Вирусы msvmiomode.exe ctfdrive32.exe

Всем здравствуйте.
Долгое время не выходил инет проблемы с провайдером. Через минуту после первого включения полезла по трафику всякая гадость и в автозагрузку. Что только не пробовал 3 дня ручками и утилитами пытался вывести. не смог :)
Помогите плиз найти корень зла!


ps забыл добавить что при загрузке самопроизвольно открываются Мои Документы

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\Documents and Settings\Dima\Application Data\ltzqai.exe','');
DeleteFile('C:\Documents and Settings\Dima\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-2553991060-5654258061-944480425-7470\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-2553991060-5654258061-944480425-7470\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
DeleteFileMask('C:\RECYCLER\S-1-5-21-2553991060-5654258061-944480425-7470', '*.*', true);
DeleteDirectory('C:\RECYCLER\S-1-5-21-2553991060-5654258061-944480425-7470');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][B]MBAM[/B][/URL]

надеюсь лог MBAM тот

пс: пока перед интернет подключениесм не сниму в диспетчере 2 процесса cfdrive32.exe инет подключается но страницы не грузит
если же после запуска инета снять то тогда только перезагрузка

1.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\Temp\507.exe','');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\Temp\507.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
QuarantineFile('D:\ГИС\autorun.exe','');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы

- [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B], что останется их этого
[CODE]
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Worm.Palevo) -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\RECYCLER\S-1-5-21-1745144194-8676538882-414842321-0223\syscr.exe,explorer.exe,C:\Temp\507.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken.

Зараженные файлы:
C:\RECYCLER\S-1-5-21-1745144194-8676538882-414842321-0223\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-2553991060-5654258061-944480425-7470\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS\cfdrive32.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\hosts (Trojan.Agent) -> No action taken.
C:\WINDOWS\hosts (Trojan.Agent) -> No action taken.
[/CODE]

- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([B]virusinfo_syscheck.zip[/B]; [B]hijackthis.log[/B])
- Сделайте повторный лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][B]MBAM[/B][/URL]

Мои документы больше не открываются автоматически при загрузке
уже плюс:)
Сначала вроде после выполнения первого скрипта и перезагрузки вроде всё хорошо, но как только включил инет Startup Monitor выдал что эти экзехи снова пытаются залезть в реестр.
Новый карантин загрузил

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\Program Files\Google\Update\GoogleUpdate.exe','');
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
TerminateProcessByName('c:\windows\cfdrive32.exe');
DeleteFile('c:\windows\cfdrive32.exe');
DeleteFile('c:\windows\system32\msvmiode.exe');
DeleteFile('C:\Documents and Settings\Dima\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог [B]virusinfo_syscheck.zip[/B];

Нью сисчек

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteService('gupdate');
BC_DeleteFile('C:\Program Files\Google\Update\GoogleUpdate.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
DeleteFile('%windir%\system32\Drivers\etc\hosts');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteRepair(13);
BC_DeleteFile('C:\Program Files\Google\Update\GoogleUpdate.exe');
BC_DeleteSvc('gupdate');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог [B]virusinfo_syscheck.zip[/B];

Новый...

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\23.exe','');
DeleteFile('C:\WINDOWS\system32\23.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- очистите [URL="http://virusinfo.info/showthread.php?t=10025"]мусор[/URL] в системе
- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
- Сделайте повторный лог [B]virusinfo_syscheck.zip[/B];

Всё было хорошо пока не подключился к инету. Теперь не могу зайти ни на один сайт антивирусов, Ваш, и майкрософт. Только через анонимайзер зашёл. Поэтому ничего не могу закачать. Что делать дальше? :)

[QUOTE=sentinel.dm;694627] Что делать дальше? :)[/QUOTE]
надо бы вот это
[QUOTE=polword;693652]
- Сделайте повторный лог [B]virusinfo_syscheck.zip[/B];[/QUOTE]

[url]http://webfile.ru/4686207[/url]
только если так могу
нормального анонимайзера не мог найти скрипты глючат на них
это zip syscheck

делайте лог [URL="http://virusinfo.info/showthread.php?t=40118"][B]Gmer[/B][/URL]

После запуска гмера, он нашел руткит и сделал автоматически полную проверку после того как я нажал да - лог гмер.log
Интернет не запускался поэтому я удалил сервис обнаруженный руткита на свой страх и риск.
После удаления и перезагрузки сделал новый лог гмера- гмер2.log
и сисчек.
На сайт Ваш стал заходить.

в логах чисто

Приветствую. :)
Все проблемы с троянами решены, экзе больше нигде не обнаруживались
Остался руткит который в обычном режиме не лечится а в безопасном его длл C:\WINDOWS\system32\ymojiti.dll
удаляется avz при обычном лечении, после перезагрузки всё отлично не одна из программ ничего не находит, на сайты прекрасно тоже заходит, но....
после второй перезагрузки(каждой второй), опа, снова ОН и пошло- на сайты антивирей и вирусинфо не заходит. А также при рабочем рутките почему то не срабатывают ключи автозагрузки программ которые в трей (PStartmon, PuntoSwitcher и т.д.).
1)MBAM ничего полезного не находит поэтому логи не прилагаю.
2)гмер.log старый, новый не сохранил а делать его долго
старый от нового отличается на глазок только новым рандомным названием руткита из набора букв, а DLL та же и после удаления руткита востанавливается с тем же названием.
3)лог с название ПРИ СТАНДАРТНОМ ЛЕЧЕНИИ
приложил на всякий случай так как при выполнении скрипта 2 другой получается
3)Остальные логи тут....

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\ymojiti.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сохраните текст ниже как [B][COLOR="DeepSkyBlue"]1.bat[/COLOR][/B] в ту же папку, где находится [B][COLOR="Blue"]3msi84di.exe (GMER)[/COLOR][/B] и запустите этот батник(1.bat):
[CODE]
3msi84di.exe -del service kbnrfcrm
3msi84di.exe -del file "C:\WINDOWS\system32\ymojiti.dll"
3msi84di.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kbnrfcrm"
3msi84di.exe -del reg "HKLM\SYSTEM\ControlSet004\Services\kbnrfcrm"
3msi84di.exe -reboot[/CODE]

Компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR]

Закачал.
Кстати теперь в автозагрузку пытались прописатся
ключи в
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify
штук 7 ключей со ссылками на dll и exe
dll вида crypto32.dll
cryptonet.dll и другие
а также снова появились msvmiode.exe, cfdrive32.exe
taskman ключ на syscr.exe в корзине и всё остальное что было в начале
ВСЁ это после перезагрузки как сделал карантин и сисчек иначе инет не работал

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]