Схватил непонятный вирус хелп!

Printable View

13.05.2007, 23:56
TrustMe

Вложений: 3

Схватил непонятный вирус хелп!

Привет помошники) КАроч сегодня скачал много программ надо было с трек обрезать и походу в какой то был вирус.
Вкратце. Вирус создает много зараженных файлов в директории винды причем получает он их как я понял через инет. Мой антивирус их ессессенно пытается удалить но тут же получает еще одну порцию вирусных файлов. Если инет не включать то можно через антивирус их все поудалять (есть кстати парочка файлов которые только в карантин мона положить, так же пытался сам их найти в директории только они на мои клики никак не реагируют не удаляются и тд и тп, лежат в папке темпорари интернет файлс). Так же комп жутко лагает, инет постоянно подвисает и вылетают непонятные ошибки. Как лечить я не знаю. Помогите плизз. Вот мои логи. Пасиб заранее)
P.S Да забыл. Мой любимый браузер макстон этим вирусом и все остальные браузеры кроме стандартного експлоэра ломаются и больше одного раза не хагружаются (( Мож поможет.
P.P.S Да и еще. Эта падла мне не дает включить Брэндмауэр. Нажимаешь на ярлык а винда мне выдает Вследствии непонятной ошибки не удается отобразить параметры брандмауэра Windows. Это меня окончательно расстроило(( Помогите кто может.
14.05.2007, 02:04
Bratez

[B][COLOR="Blue"]1. Отключите восстановление системы![/COLOR][/B]
2. Выполните скрипт в AVZ:
[code]
begin
BC_DeleteSvc('pe386');
BC_DeleteSvc('wincom32');
BC_DeleteSvc('windev-2d0c-6e1d');
BC_DeleteFile('C:\WINDOWS\system32\lzx32.sys');
BC_DeleteFile('C:\WINDOWS\system32:lzx32.sys');
BC_DeleteFile('C:\WINDOWS\system32\wincom32.sys');
BC_DeleteFile('C:\WINDOWS\system32\windev-2d0c-6e1d.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

3. Выполните еще один скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\vexg6ame4.exe','');
QuarantineFile('C:\WINDOWS\Downloaded Program Files\SAIX.dll','');
QuarantineFile('C:\WINDOWS\System32\comload.dll','');
QuarantineFile('C:\WINDOWS\system32\nvpvaz.dll','');
QuarantineFile('C:\WINDOWS\system32\fuixrk32.dll','');
QuarantineFile('C:\WINDOWS\system32\a3dxx.dll','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll','');
QuarantineFile('c:\windows\system32\vexg4am1et2.exe','');
QuarantineFile('C:\WINDOWS\system32\sgsp32.dll','');
QuarantineFile('C:\WINDOWS\SYSTEM32\instcat.dll','');
DeleteFile('c:\windows\system32\vexg4am1et2.exe');
DeleteFile('C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\system32\a3dxx.dll');
DeleteFile('C:\WINDOWS\system32\vexg6ame4.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Снова будет перезагрузка.

4. Пришлите карантин согласно приложению 3 правил.

5. Сделайте новые логи.
14.05.2007, 03:21
TrustMe

Вложений: 3

Вот все сделал как говорили) Вот логи. Пасиб за помошь.
P.S. Тока вот отчет о каранитне он кидать не хочет говорит что 690кб весит а это многа(((
14.05.2007, 03:37
Bratez

Карантин надо загрузить через эту форму:
[url]http://virusinfo.info/upload_virus.php?tid=9697[/url]
14.05.2007, 17:09
TrustMe

Как я понял вот тут карантин
Файл сохранён как/td> 070514_170433_virus_46485e61eb17c.zip
Размер файла705766
MD537758993ebc6438b338d60f3f57cd76d
14.05.2007, 17:49
Bratez

Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\leopard\Local Settings\Temp\*.*');
DeleteFile('C:\WINDOWS\$NtUninstallKB9203192$\kavss.dll');
DeleteFile('C:\WINDOWS\$NtUninstallKB9203192$\kavss.exe');
DeleteFile('C:\WINDOWS\$NtUninstallKB9203192$\kavssd.dll');
DeleteFile('C:\WINDOWS\$NtUninstallKB9203192$\kavssi.dll');
DeleteFile('C:\WINDOWS\system32\nvpvaz.dll');
DeleteFile('C:\WINDOWS\system32\rpcc.exe');
DeleteFile('C:\WINDOWS\system32\sgsp32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\instcat.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [WindowsHive] C:\WINDOWS\system32\rpcc.exe
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} (loader Class) - http://217.73.66.1/del/loader.cab
O16 - DPF: {DECEAAA2-370A-49BB-9362-68C3A58DDC62} (SAIX) - http://static.zangocash.com/cab/Seekmo/ie/bridge-c420.cab?3f1c418b76b6a82a153a5027491ad4776f9c8eb4ccd8089c3afb834d110f3c05d3c37e0665d3dfc3d80ccf52412bb32a14d166b0adf686112c8ee6517efd:09cce05ee827d2c02a9d525ec1e40d3e
O20 - Winlogon Notify: 0Ши - 0Ши (file missing)
O20 - Winlogon Notify: A3dxq - C:\WINDOWS\
O20 - Winlogon Notify: instcat - C:\WINDOWS\SYSTEM32\instcat.dll
O20 - Winlogon Notify: winsys2freg - C:\WINDOWS\
O20 - Winlogon Notify: ШЂђ - ШЂђ (file missing)
O21 - SSODL: DCOM Server 60787 - {2C1CD3D7-86AC-4068-93BC-A02304B60787} - C:\WINDOWS\system32\nvpvaz.dll
O21 - SSODL: CDRecorder036 - {A3BC5E20-0235-1ABF-9CE1-00AA00512036} - C:\WINDOWS\system32\sgsp32.dll (file missing)
[/code]
и сделайте новые логи, начиная с п.10 правил.

P.S. И еще - очистите временные файлы Internet Explorer'a.
14.05.2007, 18:15
TrustMe

Вложений: 2

Вот все сделал как говорили)). И ура) Вроде перестал постоянно скачаивать с инета. и Работает более менее ща перезагружу сразу скажу.
14.05.2007, 18:22
Bratez

Теперь все чисто! :)
14.05.2007, 18:32
TrustMe

Вроде бесконечная закачка через инет чего то закончилась (Хотя как рестартнулся и врубил инет все таки чего то на 4.5мб он скачал хотя все авто обновления отключены). Только вот в брандмауэр я зайти так и не могу((
14.05.2007, 18:36
TrustMe

Пасиб огромное) что б я без вас делал...
22.02.2009, 01:46
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\documents\\settings\\winsys2f.dll - [B]Trojan-Proxy.Win32.Xorpix.ba[/B] (DrWEB: BackDoor.Uragan)[*] c:\\documents and settings\\leopard\\local settings\\temp\\icd1.tmp\\uwfx6_0001_n69m1503netinstaller.exe - [B]not-a-virus:Downloader.Win32.WinFixer.n[/B] (DrWEB: Trojan.Fakealert)[*] c:\\documents and settings\\leopard\\local settings\\temp\\mtgcddsy.exe - [B]Trojan.Win32.Qhost.it[/B] (DrWEB: Trojan.Qhost.45065)[*] c:\\documents and settings\\leopard\\local settings\\temporary internet files\\content.ie5\\ubc1654z\\60787[1].exe - [B]Trojan.Win32.Qhost.it[/B] (DrWEB: Trojan.Qhost.45065)[*] c:\\windows\\downloaded program files\\uwfx6_0001_n69m1503netinstaller.exe - [B]not-a-virus:Downloader.Win32.WinFixer.n[/B] (DrWEB: Trojan.Fakealert)[*] c:\\windows\\system32\\a3dxx.dll - [B]Email-Worm.Win32.Zhelatin.dr[/B] (DrWEB: Trojan.Packed.118)[*] c:\\windows\\system32\\instcat.dll - [B]Email-Worm.Win32.Locksky.bh[/B] (DrWEB: Trojan.Proxy.1802)[*] c:\\windows\\system32\\nvpvaz.dll - [B]Trojan.Win32.Qhost.it[/B] (DrWEB: Trojan.Qhost.45065)[*] c:\\windows\\system32\\vexg4am1et2.exe - [B]Email-Worm.Win32.Zhelatin.ea[/B] (DrWEB: Trojan.Packed.130)[*] c:\\windows\\system32\\vexg6ame4.exe - [B]Email-Worm.Win32.Zhelatin.ea[/B] (DrWEB: Trojan.Packed.130)[/LIST][/LIST]