Зоопарк из вирусов, почти победил, помогите остатки убрать плиз

Printable View

19.11.2010, 09:29
SlavonBG

Вложений: 1

Зоопарк из вирусов, почти победил, помогите остатки убрать плиз

Здравствуйте. Имеется бук с винХР. Стоял там каспер 2010 лицензионный, но все равно комп заразился вирусами. Сами вирусы блокируют каспера. С помощью AVZ и Cureit вылечил что смог. Поставил каспера 2011, обновил, перезагрузился - каспер не грузится все равно. В процессах два файла lovybe.exe и еще один с похожим названием. Если их завершить, то каспер грузится и работает, сделал полную проверку, он нашел несколько подозрительных файлов, но не лечит их и в карантин не перемещает. Вот прикладываю логи
19.11.2010, 09:36
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\macromadendt\msshellext\lovybe.exe');
QuarantineFile('C:\WINDOWS\system32\Macromadendt\lorvyb.exe','');
DeleteService('COMSysApp');
QuarantineFile('C:\WINDOWS\svch0st.exe','');
QuarantineFile('C:\Program Files\Common Files\BOSC.dll','');
QuarantineFile('C:\Program Files\DownTemp\129031.pif','');
QuarantineFile('C:\Program Files\DownTemp\130234.pif','');
QuarantineFile('C:\Program Files\DownTemp\139812.pif','');
QuarantineFile('C:\Program Files\DownTemp\191625.pif','');
QuarantineFile('C:\Program Files\DownTemp\239781.pif','');
QuarantineFile('C:\Program Files\DownTemp\582812.pif','');
QuarantineFile('C:\Program Files\DownTemp\697875.pif','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\WINDOWS\system32\76.exe','');
QuarantineFile('C:\Program Files\internet explorer\ietimbar\ietimbar.dll','');
QuarantineFile('C:\Program Files\intern~1\ietimbar\ietimbar.dll','');
QuarantineFile('C:\Program Files\messenger\msseces.exe','');
DeleteFile('C:\WINDOWS\system32\76.exe');
DeleteFile('C:\WINDOWS\svch0st.exe');
BC_DeleteSvc('COMSysApp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
19.11.2010, 09:46
SlavonBG

Забыл добавить что Интернет Эксплорер тоже не запускается, также не работает Поиск в винде. Нет строки поиска). Одна собака внизу окна). Выполнил скрипт, перезагрузился, процессы lovybe.exe и еще один с похжим названием остались. прилагаю карантин
19.11.2010, 10:14
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFileMask('C:\Program Files\DownTemp','*.*',true);
DeleteFile('C:\Program Files\messenger\msseces.exe');
DeleteFile('C:\Program Files\intern~1\ietimbar\ietimbar.dll');
DeleteFile('C:\Program Files\internet explorer\ietimbar\ietimbar.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

C:\Program Files\Common Files\BOSC.dll - [COLOR="Red"]not-a-virus:Monitor.Win32.ActualSpy.abb[/COLOR] - Это Вам нужно?

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
19.11.2010, 10:30
SlavonBG

[QUOTE='Olejah;734599']C:\Program Files\Common Files\BOSC.dll - not-a-virus:Monitor.Win32.ActualSpy.abb - Это Вам нужно?[/QUOTE]
Я не знаю что это, наверно не нужно. Скрипт сейчас выполню и сделаю логи МВАМ
PS: MBAM не работает. Пишет ошибку Run-time error 339 - file is missing or invalid - vbalsgrid6.ocx.
19.11.2010, 11:28
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('C:\Program Files\Common Files\BOSC.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите логи АВЗ
19.11.2010, 12:26
SlavonBG

выполнил
19.11.2010, 12:34
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\macromadendt\lorvyb.exe');
QuarantineFile('c:\windows\system32\macromadendt\lorvyb.exe','');
TerminateProcessByName('c:\windows\system32\macromadendt\msshellext\lovybe.exe');
QuarantineFile('c:\windows\system32\macromadendt\msshellext\lovybe.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ApsS88.sys','');
DeleteFile('c:\windows\system32\macromadendt\msshellext\lovybe.exe');
DeleteFile('c:\windows\system32\macromadendt\lorvyb.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи АВЗ ([B]2[/B] лога)
19.11.2010, 12:53
SlavonBG

повторяю логи
19.11.2010, 13:08
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteService('ApsS88');
DeleteFile('C:\WINDOWS\system32\DRIVERS\ApsS88.sys');
BC_DeleteSvc('ApsS88');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите лог [B]virusinfo_syscheck.zip[/B]
19.11.2010, 13:25
SlavonBG

сделал
19.11.2010, 13:29
olejah

Что с проблемой?
19.11.2010, 13:43
SlavonBG

СТранная проблема: папка Program Files скрытая и только для чтения. Папка Kaspersky Lab тоже. причем атрибуты не меняются. Нажимаешь "применить", "ок" и все опять скрытое и только для чтения
19.11.2010, 13:50
olejah

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Как сейчас?
19.11.2010, 14:42
SlavonBG

Вроде бы нормально. Но не меняются атрибуты папки Program Files.
20.11.2010, 14:42
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]17[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\common files\\bosc.dll - [B]not-a-virus:Monitor.Win32.ActualSpy.abb[/B] ( DrWEB: Trojan.PWS.Qqpass.5826, BitDefender: Backdoor.Generic.510250, AVAST4: Win32:Malware-gen )[*] c:\\program files\\downtemp\\130234.pif - [B]not-a-virus:AdWare.Win32.Iebar.ae[/B] ( DrWEB: Adware.Bho.3287, BitDefender: Dropped:Application.Generic.327243, NOD32: Win32/Adware.Zhongsou application )[*] c:\\program files\\downtemp\\139812.pif - [B]not-a-virus:AdWare.Win32.Iebar.ae[/B] ( DrWEB: Adware.Bho.3287, BitDefender: Dropped:Application.Generic.327243, NOD32: Win32/Adware.Zhongsou application )[*] c:\\program files\\downtemp\\191625.pif - [B]Trojan-Downloader.Win32.Murlo.ihc[/B] ( DrWEB: Adware.Sogou.678, BitDefender: Trojan.Generic.5092362, AVAST4: Win32:Adware-gen [Adw] )[*] c:\\program files\\internet explorer\\ietimbar\\ietimbar.dll - [B]not-a-virus:AdWare.Win32.Iebar.ae[/B] ( DrWEB: Adware.Bho.3287, BitDefender: Application.Generic.327243, AVAST4: Win32:Adware-gen [Adw] )[*] c:\\program files\\intern~1\\ietimbar\\ietimbar.dll - [B]not-a-virus:AdWare.Win32.Iebar.ae[/B] ( DrWEB: Adware.Bho.3287, BitDefender: Application.Generic.327243, AVAST4: Win32:Adware-gen [Adw] )[*] c:\\program files\\messenger\\msseces.exe - [B]not-a-virus:AdWare.Win32.Cinmus.btxy[/B] ( DrWEB: Trojan.Siggen1.64035, BitDefender: Trojan.Generic.5021910, AVAST4: Win32:Rootkit-CN [Trj] )[*] c:\\windows\\system32\\drivers\\apss88.sys - [B]Rootkit.Win32.Agent.bljr[/B] ( DrWEB: Trojan.NtRootKit.9886, BitDefender: Trojan.Generic.5130496, NOD32: Win32/AntiAV.NHK trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]