Как вылечить msvmiode.exe!??

Printable View

06.10.2010, 22:06
Sandy_mix

Как вылечить msvmiode.exe!??

Здравствуйте, некоторое время на компьютере стоял dr.web без лицензии, снес! скорее всего тоже заражен чем-либо!
По теме:
прошелся в безопасном режиме каспером и web-ом, как описано на форуме. вот что нашел (множество зараженных файлов):
Trojan.Win32.Pincav.aqne
Jorik.Tedroo.K
Worn.win32.AutoIt.xl
P2P-Worn.win32.Palevo.avxo
P2P-Worn.win32.Palevo.avke
HEUR:Win32.Generic
Trojan.Win32.Joric.SDBot.dh
А вот от msvmiode.exe избавиться пока не смог, не рискую писать самостоятельно скрипты, опыта просто нет!
Просто снести как обычно ОС не могу, много уж нужных программ!
06.10.2010, 22:55
миднайт

В AVZ выполните скрипт в [B]безопасном[/B] режиме работы операционной системы:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
TerminateProcessByName('C:\WINDOWS\cfdrive32.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe,C:\Documents and Settings\admin\Application Data\ltzqai.exe,explorer.exe','');
QuarantineFile('C:\Documents and Settings\admin\Application Data\ltzqai.exe','');
QuarantineFile('c:\windows\system32\msvmiode.exe','');
DeleteFile('c:\windows\system32\msvmiode.exe');
DeleteFile('C:\Documents and Settings\admin\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe,C:\Documents and Settings\admin\Application Data\ltzqai.exe,explorer.exe');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
ExecuteRepair(16);
ExecuteRepair(8);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\System\SISNIC','EventMessageFile','C:\WINDOWS\System32\netevent.dll');
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
07.10.2010, 10:47
Sandy_mix

Как вылечить msvmiode.exe (продолжение1)!??

Выполнил скрипты, AVPTool и dr.web cureIt не проходил!
После выполнения скриптов сетевые соединения пропали в сетевом окружении (две сетевые: мать и в слоте)! чудеса в диспетчере оборудования, скрин прикрепить? да еще: открывается папка мои документы в обозреватиле после перезагрузки, не зависимо в какой папке был перед перезагрузкой!
Высылаю еще раз логи:
07.10.2010, 15:17
миднайт

В AVZ выполните скрипт в [B]безопасном[/B] режиме работы операционной системы:

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe');
BC_DeleteFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6701823362-4223419273-887130565-2389\syscr.exe,explorer.exe,C:\Documents and Settings\admin\Application Data\ltzqai.exe,Explorer.exe');
DeleteFile('C:\Documents and Settings\admin\Application Data\ltzqai.exe,Explorer.exe');
DeleteFile('C:\Documents and Settings\admin\Application Data\ltzqai.exe');
DeleteFileMask('C:\RECYCLER', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteRepair(8);
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите из [B]обычного[/B] режима!
08.10.2010, 01:05
thyrex

А также

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
08.10.2010, 21:39
Sandy_mix

Как вылечить msvmiode.exe!??

выполнил скрипт, потом в безопасном режиме удалил папку bootwiz с фаулом syscr.exe
Потом заглянул в диспетчер задач:
msvmiode.exe и cfdrive32.exe запущены!
Завершил вручную и запустил самый первый скрипт в обычном режиме
теперь вроде пока их нет!
выполнил второй скрипт для создания карантина quarantine.zip.

Просканировал AVZ в безопасном режиме.
Сделал логи в обычном режиме
запустил hijackthis
запустил программу mbam в обычноми режиме логи тут же.
08.10.2010, 21:42
Sandy_mix

Как вылечить msvmiode.exe!??

Карантин отсылал ранее, правда ошибка отправки была, повторно ругался, типа загружен! Надеюсь, все же файл карантина ушёл!
08.10.2010, 21:50
миднайт

Победа. В логе - чисто.
В AVZ - Файл - Мастер поиска и устранения проблем - Системные проблемы - Все проблемы - Пуск
Отметить следующие пункты и нажать кнопку "Исправить":
>> Разрешен автозапуск с HDD
>> Разрешен автозапуск с сетевых дисков
>> Разрешен автозапуск со сменных носителей
[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
09.10.2010, 15:31
Sandy_mix

Как вылечить msvmiode.exe!??

Здравствуйте, спасибо вроде все летает!
сделал всё как велено ( и еще backup!)
А от себя совет от бывалого программиста: на всех флешках и свлих дисках созданы ПАПКИ с файлами(любое имя) autorun.inf и autorun.exe
с такой флешкой работал вот на этом зараженном компе со своим ноутом! Не перенес вирусов! хотя раз взял другую флешку без данных файлов и конечно сразу вирус записал себя на флешку! Вот такая тонкость уже наверное народная!

PS. странно но обновление flash player не устранило ошибки в последнем логе!!!!!
09.10.2010, 23:32
миднайт

Это зависит от того с какого браузера вы скачивали обновление. Скачайте его через IE, сохраните на диск. Закройте IE, запустите инсталлятор. Все.
10.10.2010, 15:24
Sandy_mix

Как вылечить msvmiode.exe!??

Спасибо, скачивал из Ореra... проверю обязательно!
Большое спасибо!
11.10.2010, 15:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]33[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\admin\\application data\\ltzqai.exe - [B]Trojan.Win32.Pincav.aifv[/B] ( DrWEB: Trojan.DownLoader1.25490, BitDefender: Trojan.Generic.4986375, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-6701823362-4223419273-887130565-2389\\syscr.exe - [B]P2P-Worm.Win32.Palevo.awhb[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5222474, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\cfdrive32.exe - [B]Trojan.Win32.Jorik.SdBot.kc[/B] ( DrWEB: Trojan.AVKill.2, BitDefender: Trojan.Generic.5069227, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )[*] c:\\windows\\system32\\msvmiode.exe - [B]Trojan-Dropper.Win32.VB.aquf[/B] ( DrWEB: Trojan.Siggen.465, BitDefender: Trojan.Generic.KDV.45318, AVAST4: Win32:Rebhip-AC [Trj] )[*] c:\\windows\\system32\\msvmiode.exe - [B]Email-Worm.Win32.Joleee.fgs[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Swizzor.16638, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Rebhip-AC [Trj] )[/LIST][/LIST]