Printable View
Здравствуйте. НОД видимо пропустил какой-то вирус... При подключении к интернету резко увеличивается загрузка процессора до 100% или процессом "бездействие системы" или процессом svchost.exe. При этом появляется исходящий траффик и система начинает работать очень медленно.
- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HiJackThis:[/URL]
[CODE]F2 - REG:system.ini: UserInit=userinit.exe,autorun.bat
O9 - Extra button: Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files\Download Master\dmaster.exe (file missing)
O9 - Extra 'Tools' menuitem: &Download Master - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - C:\Program Files\Download Master\dmaster.exe (file missing)[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
QuarantineFile('C:\WINDOWS\system32\drivers\packet.sys','');
QuarantineFile('autorun.bat','');
QuarantineFile('C:\DOCUME~1\1\LOCALS~1\Temp\{55638DD9-D5A9-11D3-B74B-204C4F4F5020}\AMDMSRIO.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\wetkikgd.sys','');
AddToLog('Удаление скрытого сервиса '+'wetkikgd'+' - Результат:'+inttostr(BC_ServiceKill('wetkikgd')) );
DeleteFile('C:\WINDOWS\system32\Drivers\wetkikgd.sys');
BC_ImportAll;
ExecuteSysClean;
AddToLog('Файлы на удаление' +GETSERVICEFILE('AppMgmt'));
SaveLog(GetAVZDirectory+'avz_log.txt');
SetAVZPMStatus(true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/I]
- Включите Антивирус и Файрволл
- Подключите ПК к интернету/локальной сети
- Загрузите карантин согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи, а также файл avz_log.txt из папки AVZ к новому сообщению в этой ветке.
вроде все сделал... карантин закачал... вот логи...
[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог с помощью GMER.[/URL]
[I]gmer.log[/I]
сделано
Сохраните текст ниже как cleanup.bat в ту же папку, где находится GMER (в Блокноте вставьте текст, затем Файл - Сохранить как - Выберите "Тип файла: все файлы" и "Имя файла: cleanup.bat". Не забудьте сохраниться именно в ту папку, где находится GMER!).
[CODE]eij6f2f8.exe -killall
eij6f2f8.exe -killfile "C:\WINDOWS\system32\drivers\wetkikgd.sys"
eij6f2f8.exe -del service wetkikgd
eij6f2f8.exe -reboot[/CODE]
И запустите cleanup.bat
Запустить, вопросов не пугаться, удаление подтверждать. Система перезагрузится.
Сделайте новый лог gmer.
вот лог... но вопросов не было.. было пара сообщений типа "неверно указан путь" и "указанный модуль не найден"
Повторите набор логов AVZ.
логи
Зараза всё ещё активна. Воспользуйтесь [url=http://www.esagelab.com/files/tdss_remover_latest.rar]этой утилитой[/url]. После запуска в папке появится текстовый файл - пришлите его сюда.
сделал
Вам знаком этот драйвер:
[CODE]C:\WINDOWS\system32\drivers\wetkikgd.sys[/CODE]
Мы уже второй день пытаемся его удалить. Давайте попробуем посмотреть, что это.
Найдите этот файл на диске, сожмите в zip-архив с паролем virus и пришлите в карантин.
Если файла на диске не окажется - запустите Gmer, после предварительного сканирования нажмите на >>> в меню и выберите вкладку Files. Попытайтесь отыскать этот таинственный C:\WINDOWS\system32\drivers\wetkikgd.sys и нажав кнопку Copy скопируйте его на Рабочий Стол. Точно так же - в zip-архив с паролем и в карантин.
В AVZ Сервис -> Модули пространства ядра снимите дамп с подозрительного драйвера и приложите сюда.
так.. по порядку... драйвер не знаком.. при попытке заархивировать выдало такое сообщение :
Action: Add (and replace) files Include subfolders: no Save full path: no
Include system and hidden files: yes
Adding wetkikgd.sys
Warning: could not open for reading: C:/WINDOWS/system32/drivers/wetkikgd.sys
copying Zip file
Запустил Gmer попытался скопировать на Рабочий Стол... НОД тут же удалил файл в карантин... Win32/Agent.QMR троян
Дамп сделал но он не прикрепляется.. пишет превысил предел на форуме... какое-то удалить надо вложение?
[QUOTE=nadoelo;538852]Запустил Gmer попытался скопировать на Рабочий Стол... НОД тут же удалил файл в карантин... Win32/Agent.QMR троян[/QUOTE]
Хорошо, отключите антивирус и еще раз проделайте все манипуляции. После заархивируйте файл с паролем virus и пришлите его нам. Ссылка для закачки карантина вверху темы.
[QUOTE=nadoelo;538852]Дамп сделал но он не прикрепляется.. пишет превысил предел на форуме... какое-то удалить надо вложение?[/QUOTE]
Если пришлете файл, то в дампе нет особой необходимости.
Отключил антивирус... нашел его в Gmere... жму сохранить, вроде сохраняет, но на Рабочем столе я его не вижу.
Архиватор есть на машине?
[QUOTE=Aleksandra;538871]Архиватор есть на машине?[/QUOTE]
есть WinRar и WinZip
Запустите WinRar и через него поищите на рабочем столе этот файлик.
[QUOTE=Aleksandra;538881]Запустите WinRar и через него поищите на рабочем столе этот файлик.[/QUOTE]
не видно