Добрый день. У знакомых установлен компьютер. Подключен интернет, откедова повалили вирусы. Любопытно как-то, на моей личной системе услуги предоставляет тот же провайдер, вирусов не наблюдаю. А здесь зараза валит толпами.
Поставлен доктор Веб, вычистил штук эдак 110 всякого барахла. Но подозреваю после такой толпы что-нибудь затаилось. Система виснет, вылетают различные ошибки... сама ли по себе, либо вирусняки помогли в этом. Просмотрите, пожалуйста.
1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\crrasip.exe
O4 - HKLM\..\Policies\Explorer\Run: [msnmsg] C:\Documents and Settings\Администратор\Application Data\jjywk.exe
O4 - HKLM\..\Policies\Explorer\Run: [Driversys32] C:\WINDOWS\hrfwv.exe
O4 - HKLM\..\Policies\Explorer\Run: [VGAResolution] C:\WINDOWS\hrfwv.exe
O4 - HKLM\..\Policies\Explorer\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\crrasip.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\cfdrive32.exe
O4 - HKUS\S-1-5-18\..\Run: [VGAResolution] 53.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [msnmsgs] C:\Documents and Settings\Администратор\Application Data\xuobasq.exe (User 'SYSTEM')
[/CODE]
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\hrfwv.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\xuobasq.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\jjywk.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\vqpib.exe','');
QuarantineFile('53.exe','');
DeleteFile('53.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\vqpib.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\jjywk.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','msnmsg');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\xuobasq.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
DeleteFile('C:\WINDOWS\hrfwv.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Driversys32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGAResolution');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
Логи от AVZ приложены, [B][COLOR=#ff0000]quarantine.zip[/COLOR][/B] отослан. Лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=blue][B]MBAM[/B][/COLOR][/URL] не получилось сделать. При первом запуске [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=blue][B]MBAM[/B][/COLOR][/URL] начал успешно сканировать систему, прошло 45 минут, были найдены 4 инфицированных файла, проверка не закончилась и [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=blue][B]MBAM[/B][/COLOR][/URL] вылетел. При следующих попытках загрузить программу, она не загружалась. Если точнее, в запущенном диспетчере задач было видно что [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=blue][B]MBAM[/B][/COLOR][/URL] начинает запускаться, но тут же вылетает, не успевая показать на рабочий стол окно интерфейса.
Заметил, что после выполнения фикса в HijackThis и первого лога в AVZ пришлось делать принудительную перезагрузку систмы, т.к. она зависала именно при начале процесса выхода из системы.
На данный момент Доктор Веб постоянно отыскивает вирусы и трояны, соответственно показывает что такой-то и такой-то файл заражен и будет удален. Преимущественно в папках, связанных с хранением файлов, сохраняемых из Инета. Хотя вроде бы есть и файлы, которые же до этого антивирус показывал.
С Firfox зайти на virusinfo.info не могу. Пишет: Время ожидания ответа от сервера virusinfo.info истекло. Остальные сайты грузятся без проблем. Сторонних файрволлов в системе не установлено, брандмауер Windows отключен. В данный момент на virusinfo.info зашел с IE.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\WINDOWS\system32\40.scr','');
QuarantineFile('C:\WINDOWS\system32\71.scr','');
QuarantineFile('C:\WINDOWS\system32\15.scr','');
QuarantineFile('C:\WINDOWS\system32\20.scr','');
QuarantineFile('C:\WINDOWS\system32\86.exe','');
QuarantineFile('C:\WINDOWS\system32\16.exe','');
QuarantineFile('C:\WINDOWS\system32\24.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\336.exe','');
TerminateProcessByName('c:\windows\cfdrive32.exe');
DeleteFile('c:\windows\cfdrive32.exe');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\336.exe');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\40.scr');
DeleteFile('C:\WINDOWS\system32\71.scr');
DeleteFile('C:\WINDOWS\system32\15.scr');
DeleteFile('C:\WINDOWS\system32\20.scr');
DeleteFile('C:\WINDOWS\system32\86.exe');
DeleteFile('C:\WINDOWS\system32\16.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Скачайте [B]RSIT[/B] [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета [COLOR="Blue"][B]log.txt[/B][/COLOR] и [COLOR="Blue"][B]info.txt[/B][/COLOR]. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
AVZ не запускался. Пришлось переименовывать. Назвал 777.pif
После переименования скрипты выполнились. Также нормально выполнились стандартные скрипты.
Аналогично вылетал HijackThis, переименование не помогло (в tamtam.com). После запуска переименованного файла вылетел в синий экран. Скачал переименованный файл с faq. Результат почти то же, HijackThis
запустился, начал делать лог, на половине процесса вылетел в синий экран.
RSIT по указанной ссылке загрузить не удалось. Также не получилось загрузить ни по одной ссылке с портала [URL="http://virusinfo.info/"]http://virusinfo.info[/URL] Загрузил с [URL]http://www.virusnet.info/random/ru/RSIT.exe[/URL] Прога запустилась. Соответственно, при попытке загрузки HijackThis - вылет в синий экран.
[URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR=blue][B]MBAM[/B][/COLOR][/URL] после переименования (в kuku.cmd) запустился. Но делать логи пока не стал.
Честно говоря, решил посоветоваться. А может ну к черту все это лечение, если есть более простое решение? В системе нет ценной информации, значит можно смело форматировать жесткий и ставить Винду. Единственное почему не делал это ранее... а будет ли толк? Не сможет ли остаться что-нибудь скажем... в загрузочном секторе? Что в таких случаях... заново сделать разбивку винта? В крайнем случае, после полного сноса и зачистки продолжить в данной же теме проверку (ну или уже для гарантии). Или же рекомендуете продолжить взаимные мучения по зачистке системы? )
С уважением, Итрий.
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]
Если есть желание и нет нужной информации можете переустановить систему с предварительным форматом диска.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]49[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\ltzqai.exe - [B]Trojan.Win32.Pincav.aitu[/B] ( DrWEB: Win32.HLLW.Lime.1747, BitDefender: Trojan.Generic.5014213, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\docume~1\\9335~1\\locals~1\\temp\\336.exe - [B]Trojan.Win32.Pincav.aivi[/B] ( DrWEB: Trojan.DownLoader1.30603, BitDefender: Trojan.Generic.KDV.52065, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\cfdrive32.exe - [B]Trojan.Win32.Jorik.SdBot.fl[/B] ( DrWEB: Trojan.AVKill.2, BitDefender: Trojan.Generic.5007141, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )[*] c:\\windows\\system32\\msvmiode.exe - [B]Trojan.Win32.Jorik.Tedroo.m[/B] ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.4986120, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\15.scr - [B]Trojan.Win32.Jorik.Hamweq.be[/B] ( DrWEB: Trojan.AVKill.2, BitDefender: Trojan.Generic.6015396, AVAST4: Win32:AutoRun-BPN [Wrm] )[*] c:\\windows\\system32\\16.exe - [B]P2P-Worm.Win32.Palevo.axfn[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\20.scr - [B]Trojan.Win32.Jorik.Hamweq.be[/B] ( BitDefender: Trojan.Generic.6015396, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\24.exe - [B]P2P-Worm.Win32.Palevo.axfn[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\40.scr - [B]Trojan.Win32.Jorik.Hamweq.be[/B] ( DrWEB: Trojan.VbCrypt.66, BitDefender: Trojan.Generic.6015396, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\53.exe - [B]P2P-Worm.Win32.Palevo.axfn[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\71.scr - [B]Trojan.Win32.Jorik.Hamweq.be[/B] ( BitDefender: Trojan.Generic.6015396, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\86.exe - [B]P2P-Worm.Win32.Palevo.axfn[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5228964, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]