никак не могу вывести, после перезагрузки все по новой

Printable View

16.10.2010, 17:32
Deepforest Elf

никак не могу вывести, после перезагрузки все по новой

После прохождения Др.Вебом, Хайджеком и МБАМом, перезагружаю комп и опять все по новой те же трояны, черви и т.д. Восстановление системы отключено. В процессе работы любого браузера вылезает Generic Hosts Process for Win32 Servises - обнаружена ошибка и если нажать закрыть стреляется браузер и невозможно разорвать соединение с нетом. Пишу, с зараженного компа, АВЗ какие-то файлы уже поместил в карантин.
17.10.2010, 00:11
Никита Соловьев

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\program files\common files\readers_sl.exe');
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
TerminateProcessByName('c:\windows\cfdrive32.exe');
QuarantineFile('%SYSTEM32%\??.EXE','');
QuarantineFile('C:\WINDOWS\system32\24.exe','');
QuarantineFile('C:\WINDOWS\system32\78.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\xucuoyo.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\Program Files\Common Files\Readers_sl.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\bcgnlss.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\sklpoac.exe','');
QuarantineFile('1.exe','');
DeleteFile('1.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\sklpoac.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\bcgnlss.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
DeleteFile('C:\Program Files\Common Files\Readers_sl.exe');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\xucuoyo.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\system32\78.exe');
DeleteFile('C:\WINDOWS\system32\24.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','patches');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].

Сделайте новые логи

+ Скачайте [url=http://images.malwareremoval.com/random/RSIT.exe]RSIT[/url]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке ([b]RSIT[/b]) в корне системного диска.
17.10.2010, 16:28
Deepforest Elf

Сразу не получилось ответить - не было интернета. Вот логи RSIT. Карантин также отправлен.
17.10.2010, 17:47
Deepforest Elf

а вот и повторные логи AVZ, немного с опозданием. До 23-00 вынужден уехать, так что след. отчеты смогу выслать к ночи.
17.10.2010, 21:08
Никита Соловьев

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\WINDOWS\system32\07.exe');
DeleteFile('C:\WINDOWS\system32\67.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Сделайте лог [URL=http://virusinfo.info/showthread.php?t=40118]GMER[/URL]
18.10.2010, 00:05
Deepforest Elf

Невозможно сделать лог Gmer, при запуске выпадает синий экран (bad pool header, stop 0x00000019). ОС - WinXP SP2. Что делать? Скрипт AVZ выполнил.
18.10.2010, 16:39
Никита Соловьев

Сделайте лог [URL=http://virusinfo.info/showthread.php?t=58309]ComboFix[/URL]
18.10.2010, 23:18
Deepforest Elf

Между 3-4 операциями вылезла ошибка "pev.cfxxe", нажал "закрыть", пошло дальше. На stage 50 синий экран (код не успел записать) и перезагрузка... Я так понимаю, по наличию схожих ехе-шников, моя проблема родственна проблеме Shini032. Открыл его отчет ComboFix и первое, что бросилось в глаза: THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED. Я делал все, как сказано тут [url]http://virusinfo.info/showthread.php?t=58309[/url]. Соответственно поставил консоль, когда появился запрос. Может, не надо было этого делать? Для чего была необходимость устанавливать консоль?
19.10.2010, 20:58
Никита Соловьев

[QUOTE='Deepforest Elf;722069']Может, не надо было этого делать? Для чего была необходимость устанавливать консоль?[/QUOTE]Чтобы имень возможность восстановить файлы... Попробуйте повторно запустить CF
20.10.2010, 09:27
Deepforest Elf

Запускал 3 раза - тоже самое, на stage 3 вылетает ошибка приложения pev.cfxxe, всё стоит на месте, нажимаю "закрыть" окна ошибки, процессы продолжаются, на stage 50 перезагрузка, при включении "система восстановлена после критической ошибки". Все вроде по инструкции, антивирусы вообще удалены, никаких приложений не запущено, ничего в процессе работы не нажимается. А ComboFix можно запустить в Безопасном Режиме, если это конечно что-то даст? И на данной стадии имеет ли смысл начать установку обновлений\IE\Adobe приложений и пр.?
20.10.2010, 19:24
Никита Соловьев

Сделайте лог МВАМ раз такое дело
20.10.2010, 21:52
Deepforest Elf

Вот лог MBAM.
20.10.2010, 23:49
Никита Соловьев

Тут чисто. Попробуйте сделать лог CF в безопасном режиме
21.10.2010, 01:12
Deepforest Elf

Вот лог CFиз безопасного режима...
21.10.2010, 01:17
Никита Соловьев

Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]
KillAll::

File::

Folder::

NetSvc::
zzogifp
iaqot

Driver::
zzogifp
iaqot

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5356:TCP"=-
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
21.10.2010, 01:44
Deepforest Elf

Вот лог CF
21.10.2010, 02:47
Никита Соловьев

Что с проблемой?
21.10.2010, 21:39
Deepforest Elf

На диагностику наличия\отсутствия проблем потребуется какое-то время, ответ дам ближе к вечеру, т.к. перед выпуском машины в интернет необходимо полностью подготовиться: антивирус, файерволл, обновления... не хочу опять 4 дня заниматься лечением. Без интернета никаких вредоносных проявлений: скрытые папки отображаются, диспетчер запускает, в реестр заходит, reader_sl больше не пытается заразить флэшку, сообщений о неверных путях 1.exe и т.д. не появляется. Исчез пункт "Выполнить" из меню "Пуск", почитал здесь на форуме и погуглил, попробовал и в реестре и сочетанием клавиш - не помогло... но это меньшее из бед. Заранее СПАСИБО за проделанную работу!

[size="1"][color="#666686"][B][I]Добавлено через 10 часов 41 минуту[/I][/B][/color][/size]

Проделанная работа: установлены все обновления для WinXPSP2, IE, переустановлены Adobe Reader и Adobe FlashPlayer, Ява, перед этим вычищены куки, кэш и пр., "Выполнить" благополучно вернул на свое место, установлен антивирус и файервол. При выходе в интернет файервол молчит, браузер адекватен. Похоже, что все спокойно. Огромное человеческое спасибо за проделанную работу!!! Тему можно закрывать.
22.10.2010, 21:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\ltzqai.exe - [B]Trojan.Win32.Pincav.aius[/B] ( DrWEB: Trojan.Inject.11296, BitDefender: Worm.Generic.358028, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[*] c:\\program files\\common files\\readers_sl.exe - [B]Trojan.Win32.Buzus.fvld[/B] ( DrWEB: Trojan.MulDrop2.9795, BitDefender: Gen:Variant.Buzus.4, AVAST4: Win32:Inject-AJW [Trj] )[*] c:\\windows\\cfdrive32.exe - [B]Backdoor.Win32.SdBot.uof[/B] ( DrWEB: Trojan.Spambot.9106, BitDefender: IRC-Worm.Generic.15322, NOD32: IRC/SdBot trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\msvmiode.exe - [B]Trojan.Win32.VB.aljh[/B] ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.5193231, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Rebhip-AC [Trj] )[*] c:\\windows\\system32\\07.exe - [B]P2P-Worm.Win32.Palevo.axei[/B] ( DrWEB: Trojan.Inject.11299, BitDefender: Worm.Generic.292273, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\24.exe - [B]P2P-Worm.Win32.Palevo.axdu[/B] ( DrWEB: Trojan.DownLoader1.29406, BitDefender: Worm.Generic.285488, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\67.exe - [B]P2P-Worm.Win32.Palevo.axei[/B] ( DrWEB: Trojan.Inject.11299, BitDefender: Worm.Generic.292273, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\78.exe - [B]P2P-Worm.Win32.Palevo.axdx[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.KD.50591, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\81.exe - [B]P2P-Worm.Win32.Palevo.axei[/B] ( DrWEB: Trojan.Inject.11299, BitDefender: Worm.Generic.292273, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\88.exe - [B]P2P-Worm.Win32.Palevo.axei[/B] ( DrWEB: Trojan.Inject.11299, BitDefender: Worm.Generic.292273, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[/LIST][/LIST]