cfdrive32.exe и msvmoide.exe

Привет!

у меня уже давно проблема с двумя процессами под именами:
cfdrive32.exe и msvmoide.exe**

** я не уверен как правильно msvmoide или msvmiode

я попал на сайт ища информацию о процессе syscache, попал в одну темку выполнил скрипт (который избавился от них) и за одно узнал что эти процессы(cfdrive32.exe и msvmoide.exe) тоже зловредные вот недавно начал чувствовать его присутствие (интернет начал лагать)
вырубаю их в ручную через панель задач.

я тут новенький(так сказать чайник) и понятия не имею о логах как их делать и что с ними делать...
программ не имею по этому говорите что устанавливать и как логи делать..

заранее спасибо!

[url]http://virusinfo.info/showthread.php?t=1235[/url]

P.S. скрипты из других тем могут привести к непредсказуемым последствиям

вот один лог, AVPtool качаю

я все прочитал и прошу прощение.

вот логи и все дела всё делал по инструкции

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]


[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\gsgwx.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7387465587-7055877451-638338661-7757\syscr.exe','');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\system32\32.exe');
DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
DeleteFile('c:\windows.0\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS.0\kxxfv.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-7387465587-7055877451-638338661-7757\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGAResolution');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\gsgwx.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
DeleteFile('24.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте новые логи АВЗ

Карантин:
Файл сохранён как 101012_092638_quarantine_4cb3f18e5ffd2.zip
Размер файла 1270
MD5 4130ec61e4086ef5d822acc9cd904d70
Логи:

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('c:\windows.0\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\RECYCLER\S-1-5-21-6858007658-8287353624-770574557-5888\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Сделайте новые логи АВЗ + лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]

лог mbam я не уверен что получилось:
я просканировал и нажал показать результаты, когда выходил оно писало мне что результаты будут потеряны в общем я прислал лог создан с кнопки сохранить отчёт, надеюсь это тот же самый?

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] -

[CODE]Зараженные процессы в памяти:
C:\WINDOWS.0\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS.0\cfdrive32.exe (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.Palevo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msnmsg (Trojan.Banker) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Worm.Palevo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msnmsg (Trojan.Banker) -> No action taken.

Зараженные папки:
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS.0\system32\drivers\07303422.sys (Rootkit.Agent.H) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\293.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\357.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\578698.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\8KJNGBER\575757[1].exe (Trojan.LVBP) -> No action taken.
C:\RECYCLER\S-1-5-21-0555589257-5104924997-729740828-8424\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-4594258461-1289910225-240534462-9407\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-6858007658-8287353624-770574557-5888\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS.0\innounp.exe (Malware.Packer.Gen) -> No action taken.
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken.
C:\WINDOWS.0\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS.0\cfdrive32.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\carxo.exe (Trojan.Banker) -> No action taken.
[/CODE]

- Повторите лог полного сканирования

вот

Сделайте новые логи AVZ...

вот

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Test321');
DeleteFile('C:\RECYCLER\S-1-5-21-3631249669-4104900662-618036908-8568\syscr.exe');
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Сделайте повторные логи АВЗ + лог МВАМ

у меня тут одна штука произошла:

я сделал логи AVZ
и поставил мбам на сканирование, и пошел своими делами заниматься...
мой старший брат когда использовал комп, нажал на удалить всё в конце сканировании...

комп работает вроде нормально пока что, сегодня утром я сделал ещё одно сканирование, мбам ничего не обнаружил.

делать новые логи AVZ? (для убеждения что вирус уничтожен?)

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\RECYCLER\S-1-5-21-3631249669-4104900662-618036908-8568\syscr.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите лог [B]virusinfo_syscure.zip[/B]

вот

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
QuarantineFile('C:\WINDOWS.0\cfdrive32.exe','');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].

сделайте новые логи

Файл сохранён как 101017_174006_quarantine_4cbafcb6161e4.zip
Размер файла 46170
MD5 4dab390f71e441c556ddac7b0eb6b8ea

Не хотят уходить, сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]ComboFix[/URL]

вот