Не могу найти причину распространения вирусов.

Printable View

27.12.2010, 12:54
Diamond555

Не могу найти причину распространения вирусов.

Здравствуйте! Где-то поймал заразу и не могу избавиться. Симптомы:
- антивирус постоянно ловит различные файлы,
- возникают посторонние процессы в диспетчере,
- прерывается соединение с интернетом, отсюда некорректная работа браузера и торрента,
- иногда пропадает звук при просмотре фильмов, но восстанавливается после перезагрузки,
- скачать файл размером 10МБ и более через браузер невозможно.
Проверял двумя антивирусами(NOD32 и Avast), но не помогает.
27.12.2010, 13:04
olejah

Здравствуйте!

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]O1 - Hosts: 89.149.247.205 www.yandex.ua
O1 - Hosts: 89.149.247.205 yandex.ua
O1 - Hosts: 89.149.247.205 yandex.ru
O1 - Hosts: 89.149.247.205 www.yandex.ru
O1 - Hosts: 95.168.172.228 mail.ru
O1 - Hosts: 95.168.172.228 www.mail.ru
[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
TerminateProcessByName('c:\windows\gwdrive32.exe');
DeleteService('protect');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe','');
QuarantineFile('C:\DOCUME~1\_\LOCALS~1\Temp\espAF4.tmp','');
QuarantineFile('C:\DOCUME~1\_\LOCALS~1\Temp\espD788.tmp','');
QuarantineFile('C:\DOCUME~1\_\LOCALS~1\Temp\espCA0B.tmp','');
QuarantineFile('C:\DOCUME~1\_\LOCALS~1\Temp\esp43F2.tmp','');
QuarantineFile('C:\DOCUME~1\_\LOCALS~1\Temp\esp6D3D.tmp','');
QuarantineFile('C:\DOCUME~1\_\LOCALS~1\Temp\esp851A.tmp','');
QuarantineFile('C:\Program Files\Driver G25 родной\Redist\3PLaunch.exe','');
QuarantineFile('C:\Documents and Settings\_\Application Data\ltzqai.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\gwdrive32.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\protect.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\protect.sys');
DeleteFile('C:\WINDOWS\gwdrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\Documents and Settings\_\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnawy');
BC_DeleteSvc('protect');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RegSearch('HKLM','','espAF4.tmp');
RegSearch('HKLM','','espD788.tmp');
RegSearch('HKLM','','espCA0B.tmp');
RegSearch('HKLM','','esp43F2.tmp');
RegSearch('HKLM','','esp6D3D.tmp');
RegSearch('HKLM','','esp851A.tmp');
SaveLog(GetAVZDirectory + 'avz.log');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Файл [B]avz.log[/B] из папки с АВЗ, прикрепите к следующему сообщению

- Причина в необновлённой системе, пока не обновите, вири не уйдут.
27.12.2010, 15:00
Diamond555

Послал Вам карантин, но выдал ошибку загрузки: данный файл уже был загружен.
Посылаю также другой файл.
Подскажите ещё пожалуйста, как обновить систему.
27.12.2010, 15:07
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet002\Control\Print\Providers\152F0300');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet004\Control\Print\Providers\152F0300');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Print\Providers\152F0300');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet002\Control\Print\Providers\2360A505');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet004\Control\Print\Providers\2360A505');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Print\Providers\2360A505');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet002\Control\Print\Providers\24D5C29F');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet004\Control\Print\Providers\24D5C29F');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Print\Providers\24D5C29F');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet002\Control\Print\Providers\276B04C7');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet004\Control\Print\Providers\276B04C7');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Print\Providers\276B04C7');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet002\Control\Print\Providers\D9A2934B');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet004\Control\Print\Providers\D9A2934B');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Print\Providers\D9A2934B');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet002\Control\Print\Providers\EE6976E4');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\ControlSet004\Control\Print\Providers\EE6976E4');
RegKeyDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Print\Providers\EE6976E4');
DeleteFile('C:\DOCUME~1\_\LOCALS~1\Temp\esp851A.tmp');
DeleteFile('C:\DOCUME~1\_\LOCALS~1\Temp\esp6D3D.tmp');
DeleteFile('C:\DOCUME~1\_\LOCALS~1\Temp\esp43F2.tmp');
DeleteFile('C:\DOCUME~1\_\LOCALS~1\Temp\espCA0B.tmp');
DeleteFile('C:\DOCUME~1\_\LOCALS~1\Temp\espD788.tmp');
DeleteFile('C:\DOCUME~1\_\LOCALS~1\Temp\espAF4.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите логи

[size="1"][color="#666686"][B][I]Добавлено через 38 секунд[/I][/B][/color][/size]

- Установите все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.
27.12.2010, 15:45
Diamond555

Я выполнил скрипт, но логи вроде старые.
27.12.2010, 15:49
olejah

Потому что Вы выложили старые. Нужно заново просканировать систему и выложить новые.

Не забудьте обновить систему(ссылки я дал выше)

Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]