank.53, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\uhmufhm.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]