вирус не лечится

Printable View

Показывать 40 сообщений этой темы на одной странице

27.08.2008, 14:53
germantk

Вложений: 3

вирус не лечится

Похоже проник в систему вирус, отображает сообщения об adaware и просит скачать обновление для windows. Стал недоступен пункт "Панель управления" в меню "Пуск", при попвтке зайти в некоторые системные каталоги говорит что функции ограничены и просит сообщить администратору.
27.08.2008, 15:50
Rene-gad

[B]Нарушения [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL] при сборе информации для раздела Помогите.

[COLOR="Red"]
- Не выключено системное восстановление.
- Не выключен установленный антивирус.[/COLOR]

Логи выполненные с нарушением правил рассматриваться не будут.
Повторите 3 лога в соответствии с правилами.
Спасибо за понимание.[/B]

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт 1 [/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('srservice', 4);
QuarantineFile('C:\WINDOWS\shell.exe','');
QuarantineFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe','');
QuarantineFile('C:\WINDOWS\system32\spoolvs.exe','');
QuarantineFile('Explorer.exe C:\WINDOWS\shell.exe','');
DelBHO('{28A73C97-A538-08EE-FA8A-1CF3009DB0D0}');
QuarantineFile('C:\Program Files\altcmd\altcmd32.dll','');
DelBHO('{2940074F-729F-4DF6-B300-96048173ED39}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CT id=e codeBase=http://www.www2.p0rt2.com/files/epl60bf2.cab classid=clsid:33331111-1111-1111-1111-615111193427}');
QuarantineFile('C:\WINDOWS\system32\printer.exe','');
DeleteFile('C:\WINDOWS\system32\printer.exe');
DeleteFile('C:\Program Files\MyExpressSearch\My Express Search Toolbar\my_express_search.dll');
DeleteFile('C:\Program Files\altcmd\altcmd32.dll');
DeleteFile('Explorer.exe C:\WINDOWS\shell.exe');
DeleteFile('C:\WINDOWS\system32\spoolvs.exe');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe');
DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe');
DeleteFile('C:\WINDOWS\shell.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт 2[/URL]
[CODE]
begin
executerepair(1);
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
27.08.2008, 16:16
germantk

не могу отключить восстановление системы

Не отключается восстановление системы! При любой попытке говорит что у меня нет прав на изменение, к тому-же исчез пункт меню пуск - ПАНЕЛЬ УПРАВЛЕНИЯ
27.08.2008, 16:27
Rene-gad

Я добавил в скрипт остановку службы восстановления. Выполняйте скрипт, делайте логи - будем смотреть.
27.08.2008, 17:20
germantk

Вложений: 3

Наверное помогло

Высылаю логи
27.08.2008, 17:25
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.myexpresssearch.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.besttoolbars.net/
O20 - AppInit_DLLs: C:\WINDOWS\system32\wowfx.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wowfx.dll','');
DeleteFile('C:\WINDOWS\system32\wowfx.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи начиная от п.10 правил.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
27.08.2008, 19:33
germantk

Вложений: 3

Еще логи
27.08.2008, 20:10
Rene-gad

Удалите Аd-Aware, откройте редактор реестра, пройдите в папку [B]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders[/B], ключ [B]SecurityProviders[/B] в правой панели 2 раза щелкнуть.
Содержимое д.б.
[CODE]msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll[/CODE]
Закройте редактор реестра.
Перегрузитесь, повторите лого от п.10 правил.
27.08.2008, 21:46
germantk

Вложений: 3

снова здорово

Все опять вернулось на свое место! Опять сообщения в трее об adaware и необходимости сходить на сайт за обновлением антивируса, это после того как я выполнил последние ваши рекомендации, а до этого вроде все иправлялось. Что-же делать. Снова повторить ваши скрипты?
28.08.2008, 10:03
Rene-gad

[QUOTE=germantk;275425]Все опять вернулось на свое место! [/QUOTE]А я Вас просил, удалить Ad-Aware. Удалите, выполните пункт 2 правил.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\shell.exe
O4 - HKLM\..\Run: [Printer] C:\WINDOWS\system32\printer.exe
O4 - HKCU\..\Run: [Spoolsv] C:\WINDOWS\system32\spoolvs.exe
O4 - Startup: findfast.exe
O4 - Global Startup: autorun.exe
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\windows\shell.exe','');
QuarantineFile('C:\WINDOWS\Installer\{BE16CD3F-FE02-42CD-8F0B-00FB1214AA89}\_26F9B95512BF_4EB0_A5A7_4E9C21DEF37B.exe','');
QuarantineFile('C:\WINDOWS\system32\printer.exe','');
QuarantineFile('C:\WINDOWS\system32\spoolvs.exe','');
QuarantineFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe','');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe');
DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe');
DeleteFile('C:\WINDOWS\system32\spoolvs.exe');
DeleteFile('c:\windows\shell.exe');
DeleteFile('C:\WINDOWS\system32\printer.exe');
DeleteFile('C:\WINDOWS\Installer\{BE16CD3F-FE02-42CD-8F0B-00FB1214AA89}\_26F9B95512BF_4EB0_A5A7_4E9C21DEF37B.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
28.08.2008, 20:43
germantk

Вложений: 3

очередные логи

Панели управления снова нет на месте
28.08.2008, 22:06
V_Bond

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{6226BA26-C017-4007-928C-DE9715C6FA67}');
DeleteService('CSRBC01');
QuarantineFile('C:\WINDOWS\system32\Drivers\csrbc01.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\csrbc01.sys');
DeleteFile('wowfx.dll');
DeleteFile('C:\Program Files\MyExpressSearch\My Express Search Toolbar\my_express_search.dll');
BC_ImportDeletedList;
ExecuteSysClean;
executerepair(5);
executerepair(6);
executerepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пишлите карантин согласно приложения 3 правил ...
повторите логи ...
29.08.2008, 00:21
germantk

Вложений: 3

Новые логи
29.08.2008, 00:26
V_Bond

в логах ничего плохого ...
29.08.2008, 00:43
germantk

УРА

УРААА! Все заразы больше нет. огромное спасибо
31.08.2008, 09:59
germantk

Вложений: 5

восстала из пепла

Снова эта зараза появилась. У меня 2 учетных записи, жена вошла под другой записью и снова проявился этот вирус. Присылаю логи и картинки якобы системных сообщений
31.08.2008, 11:25
Rene-gad

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\shell.exe
O4 - HKLM\..\Run: [Printer] C:\WINDOWS\system32\printer.exe
O4 - HKCU\..\Run: [Spoolsv] C:\WINDOWS\system32\spoolvs.exe
O4 - Startup: findfast.exe
O4 - Global Startup: autorun.exe
O7 - HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\printer.exe','');
QuarantineFile('C:\WINDOWS\system32\spoolvs.exe','');
QuarantineFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe','');
QuarantineFile('c:\windows\shell.exe','');
DeleteFile('c:\windows\shell.exe');
DeleteFile('C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\autorun.exe');
DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe');
DeleteFile('C:\WINDOWS\system32\spoolvs.exe');
DeleteFile('C:\WINDOWS\system32\printer.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину. Повторите операцию [B]для всех учеток[/B].
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
31.08.2008, 21:22
germantk

Вложений: 3

все по старому

Ощущение де жа вю. Вроде бы вирусы исчезают, но через несколько перезагрузок снова появляются
Посылаю логи. Не удаляются и не копируются некоторые файлы в папке C:/windows/temp
Perflib_Perfdata_4ac.dat
Perflib_Perfdata_784.dat
И каталог _avast4_
При попытке удалить эти файлы из под любой учетной записи собщает что они заняты другой программы. Если пытаюсь удалить не из Windows, файлы отсутствуют.
Также браузер Opera не отображает страницы, сообщение что нет подключения к интернет.
31.08.2008, 21:44
V_Bond

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка\autorun.exe');
DeleteFile('C:\Documents and Settings\Админ\Главное меню\Программы\Автозагрузка\findfast.exe');
DeleteFile(' %Systemroot%\system32\WinAvXX.exe');
DeleteFile('C:\WINDOWS\system32\printer.exe');
DeleteFile('C:\WINDOWS\system32\spoolvs.exe');
DeleteFile('C:\WINDOWS\system32\umonit.exe');
DeleteFile('C:\WINDOWS\shell.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
31.08.2008, 23:17
germantk

Вложений: 3

Логи

Показывать 40 сообщений этой темы на одной странице