cfdrive.exe cmssc.exe и др.

Printable View

20.10.2010, 11:11
BVS

cfdrive.exe cmssc.exe и др.

Проверяет компьютер удаляет вирусы, потом Нод пишет что нашёл подозрительные файлы(отключён от интернета) просит передат их на анализ находятся в папке C:Recycled,но все равно создаёт в виндоувс много ехешников типо 13.ехе,18.ехе и т.д. отключаю их в стартупе. Проблема глючит интернет, не открывает сайтs, комп тормозит... Помогите если сможете....
20.10.2010, 11:13
polword

[URL="http://virusinfo.info/pravila_old.html"][COLOR="blue"]Внимательно прочитайте и аккуратно выполните[/COLOR][/URL]
+ Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
20.10.2010, 11:19
BVS

как прикреплять файлы? не могу понять сделал все как написано...
20.10.2010, 11:40
DefesT

расширенный режим - на панели нажать [IMG]http://virusinfo.info/images/editor/attach.gif[/IMG] и загрузить
20.10.2010, 11:44
BVS

смотрите ..
20.10.2010, 11:52
DefesT

[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]
Отключите компьютер от интернета, а также [URL="http://virusinfo.info/showthread.php?t=57441"]отключите[/URL] [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
TerminateProcessByName('c:\windows\cfdrive32.exe');
TerminateProcessByName('c:\docume~1\sony\locals~1\temp\217172.exe');
QuarantineFile('C:\WINDOWS\system32\25.exe','');
QuarantineFile('C:\WINDOWS\system32\00.exe','');
QuarantineFile('C:\WINDOWS\system32\67.exe','');
QuarantineFile('C:\WINDOWS\system32\70.exe','');
QuarantineFile('C:\WINDOWS\system32\64.exe','');
QuarantineFile('C:\WINDOWS\system32\36.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\WINDOWS\system32\53.exe','');
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\WINDOWS\yjtwh.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system32\86.exe','');
QuarantineFile('C:\WINDOWS\moaanno.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\Documents and Settings\sony\Application Data\ltzqai.exe','');
QuarantineFile('C:\Documents and Settings\sony\Application Data\cyglcfv.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\uvtcb.exe','');
QuarantineFile('c:\windows\system32\msvmiode.exe','');
QuarantineFile('c:\windows\cfdrive32.exe','');
QuarantineFile('c:\docume~1\sony\locals~1\temp\217172.exe','');
DeleteFile('c:\docume~1\sony\locals~1\temp\217172.exe');
DeleteFile('c:\windows\cfdrive32.exe');
DeleteFile('c:\windows\system32\msvmiode.exe');
DeleteFile('C:\Documents and Settings\sony\Application Data\cyglcfv.exe');
DeleteFile('C:\Documents and Settings\sony\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\moaanno.exe');
DeleteFile('C:\WINDOWS\system32\86.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\yjtwh.exe');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
DeleteFile('C:\WINDOWS\system32\53.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\36.exe');
DeleteFile('C:\WINDOWS\system32\64.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\uvtcb.exe');
DeleteFile('C:\WINDOWS\system32\70.exe');
DeleteFile('C:\WINDOWS\system32\67.exe');
DeleteFile('C:\WINDOWS\system32\00.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsgs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Обновите базы AVZ. Сделайте новые логи по правилам + лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]mbam[/URL]
20.10.2010, 12:48
BVS

vot
20.10.2010, 13:36
BVS

Нод находит новые и новые вирусы... была проблема писал generic host process for win 32 вырубал нэт... только перезагрузка помогала... 1 компьютер уже не включается, на втором поставил виндоус доор клинер проблема изчезла но невидит сеть вот за 3 боремся...выслалю карантин... извините что так долго...

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

интернета хватает только на открытие пары страниц потом пишет что нет доступа... только перезагрузкапомогает...

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Нод пишет DES.trojan

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Закачал карантин

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

сам выключает НОД периудами
20.10.2010, 14:55
DefesT

[QUOTE]Восстановление системы: включено
Обновить базы AVZ.[/QUOTE]
Не выполнили? Почему?
Удалите [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]в mbam[/URL][CODE]Зараженные папки:
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455 (Worm.AutoRun) -> Quarantined and deleted successfully.

Зараженные файлы:
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe (Worm.Autorun.B) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-6970991529-5345293331-354598351-2339\syscr.exe (Worm.Autorun.B) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-8931232209-4785430847-223363878-0273\syscr.exe (Worm.Autorun.B) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\Desktop.ini (Worm.AutoRun) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\umdmgr.log (IRCBot.Trace) -> Quarantined and deleted successfully.[/CODE]
C:\WINDOWS\system32\28.exe - вручную найдите и удалите
Сделайте новый лог mbam
20.10.2010, 16:00
BVS

удаляет файлы потом заново их создаёт...
20.10.2010, 16:08
DefesT

Отключите восстановление системы!!!!!!!
скрипт:[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
DeleteFile(GetAVZDirectory+'log\virusinfo_cure.zip');
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\umdmgr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-5023042319-1880141279-034797808-2478\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-5107993493-3151702871-244096048-3924\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1253538643-9492849627-786485174-3319\syscr.exe','');
QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5023042319-1880141279-034797808-2478\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5107993493-3151702871-244096048-3924\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1253538643-9492849627-786485174-3319\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\system32\umdmgr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи (virusinfo_syscheck.zip,hijackthis.log, mbam)
20.10.2010, 17:36
BVS

Сам выключает АВЗ нод и т.д. что делать?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

выключил експорер не помогло
21.10.2010, 10:37
polword

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]
22.10.2010, 10:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]43[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\sony\\application data\\ltzqai.exe - [B]Trojan.Win32.Pincav.aizc[/B] ( DrWEB: Win32.HLLW.Lime.2122, BitDefender: Trojan.Generic.5168817, NOD32: Win32/Bflient.K worm, AVAST4: Win32:Malware-gen )[/LIST][/LIST]