Printable View
Не работают браузеры. При запуске приложений выводит сообщения отказ в праве доступа,или запускаются со второго раза. В папке Opera появились новые файлы 0.26974925692427576.exe, setupapi.dll.
При перезагрузке или выключении в синем окне пишет ошибки и начинает скидывать дамп памяти на диск.
Логи сделаны старой версией AVZ. Загрузите актуальную и переделайте
поправил
А обновить базы?
обновил
Загрузитесь в безопасном режиме
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\syspanel32.exe','');
QuarantineFile('C:\WINDOWS\system32\xwhqfg.exe','');
QuarantineFile('C:\WINDOWS\system32\e9cec12e.exe','');
QuarantineFile('C:\Documents and Settings\Igor\Главное меню\Программы\Автозагрузка\monoca32.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\krhok.sys','');
DeleteService('abp470n5');
QuarantineFile('C:\DOCUME~1\Igor\LOCALS~1\Temp\ALSysIO.sys','');
DeleteService('ALSysIO');
QuarantineFile('C:\WINDOWS\System32\Drivers\sfc.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\sfc.SYS');
DeleteFile('C:\DOCUME~1\Igor\LOCALS~1\Temp\ALSysIO.sys');
DeleteFileMask('C:\DOCUME~1\Igor\LOCALS~1\Temp','*.*',true);
DeleteFile('C:\WINDOWS\system32\drivers\krhok.sys');
DeleteFile('C:\Documents and Settings\Igor\Главное меню\Программы\Автозагрузка\monoca32.exe');
DeleteFile('C:\WINDOWS\system32\e9cec12e.exe');
DeleteFile('C:\WINDOWS\system32\xwhqfg.exe');
DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
RenameFile('C:\WINDOWS\system32\sfcfiles.dll','C:\WINDOWS\system32\sfcfiles.bak');
CopyFile('C:\WINDOWS\system32\dllcache\sfcfiles.dll','C:\WINDOWS\system32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\system32\sfcfiles.bak');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Panel');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][U][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/U][/B]" над первым сообщением темы)
Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
Сделайте новые логи AVZ
Воити в безопасный режим не получается, может потому что установлен загрузчик на две О.С.
Запустил WEB CURE, нашел зараженные в system32 - syspanel32.exe sfcfiles.bak, в папках с браузерами setupapi.dll , в документах подозрительный svchost.exe, все удалил. После перезагрузки они больше не появились.
Сейчас вроде все работает нормально.
Ещё не всё :)
[B]Загрузите ПК в безопасном режиме[/B]
Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\sfcfiles.bak','');
QuarantineFile('C:\WINDOWS\system32\syspanel32.exe','');
QuarantineFile('C:\WINDOWS\system32\fcfc5012.exe','');
QuarantineFile('C:\Documents and Settings\Igor\Application Data\Microsoft\svchost.exe','');
QuarantineFile('C:\Documents and Settings\Igor\Главное меню\Программы\Автозагрузка\monoca32.exe','');
DeleteFile('C:\Documents and Settings\Igor\Главное меню\Программы\Автозагрузка\monoca32.exe');
DeleteFile('C:\Documents and Settings\Igor\Application Data\Microsoft\svchost.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','svchost.exe');
DeleteFile('C:\WINDOWS\system32\fcfc5012.exe');
DeleteFile('C:\WINDOWS\system32\syspanel32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System Panel');
DeleteFile('C:\WINDOWS\system32\sfcfiles.bak');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки пришлите попавшие в карантин файлы согласно правилам
Сделайте новые логи
войти в безопасный не получается, грузит безопасный и сбрасывается.
Выполните проверку [URL=http://support.kaspersky.ru/viruses/rescuedisk?level=2]Kaspersky Live CD[/URL]
Выполнил скрипт в безопасном режиме. Может как то обойти Kaspercky Live CD, с мобильным интернетом долго его собирать придется. Есть старый жесткий диск с таким же рабочим Windows.
[QUOTE='nord34;684364']Выполнил скрипт в безопасном режиме.[/QUOTE]Получилось? Тогда live CD не нужен
В логах плохого не увидел. Что с проблемой?
Да проблем не вижу, а что это было, скрипт какой -то Opera в инете поймала ?
Большое спасибо за помощь !!!
Троянская программа, популярна сейчас
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\sfcfiles.bak - [B]Trojan-Spy.Win32.Agent.biki[/B] ( DrWEB: Trojan.WinSpy.921, BitDefender: Gen:Trojan.Heur.LP.Fr7@a4AKiKf )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]