Printable View
Добрый вечер.
У меня не открываются некоторые сайты.
Подозреваю на вирус, но НОД32 ничего не находит, не смотря на то, что базы в актуальном состоянии. = (
Судя по тому, что HijackThis.exe не распаковывался, то походу ничего хорошего у меня на компе. = )
А в отчете странные процессы..
И не нравится мне этот файл. = )
C:\Users\Администратор\AppData\Roaming\KickDll.dll
Спасибо за внимание.
Уважаемый(ая) [B]yesworld[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"] правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Users\Администратор\AppData\Roaming\KickDll.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Выполнил, заслал упаковку))
В HijackThis до сих пор есть строки:
[QUOTE]
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
[/QUOTE]
Они должны быть?
p.s. И еще вопрос, когда AVZ находит файлы, прямое чтение, это страшно?:)
[quote="yesworld;850251"]И еще вопрос, когда AVZ находит файлы, прямое чтение, это страшно?[/quote]В Вашем случае нет :)
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
[QUOTE=thyrex;850326]Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url][/QUOTE]
Тээак, сделал вроде..
Че то я во вкус вошел, давайте еще, еще хочется чего-нибудь отсканить и пофиксить! :) :D
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b] [code]g:\WINDOWS\pss\igfxtray.exestartup (Trojan.Buzus) -> No action taken.
g:\documents and settings\Admin\local settings\Temp\gcuv5.exe (Trojan.Buzus) -> No action taken.
g:\documents and settings\Admin\главное меню\программы\автозагрузка\igfxtray.exe (Trojan.Buzus) -> No action taken.[/code]
[QUOTE=thyrex;850483][url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]только указанные строки[/b]
[code]
g:\WINDOWS\pss\igfxtray.exestartup (Trojan.Buzus) -> No action taken.
g:\documents and settings\Admin\local settings\Temp\gcuv5.exe (Trojan.Buzus) -> No action taken.
g:\documents and settings\Admin\главное меню\программы\автозагрузка\igfxtray.exe (Trojan.Buzus) -> No action taken.[/code][/QUOTE]
Ок, щас удалю через [B]МВАМ[/B].
Дело в том, что на система на G эт старая система XP, [U]не активная[/U].
Я просто вчера старый винт подключил. :(
Да и почему просто не удалить это все через AVZ?
[QUOTE]begin
DeleteFile('g:\WINDOWS\pss\igfxtray.exestartup');
DeleteFile('g:\documents and settings\Admin\local settings\Temp\gcuv5.exe ');
DeleteFile('g:\documents and settings\Admin\главное меню\программы\автозагрузка\igfxtray.exe');
end.[/QUOTE]
Вопрос, когда AVZ скинул файл в карантин [B]c:\users\администратор\appdata\roaming\kickdll.dll[/B], то он его удаляет?
Или он должен там же оставаться?
Просто он там до сих пор тусуется..(
Malwarebytes Antimalware все время пишет, что заблокировал ip.
[QUOTE]18:03:36 Admin IP-BLOCK 89.108.67.93 (Type: outgoing, Port: 50254, Process: chrome.exe)
18:04:08 Admin IP-BLOCK 78.109.29.208 (Type: outgoing, Port: 54029, Process: skype.exe)[/QUOTE]
На блокировки IP внимания не обращайте.
[quote="yesworld;850498"]когда AVZ скинул файл в карантин c:\users\администратор\appdata\roaming\kickdll.dll, то он его удаляет?[/quote]Нет
Проверьте этот файл на virustotal.com и пришлите ссылку
[URL="http://www.virustotal.com/file-scan/report.html?id=b99445aca4cfc988855b92a2afc7f3d057b8e05c4651226e6839dd8af6e8cfcb-1324238573"]Вот.[/URL]
[QUOTE]kickdll.dll[/QUOTE]
Просто странно. На других компах этого файла нет.
И если через AVZ его убить, то потом тупо не будет инета.
В браузерах будет ошибка №3.
И теперь в добавок не заходит на некоторые сайты. = (
Пишет:[U] Ошибка 138 (net::ERR_NETWORK_ACCESS_DENIED): Нет доступа к сети.[/U]
[QUOTE]O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll[/QUOTE]
Мб это стоит пофиксить?
[size="1"][color="#666686"][B][I]Добавлено через 28 минут[/I][/B][/color][/size]
[QUOTE]Маскировка процесса с PID=936, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 936)
Маскировка процесса с PID=1112, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 1112)[/QUOTE]
С чем это может быть связано?
[quote="thyrex;850577"]Проверьте этот файл на virustotal.com и пришлите ссылку[/quote]
файл чистый [url]http://www.virustotal.com/file-scan/report.html?id=b99445aca4cfc988855b92a2afc7f3d057b8e05c4651226e6839dd8af6e8cfcb-1324238573[/url]
[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]
[quote="yesworld;850209"]У меня не открываются некоторые сайты.[/quote]
в безопасном режиме с поддержкой сети эти сайты работают ?
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
трафик компресоров или чего-нибудь такое через что проходит трафик у вас не стоит (не стояло) ?
[QUOTE][COLOR=#3E3E3E]файл чистый[/COLOR][/QUOTE]
Я уже понял. Просто нафиг этот файл тогда нужен?
Его в других системах нет.
Да и странно, что когда его удаляешь, то инет тоже пропадает.
[QUOTE][COLOR=#3E3E3E]в безопасном режиме с поддержкой сети эти сайты работают ?[/COLOR][/QUOTE]
Завтра опробую, так как я просто подключился удаленно к компу.
По крайне мере, с других компов на эти сайты заходит.
[QUOTE][COLOR=#3E3E3E]трафик компресоров или чего-нибудь такое через что проходит трафик у вас не стоит (не стояло) ?[/COLOR][/QUOTE]
У меня не стоит и не стояло.
Дикая фраза получилась. :D
[QUOTE=yesworld;850857]
Маскировка процесса с PID=936, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 936)
Маскировка процесса с PID=1112, имя = ""
>> обнаружена подмена PID (текущий PID=0, реальный = 1112)
[/QUOTE]
С чем это может быть связано?
И их много! = (
[quote="yesworld;850981"]Я уже понял. Просто нафиг этот файл тогда нужен?
Его в других системах нет.
Да и странно, что когда его удаляешь, то инет тоже пропадает.[/quote]
если очень интересно почитайте что такое LSP, грубо говоря через него проходит весь ваш трафик и он выступает в роли фильтра.
[quote="yesworld;851024"]С чем это может быть связано?
И их много! = ([/quote]
не обращайте на это внимание. Отключите из автозагрузки Pen Tablet и переделайте лог.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
[quote="yesworld;850981"]Завтра опробую,[/quote]
ждём :)
[QUOTE=regist;851041]если очень интересно почитайте что такое LSP, грубо говоря через него проходит весь ваш трафик и он выступает в роли фильтра.
[/QUOTE]
О, спасибо, люблю че-нибудь по изучать)
[QUOTE=regist;851041][QUOTE=yesworld;851024]
С чем это может быть связано?
И их много! = ([/QUOTE]
Отключите из автозагрузки Pen Tablet и переделайте лог.[/QUOTE]
Сделаю тогда позже, решу сперва основную проблему. :)
Так-то эт дрова от моего планшета.
Да и тем более эт фигня появилась не давно. = (
А дрова были поставлены сразу же после установки системы.
[QUOTE=regist;851041]ждём :)[/QUOTE]
УРА, ТОВАРИЩИ! :)
В безопасном режиме нормально все.
Даже полноценно открываются сайты и нет 138 ошибки.
Осталось понять, как сделать все нормально в обычном режиме. :(
[quote="yesworld;851197"]В безопасном режиме нормально все.
Даже полноценно открываются сайты и нет 138 ошибки.
Осталось понять, как сделать все нормально в обычном режиме.[/quote]
попробуйте [URL="http://virusinfo.info/showthread.php?t=4491"]пофиксить[/URL] эти записи
[CODE]O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O10 - Unknown file in Winsock LSP: c:\users\администратор\appdata\roaming\kickdll.dll
O13 - Gopher Prefix: [/CODE]
ШЛЯПА! :(
Короче выдает ошибку.
Делал под админ. правами...
выполните скрипт
[CODE]begin
QuarantineFile('C:\Users\Администратор\AppData\Roaming\KickDll.dll','');
DeleteFile('C:\Users\Администратор\AppData\Roaming\KickDll.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
если после выполнения скрипта вдруг возникнут проблеммы с доступов в инет, воспользуйтесь рекомендациями [URL="http://virusinfo.info/showthread.php?t=10267"]отсюда[/URL]