winhep32.exe, vmmreg.dll, video.sys

[COLOR=black]Получил вирусы winhep32.exe, vmmreg.dll, video.sys. IceSword убил winhep32.exe, vmmreg.dll. Файл video.sys постоянно восстанваливался в папках windows/system32/ и windows/system32/webmin. Его нашёл и убил CureIT. Сейчас: вирусов вроде нет, их записей в реестере много, автозагрузка не работает. Пробовал чистить реестр вручную - после этого отказались ставиться программы (AdAdware, ошибка 1606, нет доступа к папке Автозагрузка). Откатился до состояния, когда был стёрт последний вирус. Помогите! [/COLOR]

[QUOTE=TRUE;273866]Помогите! [/QUOTE]Если [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL] выполните - постараемся.

Извините, почему-то не вкладывались вложения!

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
[COLOR="Red"][B]- Системное восстановление.[/B][/COLOR]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт 1 [/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\winhelp32.exe');
DeleteService('VIDEO');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('c:\windows\system32\winhelp32.exe','');
QuarantineFile('D:\WINDOWS\system32\oembios.exe','');
QuarantineFile('D:\WINDOWS\system32\ntos.exe','');
DeleteFile('D:\WINDOWS\system32\ntos.exe');
DeleteFile('D:\WINDOWS\system32\oembios.exe');
DeleteFile('c:\windows\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт 2 [/URL]
[CODE]begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.

Извините, что долго копался. Прикрепляю логи. Карантин не могу послать, поскольку этих файлов нет, не нашёл. Автозагрузка пока не заработала. winhelp32.exe в автозагрузке висит, не активный (Смотрел msconfig, CodeStuff Starter, Auslogic Startup Manger, причём, Auslogic показывает в загрузке ниличие программ, которые есть в папке Автозагрузка (те программы, что были до появления вируса), но фактически не загружаются). Также в автозагрузке появился файл %systemroot%\iajurkai.exe. Там же есть и %systemroot%\system32\dumprep 0 -k (KernelFaultCheck), но он, кажется, и раньше был. Производители обоих файлов не указаны. Спасибо, надеюсь на Вашу помощь.

Нужно выгрузить Антивирус и АдУотчер и что там еще есть в памяти: Они мешают работе АВЗ.

Если не удастся это сделать цивилиэованными методами:
1. Пуск/Выполнить... набрать [B]msconfig[/B], нажать клавишу [B]ВВОД[/B].
2. В карточке Автозапуск - Все отключить
3. В карточке Службы - Службы Windows не показывать, остальные отключить.
4. Перегрузить систему, далее по тексту.

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKLM\..\Run: [iajurkai] %systemroot%\iajurkai.exe
[/CODE]

Выполните скрипт

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\iajurkai.exe','');
DeleteFile('D:\WINDOWS\iajurkai.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

Закачайте карантин, повторите логи начиная от п.10 правил.

[QUOTE=V_Bond]автозагрузку можно поправить [URL="http://softsearch.ru/programs/47-054-startup-extractor-download.shtml"] этим ...[/URL][/QUOTE]

msconfig не даёт отключить элементы автозагрузки:
\.rnd
\debug.log
\default.pls
\intlname.ols
\ntuser.dat
\ntuser.ini

требует учётную запись администратора, хотя на компьютере один пользователь всю жизнь, права не менялись. В панель управления/администрирование/управление компьютером свойствах пользователя Юзернэйм отнесён к группе администраторы, хотя и Администратор там, конечно, сам по себе тоже присутствует.

Это нормально, дальше действовать по инструкции?

PS. Все эти файлы распологаются (нашёл) в директории Documents & Settings/Usernаme, причём попытка скопировать директорию блокируется из-за этих файлов("используется другим процессом")

Вроде убил всю автозагрузку кроме вышеуказанного. Антивирус снёс. Направляю логи.

Только сообразил - послал карантин из AVZ

В логах чисто,жалобы есть?

Убилась автозагрузка. В меню старт две папки "Автозагрузка". Добавление программ в любую из них к автозагрузке не приводит. Не даёт устанавливать программы. При попытке установить AdAdware вылетает с ошибкой 1606.
Error 1606. Could not Accses network location %USERPROFILE%\Главное меню\Программы\Автозагрузка

Startup Extractor использовали ... ?
AdAdware вылетает с ошибкой 1606. - даром не нужен бесполезная програмка ...

[quote=V_Bond;274045]Startup Extractor использовали ... ?
AdAdware вылетает с ошибкой 1606. - даром не нужен бесполезная програмка ...[/quote]


Спасибо, Startup Extractor позволил добавть программы в старт!
Но только через реестр. Проблема в том, что папки Автозагрузка как бы не стало. Ладно бы Ad-Aware - похоже, не устанавливается всё, что обращается к папке автозагрузка. Например, микрософтовский Intellipoint для мыши.

откройте ключ
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]
параметр ... должен быть приблизительно ...
"Common Startup"="C:\\Documents and Settings\\All Users\\Главное меню\\Программы\\Автозагрузка"
у вас что -то видимо другое ...

хотя нормальные программы так себя в автозагрузку не прописывают ...

Совершенно верно! Параметра вообще не было никакого - чистота! Теперь программы из папки Атозагрузка есть, правда, всё же не запускаются. Startup Extractor указывает статус - "Остановлено".
Можно ли это побороть?
Ещё не подскажете, где в реестре поправить ветку, чтобы указать не только общую папку Автозагрузка, а папку для Пользователя? Может, это и есть решение?

насчет остановлено ... вы же это в msconfig сделали ...
ну и проверте
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]
"Startup"

Спасибо, всё проверил. Автозагрузка пользователя правильная. В msconfig разрешения выдал на всё. И всё равно статус "остановлено"... И при установке программы опять ошибка 1606, как если бы прав администратора не хватало((( В рукопашную благодаря Startup Extractor, ещё раз спасибо, я теперь что хочешь поставить могу через реестр. А вот как быть при установке софта..:-(((

проверяйте значения ключей ....
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurentVersion\Explorer\User Shell Folders
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurentVersion\Explorer\User Shell Folders
100 % есть неправильные значения ... или сделайте экспорт этих веток реестра ...

Сделал экспорт веток, сам понять не могу, где там ошибки, как ни смотрел

скопируйте содержимое в блокнот сохраните как 1.reg запустите перегрузитесь ...
[code]
Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]
"AppData"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,41,00,70,00,70,00,6c,00,69,00,63,00,61,00,74,00,69,\
00,6f,00,6e,00,20,00,44,00,61,00,74,00,61,00,00,00
"Desktop"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,20,04,30,04,31,04,3e,04,47,04,38,04,39,04,20,00,41,\
04,42,04,3e,04,3b,04,00,00
"Favorites"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,18,04,37,04,31,04,40,04,30,04,3d,04,3d,04,3e,04,35,\
04,00,00
"NetHood"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,4e,00,65,00,74,00,48,00,6f,00,6f,00,64,00,00,00
"Personal"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,1c,04,3e,04,38,04,20,00,34,04,3e,04,3a,04,43,04,3c,\
04,35,04,3d,04,42,04,4b,04,00,00
"PrintHood"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,50,00,72,00,69,00,6e,00,74,00,48,00,6f,00,6f,00,64,\
00,00,00
"Programs"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,13,04,3b,04,30,04,32,04,3d,04,3e,04,35,04,20,00,3c,\
04,35,04,3d,04,4e,04,5c,00,1f,04,40,04,3e,04,33,04,40,04,30,04,3c,04,3c,04,\
4b,04,00,00
"SendTo"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,4c,\
00,45,00,25,00,5c,00,53,00,65,00,6e,00,64,00,54,00,6f,00,00,00
"Start Menu"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,\
00,4c,00,45,00,25,00,5c,00,13,04,3b,04,30,04,32,04,3d,04,3e,04,35,04,20,00,\
3c,04,35,04,3d,04,4e,04,00,00
"Startup"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,13,04,3b,04,30,04,32,04,3d,04,3e,04,35,04,20,00,3c,\
04,35,04,3d,04,4e,04,5c,00,1f,04,40,04,3e,04,33,04,40,04,30,04,3c,04,3c,04,\
4b,04,5c,00,10,04,32,04,42,04,00,00
"Templates"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,28,04,30,04,31,04,3b,04,3e,04,3d,04,4b,04,00,00
"My Pictures"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,\
00,4c,00,45,00,25,00,5c,00,1c,04,3e,04,38,04,20,00,34,04,3e,04,3a,04,43,04,\
3c,04,35,04,3d,04,42,04,4b,04,5c,00,1c,04,3e,04,38,04,20,00,40,04,38,04,41,\
04,43,04,3d,04,3a,04,38,04,00,00
"Local Settings"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,\
49,00,4c,00,45,00,25,00,5c,00,4c,00,6f,00,63,00,61,00,6c,00,20,00,53,00,65,\
00,74,00,74,00,69,00,6e,00,67,00,73,00,00,00
"Local AppData"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,\
49,00,4c,00,45,00,25,00,5c,00,4c,00,6f,00,63,00,61,00,6c,00,20,00,53,00,65,\
00,74,00,74,00,69,00,6e,00,67,00,73,00,5c,00,41,00,70,00,70,00,6c,00,69,00,\
63,00,61,00,74,00,69,00,6f,00,6e,00,20,00,44,00,61,00,74,00,61,00,00,00
"Cache"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,4c,\
00,45,00,25,00,5c,00,4c,00,6f,00,63,00,61,00,6c,00,20,00,53,00,65,00,74,00,\
74,00,69,00,6e,00,67,00,73,00,5c,00,54,00,65,00,6d,00,70,00,6f,00,72,00,61,\
00,72,00,79,00,20,00,49,00,6e,00,74,00,65,00,72,00,6e,00,65,00,74,00,20,00,\
46,00,69,00,6c,00,65,00,73,00,00,00
"Cookies"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,43,00,6f,00,6f,00,6b,00,69,00,65,00,73,00,00,00
"History"=hex(2):25,00,55,00,53,00,45,00,52,00,50,00,52,00,4f,00,46,00,49,00,\
4c,00,45,00,25,00,5c,00,4c,00,6f,00,63,00,61,00,6c,00,20,00,53,00,65,00,74,\
00,74,00,69,00,6e,00,67,00,73,00,5c,00,48,00,69,00,73,00,74,00,6f,00,72,00,\
79,00,00,00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\New]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]
"Common Desktop"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,00,\
50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,20,04,30,04,31,04,3e,\
04,47,04,38,04,39,04,20,00,41,04,42,04,3e,04,3b,04,00,00
"Common Start Menu"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,\
00,50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,13,04,3b,04,30,04,\
32,04,3d,04,3e,04,35,04,20,00,3c,04,35,04,3d,04,4e,04,00,00
"Common Programs"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,00,\
50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,13,04,3b,04,30,04,32,\
04,3d,04,3e,04,35,04,20,00,3c,04,35,04,3d,04,4e,04,5c,00,1f,04,40,04,3e,04,\
33,04,40,04,30,04,3c,04,3c,04,4b,04,00,00
"Common Startup"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,00,\
50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,13,04,3b,04,30,04,32,\
04,3d,04,3e,04,35,04,20,00,3c,04,35,04,3d,04,4e,04,5c,00,1f,04,40,04,3e,04,\
33,04,40,04,30,04,3c,04,3c,04,4b,04,5c,00,10,04,32,04,42,04,3e,04,37,04,30,\
04,33,04,40,04,43,04,37,04,3a,04,30,04,00,00
"Common AppData"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,00,\
50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,41,00,70,00,70,00,6c,\
00,69,00,63,00,61,00,74,00,69,00,6f,00,6e,00,20,00,44,00,61,00,74,00,61,00,\
00,00
"Common Templates"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,\
00,50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,28,04,30,04,31,04,\
3b,04,3e,04,3d,04,4b,04,00,00
"Common Favorites"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,\
00,50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,18,04,37,04,31,04,\
40,04,30,04,3d,04,3d,04,3e,04,35,04,00,00
"Common Documents"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,\
00,50,00,52,00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,14,04,3e,04,3a,04,\
43,04,3c,04,35,04,3d,04,42,04,4b,04,00,00
[/code]