Printable View
После нескольких часов работы ПК пропадает звук, иногда интернет.
При загрузке в процессах появляется файл с именем типа sdlakjgsdkjg.exe, который создается в корневой папке на диске С.
Когда выключаю комп, вылазит ошибка dwwin.exe
Посмотрите логи, пожалуйста :)
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-3799073050-0906884374-208920895-4303\syscr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-6951044645-8610130677-848985116-3843\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6951044645-8610130677-848985116-3843\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3799073050-0906884374-208920895-4303\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-3799073050-0906884374-208920895-4303\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6951044645-8610130677-848985116-3843\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-3799073050-0906884374-208920895-4303\syscr.exe,explorer.exe,C:\RECYCLER\S-1-5-21-6951044645-8610130677-848985116-3843\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]
gmer закрывается с ошибкой после запуска
added:
один раз запустил через ПКМ>запуск от имени>OK
потом случайно закрыл
и теперь при таком же способе запуска вылезает ошибка
"loaddriver (ссылка на файл kfpoqaob.sys) error 0xC0000061: отказано в доступе."
жму ОК
запускается gmer
при попытки сканировать вылазит еще одна ошибка:
"C:\WINDOWS\sustem32\config\system: Процесс не может получить доступ к файлу, так как этот файл занят другим процессом."
и после нее еще несколько подобных ошибок
что делать? :(
Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
пожалуйста
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
c:\windows\system32\ybtvptid.dll
Driver::
fkxzwed
NetSvc::
fkxzwed
Folder::
C:\FOUND.003
C:\FOUND.002
C:\FOUND.001
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
сделано
с утра начались ошибки типа
"218.exe - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства."
Сделайте [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
Driver::
Folder::
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4246:TCP"=-
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
сделано
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
[URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]Удалите в МВАМ[/URL]
[CODE]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Trojan.Agent) -> No action taken.
Зараженные файлы:
C:\RECYCLER\S-1-5-21-1144930848-0199193562-850515179-9745\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\Qoobox\Quarantine\C\RECYCLER\S-1-5-21-9729427331-7087099964-415505865-2847\syscr.exe.vir (Worm.Autorun.B) -> No action taken.[/CODE]
Сделайте новый лог МВАМ
сделано
Обновления, вышедшие после SP3, все установлены?
Удалите в МВАМ
[CODE]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Trojan.Agent) -> No action taken.
Зараженные файлы:
C:\RECYCLER\S-1-5-21-4927440341-2499442917-342114985-9109\syscr.exe (Worm.Autorun.B) -> No action taken.
D:\System Volume Information\_restore{1A4809ED-87CA-4E35-9B4E-485DFF63891F}\RP16\A0001183.exe (Trojan.Downloader) -> No action taken.[/CODE]
не понял, а что значит "удалить в МВАМ" ?
Делаю вывод, что в прошлый раз Вы это не сделали. Потому эти записи остались в новом логе
[url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
вот новый лог, обновления устанавливались. отключил автообновления неделю назад примерно.
Удалите в МВАМ
[CODE]C:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.[/CODE]
Сделайте новый лог МВАМ
сделал сканирование,
этого файла
C:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.
не было.
еще перестал переключаться язык :(
ни комбинацией, ни мышкой в трее..
вот новый лог
Скачайте архив во вложении, распакуйте и внесите информацию из всех файлов в реестр (двойным кликом левой кнопкой мыши). Что с переключением языков?
Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\Recycled\Dc48.scr');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Удалите в МВАМ
[CODE]Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Trojan.Agent) -> No action taken.
Зараженные файлы:
C:\RECYCLER\S-1-5-21-4345255721-0667743420-156144814-7082\syscr.exe (Worm.Autorun.B) -> No action taken.[/CODE]
[CODE]Зараженные файлы:
C:\RECYCLER\S-1-5-21-4345255721-0667743420-156144814-7082\syscr.exe (Worm.Autorun.B) -> No action taken.
[/CODE]
а ничего, что там немного другие цифры были?
язык переключается теперь, спасибо.
что дальше делать?
и в папке system32 куча файлов типа 11.ехе, 23.ехе
что с ними делать? они постоянно там появляются
[QUOTE='hotty;665178']и в папке system32 куча файлов типа 11.ехе, 23.ехе[/QUOTE]Удалите их вручную
И обновляйте систему как положено