Помогите пожста!! Виснет комп. в нете

Printable View

05.03.2011, 14:46
Baz1228

Помогите пожста!! Виснет комп. в нете

Добрый день! Суть проблемы. (Все началось с подключения вчера чужой флэшки для перекачки фоток.) Зграужаешь винду , все нормально, включаешь WF, работает поначалу нормально. Полсе непродолжительной работы в нете начинает бешенно мигать лампа вай фая, и после ноут виснет и все , не реагирует ни никакие действия кроме отключения. пробовал продиагностировать DrWeb - CureIT!, после непродолжительной ( в б/п режиме) проверки загорается синий экран.
Спасибо заранее!!
05.03.2011, 15:09
Acidorum

Здравствуйте.
Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]
procedure WhatService(AServiceName : string);
var
dllname, servicekey : string;
begin
servicekey := 'SYSTEM\CurrentControlSet\Services\'+AServiceName;
RegKeyResetSecurity( 'HKLM', servicekey);
RegKeyResetSecurity( 'HKLM', servicekey+'\Parameters');
AddToLog('Description: '+RegKeyStrParamRead( 'HKLM', servicekey, 'Description'));
AddToLog('DisplayName: '+RegKeyStrParamRead( 'HKLM', servicekey, 'DisplayName'));
AddToLog('ImagePath: '+RegKeyStrParamRead( 'HKLM', servicekey, 'ImagePath'));
dllname := RegKeyStrParamRead( 'HKLM', servicekey+'\Parameters', 'ServiceDll');
AddToLog('ServiceDll: '+dllname);
QuarantineFile(dllname,'');
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\Drivers\zjcas.sys','');
QuarantineFile('C:\WINDOWS\system32\roofuj.exe','');
QuarantineFile('C:\Program Files\xStarter2\xstarter.exe','');
QuarantineFile('C:\Program Files\VPets\VPets.exe','');
QuarantineFile('C:\Documents and Settings\Administrator\fxmdk.exe','');
QuarantineFile('C:\WINDOWS\system32\keboor.exe','');
DeleteFile('C:\Documents and Settings\Administrator\fxmdk.exe');
DeleteFile('C:\Program Files\VPets\VPets.exe');
DeleteFile('C:\WINDOWS\system32\roofuj.exe');
DelBHO('710EB7A1-45ED-11D0-924A-0020AFC7AC4D');
DeleteFileMask('C:\Program Files\VPets', '*.*', true);
DeleteDirectory('C:\Program Files\VPets');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VPetsPlayer');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','requi');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
WhatService('zjcas');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(16);
ExecuteWizard('TSW',2,3,true);
SaveLog(GetAVZDirectory+'zjcas.log');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.
Приложите к следующему сообщению zjcas.log из папки AVZ.
05.03.2011, 21:22
Baz1228

все сделал, но ничего не поменялось. виснет. сделал выши скрипты, потом стандартные скрипты по правилам.
05.03.2011, 21:44
Acidorum

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]
Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows\system32\tyvowewop.exe');
TerminateProcessByName('c:\windows\system32\soosoojout.exe');
TerminateProcessByName('c:\windows\system32\nyfoubouzy.exe');
TerminateProcessByName('c:\windows\temp\cwsiupruwlhp5397924f.tmp');
TerminateProcessByName('c:\docume~1\admini~1\locals~1\temp\cwsiupruwlhp5397924f.tmp');
TerminateProcessByName('c:\documents and settings\localservice\application data\microsoft\quosijooc.exe');
TerminateProcessByName('c:\docume~1\admini~1\locals~1\temp\gsmqcg58401c10.tmp');
TerminateProcessByName('c:\docume~1\admini~1\locals~1\temp\glvj5aaeba2b.tmp');
TerminateProcessByName('c:\windows\temp\glvj5aaeba2b.tmp');
QuarantineFile('C:\WINDOWS\system32\keboor.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\zjcas.sys','');
QuarantineFile('c:\windows\system32\tyvowewop.exe','');
QuarantineFile('c:\windows\system32\soosoojout.exe','');
QuarantineFile('c:\windows\system32\nyfoubouzy.exe','');
QuarantineFile('c:\windows\temp\cwsiupruwlhp5397924f.tmp','');
QuarantineFile('c:\docume~1\admini~1\locals~1\temp\cwsiupruwlhp5397924f.tmp','');
QuarantineFile('c:\documents and settings\localservice\application data\microsoft\quosijooc.exe','');
QuarantineFile('c:\docume~1\admini~1\locals~1\temp\gsmqcg58401c10.tmp','');
QuarantineFile('c:\docume~1\admini~1\locals~1\temp\glvj5aaeba2b.tmp','');
QuarantineFile('c:\windows\temp\glvj5aaeba2b.tmp','');
DeleteFile('c:\docume~1\admini~1\locals~1\temp\cwsiupruwlhp5397924f.tmp');
DeleteFile('c:\windows\temp\cwsiupruwlhp5397924f.tmp');
DeleteFile('c:\windows\system32\nyfoubouzy.exe');
DeleteFile('c:\windows\system32\tyvowewop.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\zjcas.sys');
DeleteFile('C:\WINDOWS\system32\soosoojout.exe');
DeleteFile('C:\WINDOWS\system32\keboor.exe');
DeleteFile('c:\windows\temp\glvj5aaeba2b.tmp');
DeleteFile('c:\docume~1\admini~1\locals~1\temp\glvj5aaeba2b.tmp');
DeleteFile('c:\docume~1\admini~1\locals~1\temp\gsmqcg58401c10.tmp');
DeleteFile('c:\documents and settings\localservice\application data\microsoft\quosijooc.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','kouwul');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','bougoo');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','requi');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','requi');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','requi');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('axe7uyyx0i');
BC_DeleteSvc('aeeo4aby7');
BC_ServiceKill('zjcas');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.
Сделайте [URL="http://virusinfo.info/showthread.php?t=53070"]лог MBAM[/URL].
06.03.2011, 01:15
Baz1228

Все сделал. вроде пока нормально работает, хотя точно не знаю. Посмотрите логи. Заранее Спасибо!
06.03.2011, 11:28
Acidorum

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в MBAM[/URL]:
[CODE]Заражённые параметры в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\bougoo (Trojan.LVBP) -> Value: bougoo -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Page_URL (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Page_URL (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.StartPage) -> Bad: (http://webalta.ru) Good: (http://www.google.com/) -> No action taken.

Заражённые файлы:
c:\documents and settings\localservice\application data\microsoft\tyvowewop.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\udad.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\administrator\application data\nsvb.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\administrator\local settings\application data\Opera\Opera\cache\g_002C\opr04C4A.tmp (Adware.Agent) -> No action taken.
c:\documents and settings\administrator\local settings\Temp\4257.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\Temp\905.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\Temp\ud9301c00.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\administrator\local settings\Temp\hiboohijouqu.tmp (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\Temp\hocepa.tmp (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\Temp\kipwtcxnzbsdbdeba3b.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\4k[1] (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\4k[2] (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[2].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[3].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[4].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[5].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[6].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\ld[7].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[1].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[2].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[3].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[4].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[5].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[6].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[7].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\mani[8].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\caej[1] (Spyware.Passwords.XGen) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\0MYLX9QV\caej[2] (Spyware.Passwords.XGen) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\2JC8QUX7\ld[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\2JC8QUX7\mani[1].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\local settings\temporary internet files\Content.IE5\9H0468S2\mani[1].exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\рабочий стол\avz4\avz4\Infected\2011-03-05\avz00001.dta (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\рабочий стол\avz4\avz4\Infected\2011-03-05\avz00002.dta (Trojan.LVBP) -> No action taken.
c:\documents and settings\administrator\рабочий стол\avz4\avz4\Infected\2011-03-05\avz00003.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\administrator\рабочий стол\avz4\avz4\Infected\2011-03-05\avz00004.dta (Trojan.Agent) -> No action taken.
c:\documents and settings\localservice\application data\microsoft\cudouqu.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\localservice\application data\microsoft\keboor.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\localservice\application data\microsoft\roofuj.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\localservice\application data\microsoft\soosoojout.exe (Trojan.LVBP) -> No action taken.
c:\documents and settings\localservice\application data\microsoft\zoowope.exe (Trojan.LVBP) -> No action taken.
c:\WINDOWS\system32\roofuj.exe (Trojan.LVBP) -> No action taken.
c:\WINDOWS\system32\drivers\zjcas.sys (Trojan.Bubnix) -> No action taken.
c:\WINDOWS\TEMP\kipwtcxnzbsdbdeba3b.tmp (Trojan.Agent) -> No action taken.
c:\WINDOWS\TEMP\gsmqcg58401c10.tmp (Trojan.Agent) -> No action taken.
c:\WINDOWS\TEMP\ud9301c00.tmp (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\secupdat.dat (Backdoor.Bot) -> No action taken.[/CODE]
Сделайте повторный лог MBAM.
07.03.2011, 14:29
Baz1228

все сделал. вот лог. тока ткое ощущение что комп постоянно принимет и передает паеты иныормации.
07.03.2011, 15:09
polword

- Скачайте "[B]OSAM[/B]" Online Solutions Autorun Manager [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]тут[/URL].
В меню драйверов правой кнопкой по [B]zjcas[/B] и выберите "[B]Turn Run Off[/B]". Перезагрузку подтвердите.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\Drivers\zjcas.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\zjcas.sys');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];
07.03.2011, 23:39
Baz1228

все сделал, вот логи.
08.03.2011, 20:54
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('ubnljfh');
DeleteFile('C:\WINDOWS\system32\Drivers\ubnljfh.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи
10.03.2011, 01:13
Baz1228

все сделал, вот логи.
10.03.2011, 01:27
thyrex

Придраться не к чему
10.03.2011, 12:44
Baz1228

Спасибо большое все работает!
11.03.2011, 12:44
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]47[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\administrator\\fxmdk.exe - [B]Trojan.Win32.Sasfis.bdxz[/B] ( DrWEB: Win32.HLLW.Autoruner.44048, BitDefender: Trojan.Generic.5593872, AVAST4: Win32:Malware-gen )[*] c:\\docume~1\\admini~1\\locals~1\\temp\\gsmqcg58401c10.tmp - [B]Trojan-Downloader.Win32.Agent.fvld[/B] ( DrWEB: Trojan.Spambot.9829, BitDefender: MemScan:Trojan.Generic.5505241, NOD32: Win32/Agent.OKP trojan, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\drivers\\zjcas.sys - [B]Rootkit.Win32.Bubnix.ekd[/B] ( DrWEB: Trojan.Spambot.9828, BitDefender: Gen:Variant.Taterf.21, AVAST4: Win32:Bubak [Rtk] )[*] c:\\windows\\system32\\soosoojout.exe - [B]Trojan-Dropper.Win32.Agent.elga[/B] ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\tyvowewop.exe - [B]Trojan-Dropper.Win32.Agent.elga[/B] ( DrWEB: Trojan.DownLoader2.15961, BitDefender: Trojan.Generic.6011173, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]