Вирус. Всегда перезагружается виндовс

День добрый!
Искал ключ для переводчика ПРОМТ, зашол на сайт и сразу же заплакал Касперский, обнаружил 3 вируса. Сразу же перестал рабатать интернет, винамп, Task manager не могу запустить тоже. (Task Manager has been disabled by your Administrator) Касперский ничего не нашол. Весь комп тормозил... После перезагрузки компа, дальше загрузки виндовса не мог попасть, только через сейф мод.(комп всегда перезагружается не заходя в виндовс) Заходя через сейф мод увидел ещё одного пользователя "Administrator".
Как удалить второго пользователя? (поможет это)?
System Restore тоже не получаеться зделать.(число и месяц не могу выделить)

[QUOTE=Nik]День добрый!
Искал ключ для переводчика ПРОМТ, зашол на сайт и сразу же заплакал Касперский, обнаружил 3 вируса. Сразу же перестал рабатать интернет, винамп, Task manager не могу запустить тоже. (Task Manager has been disabled by your Administrator) Касперский ничего не нашол. Весь комп тормозил... После перезагрузки компа, дальше загрузки виндовса не мог попасть, только через сейф мод.(комп всегда перезагружается не заходя в виндовс) Заходя через сейф мод увидел ещё одного пользователя "Administrator".
Как удалить второго пользователя? (поможет это)?
System Restore тоже не получаеться зделать.(число и месяц не могу выделить)[/QUOTE]
сделайте ИССЛЕДОВАНИЕ системы с помощью AVZ, а не простое сканирование

пришлите на исследование файлы по правилам форума (искать из AVZ с включенным противодействием руткитам):
C:\Documents and Settings\nik\Local Settings\Temporary Internet Files\Content.IE5\MZUJYDEF\winudu[1].exe
C:\Documents and Settings\nik\Local Settings\Temporary Internet Files\Content.IE5\MZUJYDEF\winudu[2].exe
C:\System Volume Information\_restore{E72F3D8F-E4AE-4836-BDB7-FD69D2936019}\RP135\A0164074.exe
rpcc.exe
C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
C:\WINDOWS\system32\aspi24159.exe
C:\WINDOWS\system32\agss32.dll

Ещё пришлите -
C:\WINDOWS\system32\stonedrv.exe

Шикарный набор. Скорее всего через VML эксплоит.
Должны быть еще:
C:\WINDOWS\system32\taskdir.exe
C:\WINDOWS\system32\adir.dll
C:\WINDOWS\system32:lzx32.sys
(его winmad[1].exe дропает)
Поискать по маске C:\WINDOWS\system32\vx*.*
Поискать по маске C:\WINDOWS\system32\dlh9jkdq*.*

Спасибо за ответы!
А есть ли AVZ на англ. языке?? У меня Вин не читает русский, всё в "?????"

[QUOTE=Nik]А есть ли AVZ на англ. языке?? У меня Вин не читает русский, всё в "?????"[/QUOTE]
Есть, там: [url]http://z-oleg.com/avz4en.zip[/url]

Англ. версию скачал. Спасибо!
Будем делать исследование.

Кстати говоря, что за сайт, где Вы всё это нашли ?

Переводчик скачал с translate.ru, ключ искал через яндекс (сайт не помню, помню порно сайт выскочил)
Приложил исследование.
Что посоветуете?

Итого, найдите и пришлите, как описано в Приложении 2 Правил, следующие файлы:
[code]
C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
C:\Documents and Settings\nik\Desktop\Programs\Antiviruses - Kaspersky 4 & 5 + keys, DrWeb + keys, McAfee, TRemover + keys\Antiviruses - Kaspersky 4 & 5 + keys, DrWeb + keys, McAfee, TRemover + keys\FixKlez.com
C:\Documents and Settings\nik\Local Settings\Temporary Internet Files\Content.IE5\MZUJYDEF\winudu[1].exe
C:\Documents and Settings\nik\Local Settings\Temporary Internet Files\Content.IE5\MZUJYDEF\winudu[2].exe
C:\System Volume Information\_restore{E72F3D8F-E4AE-4836-BDB7-FD69D2936019}\RP135\A0164074.exe
C:\WINDOWS\system32:lzx32.sys
C:\WINDOWS\system32\adir.dll
C:\WINDOWS\system32\agss32.dll
C:\WINDOWS\system32\aspi24159.exe
C:\WINDOWS\system32\dlh9jkdq*.*
C:\WINDOWS\system32\stonedrv.exe
C:\WINDOWS\system32\taskdir.exe
C:\WINDOWS\system32\vx*.*
rpcc.exe
[/code]

Всё, что нашол AVZ отправил.

[QUOTE=Nik]Всё, что нашол AVZ отправил.[/QUOTE]
присланные файлы:
C:\Documents and Settings\nik\Desktop\Programs\Antiviruses - Kaspersky 4 & 5 + keys, DrWeb + keys, McAfee, TRemover + keys\Antiviruses - Kaspersky 4 & 5 + keys, DrWeb + keys, McAfee, TRemover + keys\FixKlez.com - чистый
C:\System Volume Information\_restore{E72F3D8F-E4AE-4836-BDB7-FD69D2936019}\RP135\A0167116.exe - троян Trojan-Dropper.Win32.Agent.apb
C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll - троян Trojan.Win32.Agent.oh
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll - троян Trojan-Proxy.Win32.Xorpix.ao
C:\WINDOWS\system32\rpcc.exe - троян Trojan-Dropper.Win32.Agent.awi
C:\WINDOWS\system32\dlh9jkdq8.exe, C:\WINDOWS\system32\vx.tll - мусор, удаляйте

троянские программы нужно удалить, например отложенным удалением из AVZ

Всё удалил через AVZ (File-Delayed file deletion)
Комп всеравно всегда перезагружается.Тут я только через сейф мод.
Прислать исследование AleXey_P и Ric?

[QUOTE=Nik]
Комп всеравно всегда перезагружается.Тут я только через сейф мод.
Прислать исследование AleXey_P и Ric?[/QUOTE]
сделайте новые логи и прикрепите их к теме

Alexey P:
Искал по маске C:\WINDOWS\system32\vx*.*
--------------
Log of the AVZ antivirus utility version 4.20
Scanning started at 9/27/2006 11:30:27 PM
Database loaded 49931 signatures, 2 NN profile, 55 scripts cure, AV base from 27.09.2006 13:03
Heuristics microprograms loaded : 360
Digital signatures of system files loaded: 51699
Heuristic analyzer mode Medium heuristics level
Cure mode: disabled
System is loaded in the Safe Mode with Network mode
1. Searching for rootkits and programs that intercept API functions
1.1 Searching for user-mode API hooks
Analysis kernel32.dll, export table found in section .text
Analysis ntdll.dll, export table found in section .text
Analysis user32.dll, export table found in section .text
Analysis advapi32.dll, export table found in section .text
Analysis ws2_32.dll, export table found in section .text
Analysis wininet.dll, export table found in section .text
Analysis rasapi32.dll, export table found in section .text
Analysis urlmon.dll, export table found in section .text
Analysis netapi32.dll, export table found in section .text
1.2 Searching for kernel-mode API hooks
Driver is successfully loaded
SDT found (RVA=082B80)
Kernel ntoskrnl.exe located in the memory at the address 804D7000
2. Scanning the memory
Processes found: 14
Modules loaded: 182
Memory check completed
3. Scanning disks
4. Checking Winsock Layered Service Provider (SPI/LSP)
LSP settings checked. No errors have been detected
5. Searching for keyboard/mouse/windows events hooks (Keyloggers, Trojan DLLs)
6. Searching for opened TCP/UDP ports used by malicious programs
Check disabled by the user
7. Heuristic system check
>>> Pay attention - task manager is blocked
Check completed
Files scanned: 389, extracted from archives: 0, malicious programs found 0
Scanning terminated at 9/27/2006 11:30:48 PM
Scanning lasted 00:00:20
--------------
[QUOTE]сделайте новые логи и прикрепите их к теме
[/QUOTE]
Отправил.

[QUOTE=Nik]
Отправил.[/QUOTE]
1. просили прикрепить логи к теме
2. не нужно отправлять по несколько раз одни и те же файлы

Извеняюсь!

Сегодня прикреплю логи.

Свежие логи:

[QUOTE=Nik]Свежие логи:[/QUOTE]
AVZ меню Сервис -> Менеджер автозапуска -> удалить строки (кнопка с крестиком) с упоминанием следующих файлов:
C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
C:\WINDOWS\system32\agss32.dll
C:\WINDOWS\system32\stonedrv.exe
rpcc.exe

PS. Будьте внимательны, не удалите ничего лишнего.

AVZ меню Сервис -> Менеджер файла Host

Оставьте там только строчку:
127.0.0.1 localhost

все остальные, расположенные ниже, удалите.

[QUOTE]AVZ меню Сервис -> Менеджер автозапуска -> удалить строки (кнопка с крестиком) с упоминанием следующих файлов:
C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
C:\WINDOWS\system32\agss32.dll
C:\WINDOWS\system32\stonedrv.exe
rpcc.exe

PS. Будьте внимательны, не удалите ничего лишнего.[/QUOTE]

Здесь всё зделано!

[QUOTE]AVZ меню Сервис -> Менеджер файла Host

Оставьте там только строчку:
127.0.0.1 localhost

все остальные, расположенные ниже, удалите.[/QUOTE]

В этой операции я удаляю все строки, которые расположены ниже 127.0.0.1 localhost, но после перезагрузки компа всё остаётся на прежнем месте.
(Комп всё ещё рестартится...)

[QUOTE=Nik]Здесь всё зделано!

В этой операции я удаляю все строки, которые расположены ниже 127.0.0.1 localhost, но после перезагрузки компа всё остаётся на прежнем месте.
(Комп всё ещё рестартится...)[/QUOTE]
Т.е. файлы не удалены ?

Если так, удалите их [url=http://www.virusinfo.info/showthread.php?t=5757]Avenger-ом[/url].
Скрипт для удаления:
[CODE]
Files to delete:
C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
C:\WINDOWS\system32\agss32.dll
C:\WINDOWS\system32\stonedrv.exe
C:\WINDOWS\system32\rpcc.exe

Folders to Delete:
C:\Documents and Settings\All Users\Documents\Settings
[/CODE]

Строку
C:\WINDOWS\system32\rpcc.exe
сначала проверьте - найдите поиском из AVZ на диске файл rpcc.exe и уточните путь, если он отличается.

Есть еще предложения:
1. Деинсталируйте Trojan Remover. То что не помогает, то мешает.
2. Отключите службу восстановения системы, раз уж она не работает. (как отключить см. Приложение 1. Правил)
Хотя можно еще раз попробовать.
[quote]System Restore тоже не получаеться зделать.(число и месяц не могу выделить)[/quote]
Там дату можно не любую выбирать, а только ту, для которой была создана точка восстановления.
3. task manager можно вернуть так:
В AVZ меню Файл - Восстановление системы - отметьте галочкой строку:
Удаление всех Policies ...
и нажмите кнопку "Выполнить операции"
4. Очистите временные Интернет файлы.

И ещё.
В Control Panel -> System -> Advanced -> Startup and Recovere
снимите галочку Automatically reboot.
Возможно после этого будет появляться синий экран, тогда спишите с него первую пару строк и напишите их тут.

Alexey A


После перезагрузки в блокноте откроется файл с протоколом выполнения, сохраните его.
Ни какого файла не было. Повторная попытка выдаёт ошибку ( could not create zip file) - помоему что то такое, кода ошибок всегда разные. Теперь и error logа нету.

AVZ ничего похожего не нашол на rpcc.exe

AndreYka

1. Trojan Remoover - удалён.
2. Ресторе выключил.
3. Удалил все Policies...
4. Временные файлы тоже удалил.

С Automatically reboot галка снята.

Всё что написано на синем экране:

STOP: c000021a {Ftatal System error}
The Windows Logon Process system process terminated unexpectedly with a status of 0xc0000142 (0x00000000 0x00000000)
The sistem has been shut down.

Это зверьё уже удалили?
[code]C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll[/code]

Пофиксите в программе HijackThis следующие строки:
O4 - HKLM\..\Run: [RaidTool] C:\Program Files\VIA\RAID\raid_tool.exe
O4 - HKLM\..\Run: [stonedrv] C:\WINDOWS\system32\stonedrv.exe
O4 - HKLM\..\Run: [rpcc] rpcc.exe
O4 - HKLM\..\RunServices: [stonedrv] C:\WINDOWS\system32\stonedrv.exe
O4 - HKCU\..\Run: [stonedrv] C:\WINDOWS\system32\stonedrv.exe
O20 - Winlogon Notify: artm_newreg - C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll (file missing)
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll (file missing)
O21 - SSODL: CDRecorder013 - {A3BC5E20-0235-1ABF-9CE1-00AA00512013} - C:\WINDOWS\system32\agss32.dll (file missing)
O23 - Service: Microsoft ASPI Manager (aspi113210) - Unknown owner - C:\WINDOWS\system32\aspi24159.exe (file missing)

Пофиксить это, значит, запустить программу HijackThis, запустить проверку системы, в открывшемся логе сканирования поставить галочки напротив указанных строк и нажать кнопку "Fix Checked".

Перезагрузите компьютер, сделайте новый лог HijackThis и выложите его сюда.

Файлы:
[LEFT]C:\Documents and Settings\All Users\Documents\Settings\artm_new.dll
C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll
AVZ не нашёл. (наверно удалены)
---------------------------

В списке (HijackThis) не нашёл следующие строки:

O4 - HKLM\..\Run: [stonedrv] C:\WINDOWS\system32\stonedrv.exe
O4 - HKLM\..\Run: [rpcc] rpcc.exe
O4 - HKLM\..\RunServices: [stonedrv] C:\WINDOWS\system32\stonedrv.exe
O4 - HKCU\..\Run: [stonedrv] C:\WINDOWS\system32\stonedrv.exe
O21 - SSODL: CDRecorder013 - {A3BC5E20-0235-1ABF-9CE1-00AA00512013} - C:\WINDOWS\system32\agss32.dll (file missing)
[/LEFT]

Лог с HijackThis

Скажите, как удалить второго пользователя. (Появился ни откуда) "Administrator"

Чтото новенькое появилось:
[quote]O4 - HKLM\..\Run: [radnjycq] C:\wqutfwpg.bat
O4 - HKLM\..\Run: [ixmqvwcy] C:\hbuwaino.bat
O4 - HKLM\..\Run: [phmjmtct] C:\vywyqrvt.bat
O4 - HKLM\..\Run: [tuqppiko] C:\ebcjnces.bat
O4 - HKLM\..\Run: [mmxqcqun] C:\enqlxkwy.bat
O4 - HKLM\..\Run: [uubvyuft] C:\pkjxcbbl.bat
O4 - HKLM\..\Run: [berbnsle] C:\utogarsc.bat
O4 - HKLM\..\Run: [wdrsyrgi] C:\xbwcsvem.bat
[/quote]
Пришлите эти файлы.

В нормальном режиме компьютер все еще не запускается? Работать в Интернет, загрузившесь в Безопасном режиме совсем не безопасно. :)
Так как не работает антивирус и файрвол.

[quote]Скажите, как удалить второго пользователя. (Появился ни откуда) "Administrator"[/quote]
Пользователь Administrator это встроенная учетная записть, ее нельзя удалить, только отключить.

Да и отключать большого смысла нет. Резервный вход, если у основного пользователя что-то в профиле сломалось.

Комп всё ещё перезагружается.

Выслал!

Запутался немного! Извеняюсь!

[QUOTE=Nik]Комп всё ещё перезагружается.
Выслал!
Запутался немного! Извеняюсь![/QUOTE]
пришли старые файлы (от 27 числа), а вовсе не те, которые были запрошены тут [url]http://www.virusinfo.info/showpost.php?p=80543&postcount=32[/url]

файлы C:\WINDOWS\system32\dlh9jkdq8.exe, C:\WINDOWS\system32\vx.tll как я уже говорил ранее - мусор, удаляйте

Мусор удалил.

Файлы с 27 числа тоже выслал.

[QUOTE=Nik]Файлы с 27 числа тоже выслал.[/QUOTE]
вы вообще читаете, что именно вас просили выслать? файлы от 27 числа вы присылаете уже в третий раз...
а то, что нужно, так и не прислали.
увы, при таком раскладе ничем помочь не могу

всё, понятно.
я не отметил правельный "Folders"
Выслал..

[QUOTE=Nik]всё, понятно.
я не отметил правельный "Folders"
Выслал..[/QUOTE]
вот эти строки (и им подобные) пофиксите в HijackThis:
O4 - HKLM\..\Run: [radnjycq] C:\wqutfwpg.bat
O4 - HKLM\..\Run: [ixmqvwcy] C:\hbuwaino.bat
O4 - HKLM\..\Run: [phmjmtct] C:\vywyqrvt.bat
O4 - HKLM\..\Run: [tuqppiko] C:\ebcjnces.bat
O4 - HKLM\..\Run: [mmxqcqun] C:\enqlxkwy.bat
O4 - HKLM\..\Run: [uubvyuft] C:\pkjxcbbl.bat
O4 - HKLM\..\Run: [berbnsle] C:\utogarsc.bat
O4 - HKLM\..\Run: [wdrsyrgi] C:\xbwcsvem.bat
O23 - Service: Microsoft ASPI Manager (aspi113210) - Unknown owner - C:\WINDOWS\system32\aspi24159.exe (file missing)

файл rpcc.exe удалите при помощи отложенного удаления из AVZ

rpcc.exe удалил.

и самый свежий лог: