Printable View
Добрый день.
В браузере опера при посещении обычного сайта вылезла ошибка что-то про setupapi.dll, после этого перезагрузил комп, winlogon.exe стал грузить процессор на 50% постоянно, проверил КИС 8.0 с последними базами, он ничего не нашел. Авз нашел подозрительный файл, логи прикреплены.
Спасибо.
Такой лог сделайте: [url]http://virusinfo.info/showthread.php?t=53070[/url]
Сделал, прикрепляю.
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Program Files\Common Files\System\Extend.dll','');
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\mcdevice.sys','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Macromedia\SwUpdate\swupdate.dll','');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','System\CurrentControlSet\Control\Session Manager\AppCertDlls','DefaultVerifier');
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
RenameFile('C:\WINDOWS\system32\sfcfiles.dll', 'C:\WINDOWS\system32\sfcfiles.bak');
CopyFile('C:\WINDOWS\system32\dllcache\sfcfiles.dll', 'C:\WINDOWS\system32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\sfcfiles.bak');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW',2 ,2 ,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)
Сделайте новые логи
Выполнил скрипт, сделал новые логи. Хотел отправить карантин, но папка Quarantine почему-то пустая
[QUOTE='elstan;682134']папка Quarantine почему-то пустая[/QUOTE]Жаль, ну да ладно.
Сделайте новый лог МВАМ
Сделал лог Mbam
Удалите в МВАМ:
[CODE]Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{003541a1-3bc0-1b1c-aaf3-040114001c01} (Trojan.Swisyn) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{1b1d0286-1a03-4e7d-a5e1-022054cda9e3} (Adware.EcoBar) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{375c22ae-f0b0-47c3-ba60-baff0806434a} (Adware.EcoBar) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{dcbb729a-dc7b-4c5b-82ce-158bb801e96c} (Adware.EcoBar) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{b4806c1a-fe8a-4008-9da3-8cedb6e82c10} (Adware.EcoBar) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{b4806c1a-fe8a-4008-9da3-8cedb6e82c10} (Adware.EcoBar) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b4806c1a-fe8a-4008-9da3-8cedb6e82c10} (Adware.EcoBar) -> No action taken.
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\swupdate (Trojan.Swisyn) -> No action taken.
Зараженные папки:
(Вредоносных программ не обнаружено)
Зараженные файлы:
C:\Documents and Settings\All Users\Application Data\Macromedia\SwUpdate\swupdate.dll (Trojan.Swisyn) -> No action taken.[/CODE]
Что с проблемой?
Winlogon перестал грузить систему, спасибо большое! =)
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 18 минут[/I][/B][/color][/size]
После выше проведенных операций опера перестала работать, я переустановил её, отключил первым делом Cookies и JavaScript, зашел на пару обычных сайтов (проверенных), затем закрыл оперу, через некорое время открываю оперу опять ошибка про setupapi.dll и опять начинает winlogon.exe грузить систему.
Выполнил первый скрипт АВЗ, проблему уже не решило, но теперь есть в карантине файлы:
[SIZE=1]Файл сохранён как[/SIZE][SIZE=1]100805_011450_virus_4c59d84aeeef1.zip[/SIZE][SIZE=1]Размер файла[/SIZE][SIZE=1]1403854[/SIZE][SIZE=1]MD5[/SIZE][SIZE=1]2615693baaaa995aaa6a88a7aa2a9ab2[/SIZE]
Скрины
Карантин пришлите.
Запустите оперу, IE и подготовьте три лога
Карантин отправлен: [SIZE=1]Файл сохранён как 100805_011450_virus_4c59d84aeeef1.zip Размер файла 1403854MD52615693baaaa995aaa6a88a7aa2a9ab2[/SIZE] .
Насчет логов - нужно их сделать с включенным IE и Оперой?
[QUOTE='elstan;682328']Насчет логов - нужно их сделать с включенным IE и Оперой? [/QUOTE]
[QUOTE='Venus Doom;682261']Запустите оперу, IE и подготовьте три лога [/QUOTE]
Да)
Сделал логи с открытым IE и Оперой
Вот лог mba
Прочитал на форуме сайта, где подхватил этот вирус, что вирус действительно был в каком-то баннере и, что вирус что-то сделал с sfcfiles.dll и sfc.sys, но пути решения проблемы там нету
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Program Files\Common Files\System\Extend.dll','');
QuarantineFile('C:\Program Files\Opera\SETUPAPI.dll','');
DeleteFile('C:\Program Files\Opera\SETUPAPI.dll');
QuarantineFile('C:\WINDOWS\system32\sfcfiles.dll ','');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
Я извинюясь, пока ждал ответа, обновил Dr.Web Cure it, проверил систему в безопасном режиме, он вылечил mssfc.dll , а sfcfiles.dll переместил, в виду невозможности лечения. (есть лог)
Сейчас сделал Ваш скрипт, отослал карантин (Файл сохранён как 100805_150346_quarantine_4c5a9a92f2f16.zip
Размер файла 107986
MD5 5b1d0751242a50922350f614b977f148 )
, сделал логи.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\Program Files\Common Files\System\Extend.dll');
if CheckFile('%System32%\dllcache\sfcfiles.dll')=3 then
CopyFile('%System32%\dllcache\sfcfiles.dll', '%System32%\sfcfiles.dll');
QuarantineFile('%System32%\sfcfiles.dll','');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
[SIZE=2]Карантин:[/SIZE]
[SIZE=2]Файл сохранён как[/SIZE]
[SIZE=2][/SIZE]
[SIZE=2]100805_152647_quarantine_4c5a9ff79d136.zip[/SIZE]
[SIZE=2]Размер файла[/SIZE][SIZE=2] 421504[/SIZE][SIZE=2]
MD5[/SIZE][SIZE=2] ac4e658331a4c41630ba66d8cc6db6d5[/SIZE]
Сделал логи