Атакован вирусом через explorer.exe

Printable View

Показывать 40 сообщений этой темы на одной странице

14.12.2009, 22:23
Yuzner

Атакован вирусом через explorer.exe

Прошу помочь очень!Я случайно черезфлешку заразил комп жутким вирусом!Симптомы:
перед зауском винды выдает автоматическую ошибку explorer.exe а после ок или отмена и все типа ормально-но не зарускается ни каспер ни AVZ и к сожалению безопасный режим тоже не катит(не входит в без. режим((ошибка при выводите дисп.задач-доступ в реестр запрещен адином(админ хотя я)!Открылся только однапрога Анвир таск менеджер!Там нашел процесс но убил его-щас нет никаких процесов но все равно тоже самое-в автозапуске ничего подозрительного оставил только те процессы которые знаю)!При входе в инет в процессах 2 iexplorer.exe хотя запущена всего одна!и не входит во многие сайты связанные с антивирусами-точнее с онлайн проверкой компа типа virustotal.com и т.д.(( и сайт каспера((
и еще почемуто вирус убил мой Media Player Clasic при поптыке запустить фидео файл с этимплеером выдает ошибку типа Runtime error!
Прошу помоч-отчаялся(
Проошу еще кое что простить -я пишу с того зараженого компа!И почемуто (прошу поверить)не могу зайти в эту ссылку [url]http://virusinfo.info/showthread.php?t=1235-там[/url] кажется у вас правила-но не заходит(((
14.12.2009, 23:02
pig

Найдите незаражённую машину и таки прочиатйте правила. На ней же скачайте все необходимые инструменты, к больному доставьте на флэшке или болванке. CureIt в первую очередь попробуйте.
14.12.2009, 23:05
DefesT

+ еще попробуйте переименовать Avz и Hijackthis (например, в game14.bat или soccer.pif), если получится, сделайте логи. Систему сканировали AVPtool или CureIT?
14.12.2009, 23:13
Yuzner

нет пока не сканировал-зато обнаружил несколько прикольных вещей-1ое кажется я нашел источник заражения-это игра discipes 3 скачаная через торрент-ну во первых ее уже нету в трекере во вторых почемуто какой то файл-ctfmon.exe требовал файл из установочного диска этой игры(самато игра тоже не открылась)!
в третьих этот ctfmon.exe уже надоел прощениями об автозапуске!я отказываю(он кажется отвечает за панель языка-кстати он у меня тоже глючить начал)!ща постораюся скачать cureit разберуся как он работает и скажу-только скажите что сообщить?
14.12.2009, 23:17
pig

Что он у вас найдёт.
15.12.2009, 12:31
Yuzner

Я уже все скачал ночью после работы все проверю-но заранее вопрос а если ни один из указанных в правилах утилитов или прог не откроется че делать?
И еще я попробовал АВЗ переименовать и запустить-в процессах АВЗ сидит но к сожалению его нету(т.е. прога не запускается(только в процессах!
16.12.2009, 12:46
Yuzner

Вон тута 2 лога оба от один до того как AVPtool уничтожил многие вируса-другой после!АВЗ нету потому что сколько не пытаюся-даже после полной проверки АВПтулзом и уничтожением больгошо количества зараженных exe-файлов вирусом "Win32.Sality.aa" все равно не могу запустить ни Каспер ни АВЗ((ощибки уже не дает-и лишнего инет эксплорера в процессах не наблюдается!Но Каспер вообще не открывается(а АВЗ только в процессах висит и все(
16.12.2009, 14:56
thyrex

Пофиксите в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,,C:\WINDOWS\system32\init.exe,
O1 - Hosts: 195.82.147.147 pornolab.net static.pornolab.net
O1 - Hosts: 195.82.147.120 bt.pornolab.net
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)[/CODE]

Пробуйте сделать логи полиморфным AVZ
16.12.2009, 16:09
Yuzner

Извиняюся за дурацкий вопрос, а как фиксить?P.S. может про фиксирование как нить сам догадаюся-но все равно подскажите как?)
16.12.2009, 16:11
snifer67

[url]http://virusinfo.info/showthread.php?t=4491[/url]
16.12.2009, 17:28
Yuzner

спасиб
17.12.2009, 10:47
Yuzner

Я вот что сделал-
Скачал salitykiller and salityregs почистил киллером комп-а в реге были файлы для реестра с их помощью отключил типа автозапус и включил безопасный режим!Что мне делать в безопасном режиме!
И еще АВЗ все еще не открывает и каспер тажа лажа-и даже после переустановки каспер она все равно не открылась(
А еще АВЗ полиморфный открылся и заработал-с ним нашел 3-4 вируса и почистил их типа-подскажите что с ним еще мне делать?т.е. про скрипты!
17.12.2009, 10:49
snifer67

Сделайте логи в полиморфном avz.
19.12.2009, 11:35
Yuzner

Вот логи и еще я ошибся лишний один процесс iexplorer.exe не исчез из процессов!(
19.12.2009, 12:13
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\init.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Мои документы\SnippingTool.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\Desktopicon\eBayShortcuts.exe','');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\Desktopicon\eBayShortcuts.exe');
DeleteFile('C:\WINDOWS\system32\init.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Дополнения к IE стоят ?

Сделайте новые логи.
19.12.2009, 15:38
Yuzner

Вот новые!И еще щас попробую загрузить то что вы просили-карантин!
19.12.2009, 15:40
Yuzner

все готово!
19.12.2009, 15:49
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Сделайте логи обычным avz.
19.12.2009, 16:50
Yuzner

а точно уверены что после этого АВЗ запуститься?
И еще при поиске вирусов Virus removal tool'ом от каспера почему то находятся файлы которые уязвимы но их утилита не лечит(
19.12.2009 16:53:43 Обнаружено: [url]http://www.viruslist.com/ru/advisories/31822[/url] C:\Program Files\Bonjour\mDNSResponder.exe
19.12.2009 16:58:25 Обнаружено: [url]http://www.viruslist.com/ru/advisories/31744[/url] C:\Program Files\Common Files\Microsoft Shared\Office10\MSO.DLL
19.12.2009 17:00:32 Обнаружено: [url]http://www.viruslist.com/ru/advisories/34036[/url] C:\Program Files\Foxit Reader\FoxitReader.exe
19.12.2009 17:02:14 Обнаружено: [url]http://www.viruslist.com/ru/advisories/35364[/url] C:\Program Files\Microsoft Office\OFFICE11\EXCEL.EXE
19.12.2009 17:03:04 Обнаружено: [url]http://www.viruslist.com/ru/advisories/37584[/url] C:\Program Files\Opera\program\plugins\NPSWF32.dll
19.12.2009 17:03:31 Обнаружено: [url]http://www.viruslist.com/ru/advisories/35126[/url] C:\Program Files\Winamp\winamp.exe.bak
19.12.2009 17:03:32 Обнаружено: [url]http://www.viruslist.com/ru/advisories/35126[/url] C:\Program Files\Winamp\winamp.exe
19.12.2009 17:09:56 Обнаружено: [url]http://www.viruslist.com/ru/advisories/23655[/url] C:\WINDOWS\system32\msxml6.dll
19.12.2009 17:11:09 Обнаружено: [url]http://www.viruslist.com/ru/advisories/37584[/url] C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll
19.12.2009, 17:00
thyrex

[QUOTE='Yuzner;539447']а точно уверены что после этого АВЗ запуститься?[/QUOTE]А какое отношение автораны могут иметь к запуску AVZ?

[QUOTE='Yuzner;539447']находятся файлы которые уязвимы но их утилита не лечит([/QUOTE]Уязвимости не лечатся, а исправляются патчами или установкой новых версий программ

Показывать 40 сообщений этой темы на одной странице