Ужасно засорен вирусами комп, не могу сам разобраться

Printable View

25.12.2010, 16:00
Asatru

Ужасно засорен вирусами комп, не могу сам разобраться

[SIZE=3][FONT=Times New Roman]День добрый. Ужасно засорен комп, не могу сам разобраться. После соединения с инетом всплывает огромное количество exe-шников в темпори-инет-файлс и папках винды. В диспетчере куча левых процессов, автозагрузка заполняется вредоносными прогами. Пытаюсь почистить, но после соединения с инетом всё по новой.[/FONT][/SIZE]
25.12.2010, 16:54
Bratez

Отключив интернет и антивирус, выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-9724515893-0415341600-282225385-8738\csisd.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-8367224642-3087616023-392032373-6216\winmap.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6581154477-6822315360-778951188-0762\csidrv.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6466216467-4564479635-254848799-4816\winmap.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0672054244-0103798513-556296527-9061\winmap.exe','');
QuarantineFile('C:\Documents and Settings\Helgi\Application Data\oekx.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4001890842-3201349090-666296166-6023\winmap.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4031183522-2803932820-157404565-8698\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-9724515893-0415341600-282225385-8738\csisd.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-8367224642-3087616023-392032373-6216\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6581154477-6822315360-778951188-0762\csidrv.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6466216467-4564479635-254848799-4816\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0672054244-0103798513-556296527-9061\winmap.exe');
DeleteFile('C:\Documents and Settings\Helgi\Application Data\oekx.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4001890842-3201349090-666296166-6023\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4031183522-2803932820-157404565-8698\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe');
DeleteFile('C:\Documents and Settings\Helgi\Application Data\9722..exe');
DeleteFile('C:\Documents and Settings\Helgi\Local Settings\Temp\584.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\15FGXJSA\5[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\FZK281KW\5[1].exe');
DeleteFile('C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\X0VA902I\9[1].exe');
DeleteFile('C:\Documents and Settings\Helgi\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\system32\16.exe');
DeleteFile('C:\WINDOWS\system32\45.exe');
DeleteFile('C:\WINDOWS\system32\48.exe');
DeleteFile('C:\WINDOWS\system32\55.exe');
DeleteFile('C:\WINDOWS\system32\68.exe');
DeleteFile('C:\WINDOWS\system32\88.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\cfdrive32.exe');
DeleteFile('C:\WINDOWS\gwdrive32.exe');
DeleteFile('C:\DOCUME~1\Helgi\LOCALS~1\Temp\68100.exe');
DeleteFile('C:\DOCUME~1\Helgi\LOCALS~1\Temp\88629.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
RegKeyParamDel('HKCU', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Shell');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGA');
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=94208[/url]).
Сделайте новые логи.
25.12.2010, 20:29
Asatru

[FONT=Times New Roman][SIZE=3]Спасибо, скрипт выполнил, логи и карантин (Файл сохранён как101225_202212_virus_4d162844a991b.zipпароль [B]virus[/B]) прикрепляю .[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3]Из того, что осталось и беспокоит – заразка msvmiode.exe в system32 винды никак не хочет умирать. При подключении к инету лезут в виндовые папки левые exe-шники о чём постоянно кричит нод. Периодически выдается ошибка [/SIZE][/FONT][FONT=Arial][B][URL="http://clck.yandex.ru/redir/AiuY0DBWFJ4ePaEse6rgeAjgs2pI3DW99KUdgowt9XvoT-twMUKrgCbXY9MpaLOeiltTkuguVFlqa_XlkLl8045ZQ-7P1GXKR7XRPCgM9GRaPnfs6_sC9V_gkM-7hD9sfGNuzm8wNqYTmXV04hnqrz8iS0UW0giabNSg74DMzdU?data=UlNrNmk5WktYejR0eWJFYk1LdmtxdlZUZGZoLVFaZy04TGlfSkNzRHZfbkxQem50aFotQlB6Njh0bWJIY2EyclQtcUVCWEVVaExtaGpoOV8zUkUtMVI5ZHJCT2JwRzNZOWVNZW4tTmozTEtONVJoQVpyOTlUSGpneG03WWpwNE5TbWw3aFUtQ0QyWQ&b64e=2&sign=5c6a59bbf00416005bb51b0009ce5cc8&keyno=0&mc=0"][COLOR=windowtext]Generic[/COLOR][COLOR=windowtext] [/COLOR][COLOR=windowtext]Host[/COLOR][COLOR=windowtext] Process for [/COLOR][COLOR=windowtext]Win32[/COLOR][/URL]. В процессах висит с полдюжины [/B][/FONT][FONT=Arial][B]svchost.exe.[/B][/FONT]
25.12.2010, 21:39
V_Bond

выполните скрипт
[code]
begin
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysnew');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS\system32\42.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи + такой [url]http://virusinfo.info/showthread.php?t=53070[/url]
26.12.2010, 12:31
Asatru

[FONT=Times New Roman][SIZE=3]Проделал всё вышеописанное, высылаю логи.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]
26.12.2010, 12:42
V_Bond

удалите все найденное мбам кроме
[code]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
d:\Progi\Nero8110\nero8x.exe (RiskWare.Tool.CK) -> No action taken.
d:\Progi\Nero8110\nero8xkeygen.exe (RiskWare.Tool.CK) -> No action taken.
d:\Progi\daemon\epidem.ru daemon tools pro v4.10.218.0 advanced\Crack.exe (Trojan.Agent) -> No action taken.
d:\Progi\small key finder 10.10.2009\SFkey.exe (Trojan.Dropper.PGen) -> No action taken.
d:\Progi\virtual cd\daemon.tools.pro.v4.10.218.0.advanced.russian\Patch\daemon.tools.pro.patch.exe (Trojan.Agent) -> No action taken.
d:\Progi\Winamp\keymaker.exe (Trojan.Downloader) -> No action taken.
d:\Progi\dvd ripper\Keygen\Keymaker.exe (Trojan.Downloader) -> No action taken.
d:\Progi\склейки-расклейки\fpsetup.exe (Adware.TMAagent) -> No action taken.
d:\Progi\adobe_acrobat_pro_7.0.8_full_rus\Rus\русификатор adobe acrobat 7.0.exe (Malware.Packer.Gen) -> No action taken.
g:\adobe.photoshop.cs5.extended.pc\adobe.photoshop.cs5.extended.v12.0.keymaker.exe (Malware.Packer.Gen) -> No action taken.
g:\4\downloads\sistema-pod4inenija\Book\sistema pod4inenija_www.cottoc.net.exe (Malware.Packer) -> No action taken.
g:\4\downloads\программы\fpsetup.exe (Adware.TMAagent) -> No action taken.
g:\3\!rulez!! crimson_193\crimsonland\crimsonland198.exe (Trojan.Bancos) -> No action taken.
g:\Robota\F1\Test\everest ultimate\Keygen\Keymaker.exe (Trojan.Downloader) -> No action taken.
g:\2\Rusanow\fantom cd 1.2.1.1960 - создание виртуальных cd дисков\fantomcd12119601\KEYGEN.EXE (Malware.Packer.Gen) -> No action taken.
h:\Guitar\softex.guitarpro.v5.2\Keygen.exe (RiskWare.Tool.CK) -> No action taken.
i:\Xbox\CloneCD\rufull.ru.patch.slysoft.clonecd.5.3.1.4\patch_clonecd.exe (Malware.Packer.Gen) -> No action taken.
[/code]
повторите логи
26.12.2010, 18:51
Asatru

[FONT=Times New Roman][SIZE=3]Спасибо. Всё сделал. Высылаю логи.[/SIZE][/FONT]
26.12.2010, 22:11
V_Bond

такой [url]http://virusinfo.info/showthread.php?t=40118[/url] лог сделайте
28.12.2010, 23:34
Asatru

[FONT=Times New Roman][SIZE=3]Сделано. Высылаю лог gmer.[/SIZE][/FONT]
[SIZE=3][FONT=Times New Roman]Из проблем на данный момент наблюдается – При подключении к инету нод начинает сразу кричать о блокирующихся адресах с которых на комп что-то пытается прибежать. Браузеры через пару минут подключения к инету перестают отображать страницы.[/FONT][/SIZE]
28.12.2010, 23:42
thyrex

Сохраните текст ниже как cleanup.bat в ту же папку, где находится hdut5tum.exe (gmer)
[CODE]hdut5tum.exe -del service rbustafp
hdut5tum.exe -del file "C:\WINDOWS\system32\tintl.dll"
hdut5tum.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\rbustafp"
hdut5tum.exe -del reg "HKLM\SYSTEM\ControlSet003\Services\rbustafp"
hdut5tum.exe -reboot[/CODE]И запустите cleanup.bat.
Компьютер перезагрузится!

Сделать новый лог gmer.
08.01.2011, 14:44
Asatru

[FONT=Times New Roman][SIZE=3]Сделано. Высылаю лог gmer.[/SIZE][/FONT]
08.01.2011, 15:16
thyrex

Еще раз логи АVZ и HiJack сделайте
08.01.2011, 23:45
Asatru

Сделано
09.01.2011, 00:48
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\48.exe');
DeleteFile('C:\WINDOWS\system32\88.exe');
QuarantineFile('C:\WINDOWS\piqxwie.exe','');
DeleteFile('C:\Documents and Settings\Helgi\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0045187752-2974444089-186628221-5219\csisd.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe');
DeleteFile('C:\Documents and Settings\Helgi\Application Data\oekx.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4220186174-2009541675-016783365-7396\svmgr.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]
10.01.2011, 14:25
Asatru

[B][SIZE=2]Сделано. Лог Combofix прикрепляю. [/SIZE][/B]

[B][SIZE=2]Архив quarantine.zip прислать через ссылку "[COLOR=#ff0000]Прислать запрошенный карантин[/COLOR]" не удается - выдается "Ошибка загрузки. Данный файл уже был загружен".[/SIZE][/B]
10.01.2011, 14:38
polword

Скопируйте текст ниже в блокнот и сохраните как файл с названием [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на рабочий стол.
[CODE]
KillAll::

File::
c:\documents and settings\NetworkService\Application Data\dhurboa.exe

Driver::
rbustafp

NetSvc::
rbustafp

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6049:TCP"=-

FileLook::

DirLook::[/CODE]

После сохранения переместите [COLOR="Blue"][B]CFScript.txt[/B][/COLOR] на пиктограмму [B]ComboFix.exe[/B].

[IMG]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/IMG]

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
10.01.2011, 16:50
Asatru

Сделано
10.01.2011, 18:10
polword

чисто
- [URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
10.01.2011, 20:00
Asatru

Проблема решена. Спасибо большое.
11.01.2011, 20:00
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]39[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\helgi\\application data\\ltzqai.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Trojan.Inject.15037, BitDefender: Trojan.Generic.5644208, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\documents and settings\\helgi\\local settings\\temp\\584.exe - [B]Trojan.Win32.Pincav.akli[/B] ( DrWEB: Trojan.Inject.13194, BitDefender: Trojan.Generic.KDV.64114, AVAST4: Win32:Trojan-gen )[*] c:\\documents and settings\\networkservice\\local settings\\temporary internet files\\content.ie5\\j777lyjq\\4[1].exe - [B]P2P-Worm.Win32.Palevo.bhyp[/B] ( DrWEB: Trojan.Inject.13205, BitDefender: Worm.Generic.286610, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\networkservice\\local settings\\temporary internet files\\content.ie5\\x0va902i\\9[1].exe - [B]P2P-Worm.Win32.Palevo.bhyq[/B] ( DrWEB: Trojan.Inject.13209, BitDefender: Trojan.Generic.KDV.69615, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0022462690-2437873377-752169553-7503\\winmap.exe - [B]P2P-Worm.Win32.Palevo.bhyq[/B] ( DrWEB: Trojan.Inject.13209, BitDefender: Trojan.Generic.KDV.69615, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1455\\psysnew.exe - [B]Trojan-Downloader.Win32.Injecter.eup[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Generic.5200286, NOD32: Win32/Lethic.AA trojan, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-3254683538-4507674558-866722143-7509\\winmap.exe - [B]P2P-Worm.Win32.Palevo.bhyp[/B] ( DrWEB: Trojan.Inject.13205, BitDefender: Worm.Generic.286610, AVAST4: Win32:Malware-gen )[*] c:\\system volume information\\_restore{e4614893-e164-41e7-9804-95580f8f035c}\\rp131\\a0031125.exe - [B]Trojan.Win32.Pincav.akli[/B] ( DrWEB: Trojan.Inject.13194, BitDefender: Trojan.Generic.KDV.64114, AVAST4: Win32:Trojan-gen )[*] c:\\system volume information\\_restore{e4614893-e164-41e7-9804-95580f8f035c}\\rp134\\a0031463.exe - [B]P2P-Worm.Win32.Palevo.bhyq[/B] ( DrWEB: Trojan.Inject.13209, BitDefender: Trojan.Generic.KDV.69615, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\03.exe - [B]P2P-Worm.Win32.Palevo.bhyp[/B] ( DrWEB: Trojan.Inject.13205, BitDefender: Worm.Generic.286610, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\11.exe - [B]P2P-Worm.Win32.Palevo.azik[/B] ( DrWEB: Trojan.Inject.12221, BitDefender: Trojan.Generic.5314122, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:MalOb-IE [Cryp] )[*] c:\\windows\\system32\\16.exe - [B]P2P-Worm.Win32.Palevo.biuo[/B] ( DrWEB: Trojan.Inject.15067, BitDefender: Trojan.Generic.KDV.77845, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\windows\\system32\\17.exe - [B]P2P-Worm.Win32.Palevo.bkgt[/B] ( BitDefender: Trojan.Generic.KDV.74406, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\windows\\system32\\28.exe - [B]P2P-Worm.Win32.Palevo.bigl[/B] ( DrWEB: Trojan.Inject.14046, BitDefender: Trojan.Generic.5129968, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\windows\\system32\\32.exe - [B]P2P-Worm.Win32.Palevo.bbuo[/B] ( DrWEB: Win32.HLLW.Autoruner.26149, BitDefender: Trojan.Generic.5199043, AVAST4: Win32:MalOb-IE [Cryp] )[*] c:\\windows\\system32\\44.exe - [B]P2P-Worm.Win32.Palevo.bkgs[/B] ( BitDefender: Trojan.Generic.KDV.74406, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\windows\\system32\\52.exe - [B]P2P-Worm.Win32.Palevo.biuo[/B] ( DrWEB: Trojan.Inject.15067, BitDefender: Trojan.Generic.KDV.77845, AVAST4: Win32:AutoRun-BRP [Trj] )[*] c:\\windows\\system32\\57.exe - [B]P2P-Worm.Win32.Palevo.bgbu[/B] ( DrWEB: Trojan.MulDrop1.52100, BitDefender: Gen:Variant.Rimecud.5, AVAST4: Win32:MalOb-IE [Cryp] )[*] c:\\windows\\system32\\60.exe - [B]P2P-Worm.Win32.Palevo.azwn[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Generic.KD.57227, AVAST4: Win32:MalOb-IE [Cryp] )[*] c:\\windows\\system32\\78.exe - [B]P2P-Worm.Win32.Palevo.bgbu[/B] ( DrWEB: Trojan.MulDrop1.52100, BitDefender: Gen:Variant.Rimecud.5, AVAST4: Win32:MalOb-IE [Cryp] )[/LIST][/LIST]