Синий экран с надписью обнаружено шпионское ПО.

Printable View

Показывать 40 сообщений этой темы на одной странице

15.08.2008, 21:17
-SAS-

Вложений: 3

Синий экран с надписью обнаружено шпионское ПО.

При загрузке системы появляется синий экран
с надписью
Warning! Spyware detected on your computer!
Install an antivirus or spywareremover to clean your computer.

В свойствах экрана не доступны закладка "Заставка" и "Рабочий стол"
Касперский тоже в автозагрузку не выходит.
15.08.2008, 21:37
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('C:\WINDOWS\system32\blphc7olj0eg69.scr','');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\blphc7olj0eg69.scr');
DeleteFile('C:\WINDOWS\services.exe');
BC_ImportALL;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
[URL="http://www.virusinfo.info/showthread.php?t=4491"]"Пофиксите"[/URL] в HijackThis [CODE]O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] %SystemRoot%\system32\winhelp32.exe
O4 - HKUS\S-1-5-18\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')[/CODE]
Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.
18.08.2008, 10:07
-SAS-

Вложений: 3

Добрый день!

Максим, сделал как вы написали:
выполнил скрипт, после этого хотел пофиксить в HijackThis, но ссылок этих уже не было

на данный момент, Касперский запускается с автозагрузки и появляется в трее, Kerio WinRoute Firewall тоже запускается но в трее не появляется, не запускаются программы из Автозагрузки (MailServer)

синий экран не пропал, также остались заблокированными закладки "Заставка" и "Рабочий стол".

Новые логи
18.08.2008, 11:03
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[QUOTE=-SAS-;269197]на данный момент, Касперский запускается с автозагрузки и появляется в трее, Kerio WinRoute Firewall тоже запускается но в трее не появляется[/QUOTE]До вируса они работали вместе без проблем?[QUOTE=-SAS-;269197]не запускаются программы из Автозагрузки (MailServer)[/QUOTE]Так добавьте в автозагрузку.[QUOTE=-SAS-;269197]синий экран не пропал[/QUOTE]В смысле BSOD?[QUOTE=-SAS-;269197]также остались заблокированными закладки "Заставка" и "Рабочий стол"[/QUOTE]Скрипт должен исправить.
18.08.2008, 12:04
-SAS-

[quote=Maxim;269229][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ
[/quote]
Скрипт выполнил.

[quote]До вируса они работали вместе без проблем?[/quote]
Да работали вместе нормально.

[quote=Maxim]
[quote=-SAS-]Не запускаются программы из автозагрузки[/quote]
Так добавьте в автозагрузку.
[/quote]
В смысле эти программы были (и есть) указанны в автозагрузке (Пуск-> Программы->Автозагрузка)
и почему-то не стартуют при перезагрузке.

[quote]В смысле BSOD?[/quote]
А что такое BSOD?
Синий экран тот о котором речь шла в первом посте с надписью
Warning! Spyware detected on your computer!
Install an antivirus or spywareremover to clean your computer.
18.08.2008, 12:11
Макcим

[QUOTE]В смысле эти программы были (и есть) указанны в автозагрузке (Пуск-> Программы->Автозагрузка)
и почему-то не стартуют при перезагрузке.[/QUOTE][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.[/CODE]
[QUOTE]Синий экран тот о котором речь шла в первом посте с надписью[/QUOTE]Попробуйте сменить картинку рабочего стола.
18.08.2008, 14:38
-SAS-

Скрипт выполнил.
Программы из (Пуск-> Программы->Автозагрузка) все равно не стартанули. :(

Kerio WinRouteFirewall тоже не стартует, надо руками его запускать и многие еще программы которые раньше стартовали сейчас их нет, может еще какой запрет где-то остался?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 3 минуты[/I][/B][/color][/size]

Запустил сейчас Касперского на поиск вирусов
обнаружено: троянская программа Trojan-Downloader.Win32.Mutant.axi
Файл: C:\Documents and Settings\vladimir\S87ekhV.exe//PE_Patch//MewBundle//MEW//#
18.08.2008, 16:18
Rene-gad

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\blphcjtkj0e7cp.scr');
DeleteFile('C:\WINDOWS\system32\lphcjtkj0e7cp.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]
Повторите логи.
19.08.2008, 10:09
-SAS-

Вложений: 3

Скрипт выполнили.
Программы из (Пуск-> Программы->Автозагрузка) все равно при загрузке сами не запускаются.

Логи повторяем.
19.08.2008, 10:41
Rene-gad

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
ExecuteRepair(1);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
Содержимое вышеуказанной папки запакуйте в архив и прикрепите к сообщению (там д.б. только *.lnk - файлы).
19.08.2008, 12:50
-SAS-

Вложений: 1

Высылаю архив с папкой автозагрузка
19.08.2008, 12:53
Rene-gad

Не называйте файлы русскими буквами, плиз.
Повторите закачку - я архив не могу открыть.
19.08.2008, 14:26
-SAS-

ок, повторяю

о блин, теперь у меня проблемы не могу вставить переименованный файл auto_run.zip
19.08.2008, 14:34
-SAS-

Вложений: 1

вот так
19.08.2008, 14:42
Rene-gad

[QUOTE=-SAS-;270159]вот так[/QUOTE]Выкиньте файл [CODE]ofmsrv[/CODE] фтопку.А это что -вся Автозагрузка? Тогда ясно, почему ничего не стартует :) - потому что нечему стартовать.
Посмотрите еще папки автозагрузки в других учетках.
Скачайте отсюда: [url]http://www.nbnews.info/download/codestuff-starter-5-6-2-8[/url]
Тут видно у кого что в Автозапуск прописано+можно самому что надо прописать.
19.08.2008, 17:33
pig

OFMSRV, похоже, и есть искомый MailServer. Надо смотреть в реестре, куда показывают ключи:
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Common Startup[/code]
и
[code]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup[/code]
19.08.2008, 18:05
-SAS-

Вложений: 1

вот еще из общей автозагрузки

Ну да Ofmsrv это и есть мэйлсервер, поэтому он и стоял в автозагрузке, сейчас его приходится пускать руками, просто выбирая из этой же папки Пуск - Автозагрузка.
19.08.2008, 18:13
-SAS-

[quote=pig;270334]OFMSRV, похоже, и есть искомый MailServer. Надо смотреть в реестре, куда показывают ключи:
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Common Startup[/code]

[/quote]
Common Startup C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка
[quote]
и
[code]HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup[/code][/quote]

Startup C:\Documents and Settings\vladimir\Главное меню\Программы\Автозагрузка
20.08.2008, 03:04
pig

Хм. Похоже на правду. В MSConfig, что ли, ещё заглянуть - вдруг там вырублено. Невзирая на наличие ярлыков...
20.08.2008, 10:17
-SAS-

Вложений: 1

вот

Показывать 40 сообщений этой темы на одной странице