widrive32.exe, cfdrive32.exe, umdmgr.exe, msvmiode.exe..

Printable View

11.10.2010, 17:48
geschopf

widrive32.exe, cfdrive32.exe, umdmgr.exe, msvmiode.exe..

Здравствуйте! у меня стала появляться ошибка приложения svchost.exe "Инструкция по адресу "0x6f8916e2" обратилась к памяти по адресу "0x6f8916e2". Память не может быть "read" и после этого вылетал интернет, При проверке Касперским предлагается лечение ltzqai.exe с последующей перезагрузкой, затем все повторяется. Dr. Web CureIt! в безопасном режиме обнаружил: ltzqai.exe, widrive32.exe, cfdrive32.exe, umdmgr.exe, msvmiode.exe и еще что-то..
11.10.2010, 18:23
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]R3 - URLSearchHook: (no name) - - (no file)
O3 - Toolbar: (no name) - {D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
TerminateProcessByName('c:\windows\system32\umdmgr.exe');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\huguhaq.exe','');
QuarantineFile('C:\Documents and Settings\Алёна\Application Data\sxyawav.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fjidg.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\gpp3g.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\mpp2g.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew2.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyu44.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1456\budau44.exe','');
QuarantineFile('C:\WINDOWS\gigdeug.exe','');
QuarantineFile('C:\WINDOWS\system32\63.exe','');
QuarantineFile('C:\WINDOWS\widrive32.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\trnxlgb.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7131465678-0633189922-567391587-6644\mcssc.exe','');
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-7131465678-0633189922-567391587-6644\mcssc.exe');
DeleteFile('\\?\globalroot\systemroot\system32\trnxlgb.exe');
DeleteFile('C:\WINDOWS\widrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','228');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS\system32\63.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
DeleteFile('C:\WINDOWS\gigdeug.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1456\budau44.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyu44.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew2.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psyjo32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\mpp2g.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\gpp3g.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fjidg.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','puda4');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psuu4');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysnew2');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysjo32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tjpp2');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tpp3');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tjii321');
DeleteFile('C:\Documents and Settings\Алёна\Application Data\sxyawav.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\huguhaq.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи
11.10.2010, 19:32
geschopf

Спасибо за скорый ответ!
11.10.2010, 19:45
geschopf

В Process Explorer отобразились процессы:
420.exe
cfdrive32.exe
msvmiode.exe
До получения первых логов выключала восстановление системы, сейчас решила проверить - вкладка "восстановления системы" пропала..
11.10.2010, 19:54
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"][COLOR="Red"][B][U]- Системное восстановление обязательно[/U][/B][/COLOR][/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\04.exe');
DeleteFile('C:\WINDOWS\system32\70.exe');
DeleteFile('C:\WINDOWS\system32\57.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\33.exe');
DeleteFile('C:\WINDOWS\system32\28.exe');
DeleteFile('C:\WINDOWS\system32\04.exe');
DeleteFile('C:\WINDOWS\system32\70.exe');
DeleteFile('C:\WINDOWS\system32\57.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4014195607-5554230916-668936954-7871\mcssc.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGA');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
DeleteFile('C:\WINDOWS\dovceny.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\ahjuyvy.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Сделайте новые логи АВЗ + сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
11.10.2010, 23:10
geschopf

вот..
11.10.2010, 23:37
olejah

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] всё, [B]кроме[/B] -

[CODE]Зараженные файлы:
Зараженные файлы:
C:\Documents and Settings\Алёна\Мои документы\Гамы\zuma\Zuma_kg.exe (Malware.Packer.Gen) -> No action taken.
C:\Documents and Settings\Алёна\Мои документы\Софт\Nero 9.4.26.0\keymaker 5.55.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Алёна\Мои документы\Софт\UltraISO Premium Edition 9.3.3 Build 2685\keygen.exe (Trojan.Agent.CK) -> No action taken.
C:\Program Files\Total Commander Podarok Edition\Programm\DameWare NT Utilities\keygen.exe (Trojan.Downloader) -> No action taken.
C:\Program Files\Total Commander Podarok Edition\Programm\Hide IP Platinum\регистрация.exe (Trojan.Downloader) -> No action taken.
C:\Program Files\Total Commander Podarok Edition\Programm\MyProxy\loader.exe (Trojan.Downloader) -> No action taken.
C:\Program Files\TuneUp Utilities 2008\Data\Integrator\taskdlg_buttonll_bl.png (Extension.Mismatch) -> No action taken.
[/CODE]
12.10.2010, 16:31
geschopf

не помогло:(
12.10.2010, 16:32
Никита Соловьев

Сделайте лог [URL=http://virusinfo.info/showthread.php?t=58309]ComboFix[/URL]
03.11.2010, 15:32
geschopf

извините за долгое отсутствие!
вот лог
03.11.2010, 15:37
geschopf

кажется, я что-то неправильно сделала..
03.11.2010, 15:48
olejah

Да, что-то явно не то. Точно по инструкции выпоняли?
03.11.2010, 16:20
geschopf

да! точно по инструкции!
в начале работы combofix появлялась ошибка "[B]PEV.cfxxe - ошибка приложения[/B] Исключение неизвестное программное исключение (0х0000417) в приложении по адресу 0х00482899". По завершении работы combofix комп 2 раза перезагружался.
В общем, не дожидаясь Вашего ответа, осмелилась снова запустить этот страшный "мощный инструмент в борьбе с вредоносным ПО". Ошибка приложения вновь появилась, однако копм не перезагружался и по завершении открылся log.txt, его прикрепляю к сообщению.
Пока пишу это сообщение в process explorer появляются cfdrive32.exe, msvmiode.exe, а еще Zsqrm.exe от него отходит seh.exe.
03.11.2010, 16:59
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\documents and settings\Алёна\Application Data\oekx.exe
c:\windows\system32\Zsqrm.exe
c:\documents and settings\Алёна\Application Data\ltzqai.exe

Driver::

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

[b][color="#FF0000"]Внимание![/color][/b] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [B]прекращена[/B]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)

Пока систему не обновите, лечиться будете до зимы
04.11.2010, 16:59
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]59[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\fjidg.exe - [B]Trojan.Win32.Agent2.loo[/B] ( DrWEB: Win32.HLLW.Autoruner.26570, BitDefender: Trojan.Generic.4596497, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\gpp3g.exe - [B]P2P-Worm.Win32.Palevo.avxy[/B] ( DrWEB: Trojan.Inject.10612, BitDefender: Worm.Generic.275168, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\mpp2g.exe - [B]Trojan.Win32.Scar.cxmy[/B] ( DrWEB: Trojan.PWS.SpySweep.35, BitDefender: Trojan.Generic.4876208, NOD32: Win32/Injector.DUW trojan, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psyjo32.exe - [B]Trojan.Win32.Agent2.loo[/B] ( DrWEB: Win32.HLLW.Autoruner.26570, BitDefender: Trojan.Generic.4596497, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psysnew2.exe - [B]Packed.Win32.Katusha.o[/B] ( DrWEB: Win32.HLLW.Autoruner.27186, BitDefender: Worm.Generic.323441, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psyu44.exe - [B]Packed.Win32.Katusha.o[/B] ( DrWEB: Trojan.DownLoader1.19102, BitDefender: Worm.Generic.323441, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1456\\budau44.exe - [B]Trojan.Win32.Agent2.loo[/B] ( DrWEB: Win32.HLLW.Autoruner.26570, BitDefender: Trojan.Generic.4596497, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-7131465678-0633189922-567391587-6644\\mcssc.exe - [B]P2P-Worm.Win32.Palevo.axcy[/B] ( DrWEB: Trojan.DownLoader1.28711, BitDefender: Trojan.Generic.4930345, AVAST4: Win32:Malware-gen )[*] c:\\windows\\cfdrive32.exe - [B]Trojan.Win32.Jorik.SdBot.ex[/B] ( DrWEB: Trojan.Spambot.9106, BitDefender: IRC-Worm.Generic.14455, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )[*] c:\\windows\\gigdeug.exe - [B]P2P-Worm.Win32.Palevo.axcy[/B] ( DrWEB: Trojan.DownLoader1.28711, BitDefender: Trojan.Generic.4930345, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\msvmiode.exe - [B]Trojan.Win32.Jorik.Tedroo.o[/B] ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.5214313, AVAST4: Win32:Rebhip-AC [Trj] )[*] c:\\windows\\system32\\umdmgr.exe - [B]Trojan.Win32.Scar.cywj[/B] ( DrWEB: Trojan.DownLoader1.28625, BitDefender: Trojan.Generic.5044547, AVAST4: Win32:Agent-AMGN [Trj] )[*] c:\\windows\\system32\\63.exe - [B]P2P-Worm.Win32.Palevo.axcy[/B] ( DrWEB: Trojan.DownLoader1.28711, BitDefender: Trojan.Generic.4930345, AVAST4: Win32:Malware-gen )[*] c:\\windows\\widrive32.exe - [B]Trojan.Win32.Jorik.SdBot.kb[/B] ( DrWEB: Trojan.Packed.21077, BitDefender: Trojan.Swizzor.16743, AVAST4: Win32:Rebhip-AC [Trj] )[/LIST][/LIST]