Помогите избавится от вирусов syscr.exe, ltzqai.exe

Printable View

31.08.2010, 18:32
gorgik65

Помогите избавится от вирусов syscr.exe, ltzqai.exe

[FONT=&quot]Здраствуйте! Помогите избавится от вирусов syscr.exe, ltzqai.exe...
Вот такая у меня проблема:
Вчера компьютер начал выдавать ошибки и зависать. я решил проверить комп на вирусы и nod32 нашел парочку... но дальше начало сколько зарази лезть (типа [url]http://208.53.183.171/***.exe[/url] и т.д.), что ни я ни nod32 уже не смог справиться. пробовал и АVZ (материться, но не лечит) и dr.Web (не реагирует). убивал вручную из- под Live XP, опять появляется...
[/FONT][FONT=&quot]C:\Recycler\S-1-5-21-3780043786-0516275048-213604386-4793\syscr.exe
C:\Recycler\S-1-5-21-4937574439-0807363804-594879370-4368\syscr.exe
C:\Documents and Settings\[/FONT][FONT=&quot]Администратор[/FONT][FONT=&quot]\Application Data\ltzqai.exe
[/FONT][FONT=&quot]С[/FONT][FONT=&quot]:\Windows\System32\26.exe
[/FONT][FONT=&quot]С[/FONT][FONT=&quot]:\Windows\System32\32.exe
[/FONT][FONT=&quot]С[/FONT][FONT=&quot]:\Windows\System32\42.exe
[/FONT][FONT=&quot]С[/FONT][FONT=&quot]:\Windows\System32\54.exe
[/FONT][FONT=&quot]С[/FONT][FONT=&quot]:\Windows\System32\88.exe
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[1].exe
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[2].exe
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[3].exe
C:\Documents and Settings\Администратор\Local Settings\Temporary Internet Files\Content.IE5\HKY1E6WX\vbf[1].exe
C:\Documents and Settings\Администратор\Local Settings\Temp\335.exe
C:\Documents and Settings\Администратор\Local Settings\Temp\545.exe

[/FONT][FONT=&quot]вот[/FONT][FONT=&quot] [/FONT][FONT=&quot]логи[/FONT][FONT=&quot]...[/FONT]
31.08.2010, 20:03
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\26.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4937574439-0807363804-594879370-4368\syscr.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4937574439-0807363804-594879370-4368\syscr.exe');
DeleteFile('C:\WINDOWS\system32\26.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].

Сделайте новые логи.

Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
31.08.2010, 22:05
gorgik65

все сделал... вот новые логи...
31.08.2010, 22:14
Никита Соловьев

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\36.exe','');
QuarantineFile('C:\WINDOWS\system32\74.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\WINDOWS\system32\32.exe','');
QuarantineFile('C:\WINDOWS\system32\42.exe','');
QuarantineFile('C:\WINDOWS\system32\54.exe','');
QuarantineFile('C:\WINDOWS\system32\88.exe','');
DeleteFile('C:\WINDOWS\system32\36.exe');
DeleteFile('C:\WINDOWS\system32\74.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\32.exe');
DeleteFile('C:\WINDOWS\system32\42.exe');
DeleteFile('C:\WINDOWS\system32\54.exe');
DeleteFile('C:\WINDOWS\system32\88.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].

Сделайте новый лог RSIT
31.08.2010, 22:27
gorgik65

сделано...
31.08.2010, 22:59
Никита Соловьев

В папке [B]C:\WINDOWS\system32\[/B] найдите и удалите файлы с цифровым именем, например [B]C:\WINDOWS\system32\62.exe[/B]

Сделайте лог [url]http://virusinfo.info/showthread.php?t=53070[/url]
31.08.2010, 23:01
gorgik65

[B]C:\WINDOWS\system32\62.exe - удалил...
[/B]
31.08.2010, 23:03
Никита Соловьев

Больше нет?

Делайте лог (ссылка выше)
31.08.2010, 23:35
gorgik65

В папке [B]C:\WINDOWS\system32\[/B] файлов с цифровым именем больше нет
31.08.2010, 23:39
Никита Соловьев

Удалите при помощи МВАМ:
[QUOTE]Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.Palevo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Worm.Palevo) -> No action taken.

Зараженные файлы:
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[1].exe (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[2].exe (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[3].exe (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\HV170PQP\v[4].exe (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\J0ZNYRCZ\v[1].exe (Trojan.Dropper) -> No action taken.

C:\RECYCLER\S-1-5-21-3780043786-0516275048-213604386-4793\syscr.exe (Trojan.Dropper) -> No action taken.
C:\RECYCLER\S-1-5-21-4937574439-0807363804-594879370-4368\syscr.exe (Trojan.Dropper) -> No action taken.
C:\RECYCLER\S-1-5-21-9723548627-9610735859-533451371-7240\syscr.exe (Trojan.Dropper) -> No action taken.

C:\Documents and Settings\Администратор\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken.[/QUOTE]

Перезагрузите ПК. Сделайте новый лог МВАМ
01.09.2010, 00:13
gorgik65

новый лог МВАМ...
01.09.2010, 00:47
Никита Соловьев

Что с проблемой?
01.09.2010, 00:59
gorgik65

за время от выполнения первого скрипта, написанного Вами, до сих пор никаких происшествий не было. комп не зависал, ошибки типа "пямять не может быть read (written)" тоже не было, атаки вирусов прекратились...

стало быть чисто?[U] [/U][FONT=&quot][URL="http://208.53.183.171/***.exe"]
[/URL][/FONT]
01.09.2010, 01:06
Никита Соловьев

В логах я заразы не вижу
01.09.2010, 01:19
gorgik65

Я вручную пересмотрел - вроде тоже не видно.....

Четкость Ваших команд (от того и моих действий) спасла меня от нежелательной переустановки винды. Низкий Вам поклон от меня и большая благодарность.!!!:clapping:
02.09.2010, 01:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\ltzqai.exe - [B]P2P-Worm.Win32.Palevo.auzj[/B] ( DrWEB: Trojan.DownLoader1.19167, BitDefender: Gen:Variant.Rimecud.3, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-4937574439-0807363804-594879370-4368\\syscr.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\21.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\26.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\32.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\36.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\42.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\54.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\74.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[*] c:\\windows\\system32\\88.exe - [B]P2P-Worm.Win32.Palevo.auzv[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Dropper.Agent.VBS, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Inject-AII [Trj] )[/LIST][/LIST]