Не запускается KAV 2009

Printable View

27.10.2010, 13:10
swhummer

Вложений: 1

Не запускается KAV 2009

Проверил всё по правилам, но всё равно windows грузит процесс cetrdeje.exe по моему зловред, после установки kav не грузится, логи прилагаются
27.10.2010, 21:05
olejah

Вероятнее всего у Вас файловый вирус, файл [B]avz.exe[/B] запакуйте в zip-архив с паролем [B]virus[/B] и пришлите по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] вверху этой темы.

- Потом лечимся так - [URL="http://virusinfo.info/showthread.php?t=15927"]http://virusinfo.info/showthread.php?t=15927[/URL] [B]со всеми подключенными съёмными устройствами.[/B]
29.10.2010, 07:54
swhummer

Файл сохранён как 101029_074638_avz_4cca439eda492.zip
Размер файла 734350
MD5 1ac6fdf6c317c24140d685baf4fc967f

Проверил через Dr.Web LiveCD обнаружено несколько вирусов, но что-то сидит, подключаю флэшку, на ней сразу появляется два файла autorun.inf и vir.wsf имя флэшки становится "Флэха!"

[size="1"][color="#666686"][B][I]Добавлено через 50 секунд[/I][/B][/color][/size]

Проблема осталась.
29.10.2010, 08:09
polword

- скачайте снова [URL="http://z-oleg.com/avz4.zip"]AVZ - 4.35[/URL]
- [B][COLOR="Red"]обновите базы AVZ[/COLOR][/B]
- сделайте логи virusinfo_syscure.zip и virusinfo_syscheck.zip
29.10.2010, 11:24
swhummer

Скачал, обновил базы вот логи:
29.10.2010, 11:33
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\aldztsm.dll','');
QuarantineFile('C:\WINDOWS.0\system32\nssltpf.dll','');
QuarantineFile('C:\WINDOWS.0\system32\oejtqbn.dll','');
QuarantineFile('C:\WINDOWS.0\system32\vrtdzda.dll','');
QuarantineFile('C:\WINDOWS.0\system32\qtplugin.exe','');
QuarantineFile('C:\WINDOWS.0\system32\csrcs.exe','');
QuarantineFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\download2\svcnost.exe','');
QuarantineFile('C:\Documents and Settings\777.WINDOWSXPSP3\Application Data\Ytebyb\kuutg.exe','');
QuarantineFile('C:\DOCUME~1\777~1.WIN\LOCALS~1\Temp\cetrdeje.exe','');
QuarantineFile('C:\WINDOWS.0\System32\drivers\aojc141.sys','');
DeleteService('aojc141');
DeleteService('lezlfidj');
QuarantineFile('C:\WINDOWS.0\system32\Drivers\lezlfidj.sys','');
QuarantineFile('C:\WINDOWS.0\system32\ymaakcd.dll','');
QuarantineFile('c:\windows.0\system32\qtplugin.exe','');
TerminateProcessByName('c:\windows.0\system32\qtplugin.exe');
DeleteFile('c:\windows.0\system32\qtplugin.exe');
DeleteFile('C:\WINDOWS.0\system32\ymaakcd.dll');
DeleteFile('C:\WINDOWS.0\system32\Drivers\lezlfidj.sys');
DeleteFile('C:\WINDOWS.0\System32\drivers\aojc141.sys');
DeleteFile('C:\DOCUME~1\777~1.WIN\LOCALS~1\Temp\cetrdeje.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Driver Control Manager v7.1');
DeleteFile('C:\Documents and Settings\777.WINDOWSXPSP3\Application Data\Ytebyb\kuutg.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{F1B12A4A-4699-D781-688E-3EC1680ED40B}');
DeleteFile('C:\Documents and Settings\LocalService.NT AUTHORITY\Application Data\download2\svcnost.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','download');
DeleteFile('C:\WINDOWS.0\system32\csrcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunServices','csrcs');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','csrcs');
DeleteFile('C:\WINDOWS.0\system32\qtplugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RegistryMonitor1');
DeleteFile('C:\WINDOWS.0\system32\vrtdzda.dll');
DeleteFile('C:\WINDOWS.0\system32\rmqlkyi.dll');
DeleteFile('C:\WINDOWS.0\system32\oejtqbn.dll');
DeleteFile('C:\WINDOWS.0\system32\nssltpf.dll');
DeleteFile('C:\WINDOWS.0\system32\aldztsm.dll');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows','AppInit_DLLs','');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
29.10.2010, 14:43
swhummer

Файл сохранён как 101029_143728_quarantine_4ccaa3e8a1cf6.zip
Размер файла 1093333
MD5 49d4e0a045cb1db9f76771a528aa5c01

Проблема решилась, антивирус запускается:) Я думаю можно закрыть вопрос, т.к. через пол часа прийдет клиент, спасибо большое! MBAM нашел 25 файлов зараженных, в конце проверки я их удалил.
30.10.2010, 14:43
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]34[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows.0\\system32\\aldztsm.dll - [B]Trojan-Spy.Win32.Ardamax.ifj[/B] ( DrWEB: Trojan.SpyBot.13, BitDefender: Gen:Variant.Feedel.2, AVAST4: Win32:Hookit-C [Spy] )[*] c:\\windows.0\\system32\\drivers\\aojc141.sys - [B]Rootkit.Win32.Agent.bivz[/B] ( DrWEB: BackDoor.Gootkit.23, BitDefender: Backdoor.Agent.AAUA, NOD32: Win32/Otlard.I trojan, AVAST4: Win32:Agent-AHQZ [Trj] )[*] c:\\windows.0\\system32\\drivers\\lezlfidj.sys - [B]Rootkit.Win32.Pakes.zo[/B] ( DrWEB: Trojan.Siggen.18257, BitDefender: Backdoor.Tofsee.Gen, NOD32: Win32/TrojanDownloader.Genome.CLU trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows.0\\system32\\nssltpf.dll - [B]Trojan-Spy.Win32.Ardamax.ifj[/B] ( DrWEB: Trojan.SpyBot.13, BitDefender: Gen:Variant.Feedel.2, AVAST4: Win32:Hookit-C [Spy] )[*] c:\\windows.0\\system32\\oejtqbn.dll - [B]Trojan-Spy.Win32.Ardamax.ifj[/B] ( DrWEB: Trojan.SpyBot.13, BitDefender: Trojan.Spy.YEB, AVAST4: Win32:Hookit-C [Spy] )[*] c:\\windows.0\\system32\\qtplugin.exe - [B]Trojan-Spy.Win32.Wemon.afi[/B] ( DrWEB: Trojan.DownLoader1.28707, BitDefender: Gen:Trojan.Heur.GM.1400046000, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\\windows.0\\system32\\vrtdzda.dll - [B]Trojan-Spy.Win32.Ardamax.jdg[/B] ( DrWEB: Trojan.SpyBot.13, BitDefender: Gen:Variant.Feedel.2, AVAST4: Win32:Hookit-C [Spy] )[*] c:\\windows.0\\system32\\ymaakcd.dll - [B]Trojan-Spy.Win32.Ardamax.jdh[/B] ( DrWEB: Trojan.SpyBot.22, BitDefender: Gen:Variant.Feedel.2, NOD32: Win32/Spy.Hookit.F trojan, AVAST4: Win32:Ardamax-PK [Spy] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]