Опять ltzqai.exe, msvmiode.exe, oekx.exe

Printable View

Показывать 40 сообщений этой темы на одной странице

10.11.2010, 16:47
ole g

Опять ltzqai.exe, msvmiode.exe, oekx.exe

Не могу извести указанные трояны - перепробовал все антивирусы, все без толку. Файлы программами находятся, удаляются, но после перезагрузки появляются снова.

Заниматься проблемой начал после того, как внезапно обнаружилась неприятность - через пару секунд после загрузки Windows рабочий стол стал вываливаться в черный экран с мигающей лампочкой питания монитора, как при проблемах с видеокартой. При запуске в безопасном режиме все работает, собственно в нем и проводились все антивирусные действия.

Указанная проблема ни разу после пролечивания не решилась.
10.11.2010, 17:59
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-5396712929-3480602652-659059580-9908\winmap.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4962782565-5577275224-167854618-6570\syscr.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6464965755-6916261800-296635572-0108\winmap.exe','');
QuarantineFile('C:\Documents and Settings\and\Application Data\ltzqai.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-9657992421-5972527371-600895257-0090\syscr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-5396712929-3480602652-659059580-9908\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4962782565-5577275224-167854618-6570\syscr.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6464965755-6916261800-296635572-0108\winmap.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-9657992421-5972527371-600895257-0090\syscr.exe');
QuarantineFile('C:\Documents and Settings\and\Application Data\oekx.exe','');
QuarantineFile('C:\DOCUME~1\and\LOCALS~1\Temp\0466303.exe','');
DeleteFile('C:\DOCUME~1\and\LOCALS~1\Temp\0466303.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PCHDPlayer');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Shell');
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=91445[/url]).
Сделайте новые логи.
10.11.2010, 19:18
ole g

Новые логи.
11.11.2010, 00:12
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\dn.exe','');
QuarantineFile('C:\WINDOWS\system32\84.exe','');
QuarantineFile('C:\WINDOWS\system32\62.exe','');
QuarantineFile('C:\WINDOWS\system32\35.exe','');
QuarantineFile('C:\WINDOWS\system32\25.exe','');
QuarantineFile('C:\WINDOWS\system32\24.exe','');
QuarantineFile('C:\WINDOWS\system32\23.exe','');
QuarantineFile('C:\WINDOWS\system32\21.exe','');
QuarantineFile('C:\WINDOWS\system32\18.exe','');
QuarantineFile('C:\WINDOWS\system32\15.exe','');
QuarantineFile('C:\WINDOWS\system32\13.exe','');
QuarantineFile('C:\WINDOWS\system32\01.exe','');
QuarantineFile('C:\WINDOWS\winlogin.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\system32\dn.exe','');
QuarantineFile('C:\WINDOWS\TEMP\WinDefender.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\cdaudio.sys','');
QuarantineFile('C:\Documents and Settings\and\Application Data\oekx.exe,C:\RECYCLER\S-1-5-21-7456921868-3999655110-903948826-1758\winmap.exe,explorer.exe,C:\Documents and Settings\and\Application Data\ltzqai.exe','');
QuarantineFile('C:\Documents and Settings\and\Application Data\oekx.exe','');
QuarantineFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\28347.exe','');
DeleteFile('C:\DOCUME~1\9335~1\LOCALS~1\Temp\28347.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe,C:\RECYCLER\S-1-5-21-7456921868-3999655110-903948826-1758\winmap.exe,explorer.exe,C:\Documents and Settings\and\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS\TEMP\WinDefender.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WinDefender');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','WinDefender');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','WinDefender');
DeleteFile('C:\WINDOWS\system32\dn.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\winlogin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows Data Serivce');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Windows');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Terminal Server\Install\Software\Microsoft\Windows\CurrentVersion\Run','Windows');
DeleteFile('C:\WINDOWS\system32\01.exe');
DeleteFile('C:\WINDOWS\system32\13.exe');
DeleteFile('C:\WINDOWS\system32\15.exe');
DeleteFile('C:\WINDOWS\system32\18.exe');
DeleteFile('C:\WINDOWS\system32\21.exe');
DeleteFile('C:\WINDOWS\system32\23.exe');
DeleteFile('C:\WINDOWS\system32\24.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('C:\WINDOWS\system32\35.exe');
DeleteFile('C:\WINDOWS\system32\62.exe');
DeleteFile('C:\WINDOWS\system32\84.exe');
DeleteFile('C:\WINDOWS\dn.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Ваша проблема в этом
[QUOTE]Platform: Windows XP [B]SP2[/B] (WinNT 5.01.2600)
MSIE: Internet Explorer [B]v7.00[/B] (7.00.5730.0013)[/QUOTE]

[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Установите [url="http://get.adobe.com/reader/otherversions/"]Acrobat Reader 9.4[/url] или удалите старый

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
11.11.2010, 08:49
ole g

Карантин выслал, новые логи и сканирование МВАМ присылать после установки всех обновлений?
11.11.2010, 11:41
ole g

В общем, обновил все - кроме акробата, так как сделать это не позволил безопасный режим.

Вот новые логи и лог МВАМ.

Исходная проблема не исчезла.
11.11.2010, 14:14
Bratez

Удалите все найденное в MBAM.
Пофиксите в HijackThis:
[code]
O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\DOCUME~1\and\LOCALS~1\Temp\9696.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [12CFG214-K641-12SF-N85P] C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\DOCUME~1\and\LOCALS~1\Temp\724294.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\ltzqai.exe');
DeleteFile('C:\Documents and Settings\and\Application Data\oekx.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4671697783-6289505091-726542060-6830\winmap.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5894490302-2567243195-033080754-3250\syscr.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\oekx.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-4942447682-6123350164-205353737-3669\syscr.exe');
DeleteFile('C:\WINDOWS\system32\00.exe');
DeleteFile('C:\WINDOWS\system32\05.exe');
DeleteFile('C:\WINDOWS\system32\30.exe');
DeleteFile('C:\WINDOWS\system32\63.exe');
DeleteFile('C:\WINDOWS\system32\67.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Creative Service for CDROM Access');
BC_DeleteSvc('NrConnmags');
BC_DeleteSvc('17040611');
BC_DeleteSvc('17040612');
BC_DeleteSvc('setup_9.0.0.722_09.11.2010_16-13drv');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи.
11.11.2010, 20:44
ole g

[QUOTE]
Пофиксите в HijackThis:

Код:
O4 - HKLM\..\Run: [Advanced DHTML Enable] C:\DOCUME~1\and\LOCALS~1\Temp\9696.exe
O4 - HKLM\..\Run: [MSODESNV7] C:\WINDOWS\system32\msvmiode.exe
O4 - HKCU\..\Run: [12CFG214-K641-12SF-N85P] C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe
[/QUOTE]

Таких строк в логе нет, лог прилагаю.

Скрипт выполнять не стал, до выяснения ситуации.

Вот.
12.11.2010, 03:26
Bratez

Хорошо, выполняйте скрипт.
12.11.2010, 10:01
ole g

Выполнил, вот новые логи.
12.11.2010, 10:38
polword

- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"][COLOR="Blue"][B]Combofix[/B][/COLOR][/URL]
12.11.2010, 11:08
ole g

Выполнил.
12.11.2010, 12:48
polword

- Сделайте повторный лог [COLOR="Blue"]virusinfo_syscheck.zip[/COLOR];
12.11.2010, 15:43
ole g

Вот.
12.11.2010, 16:20
polword

Отключите [B][COLOR="Red"] Системное восстановление!!![/COLOR][/B][URL="http://avptool.ru/ru/AVPTool_helpdesk_sysrestore.htm"] как- посмотреть можно тут[/URL]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
12.11.2010, 17:10
ole g

Все сделал, все обновления Windows установил. Остались три уязвимости, связанные со сторонними программными продуктами, удалить которые и заменить новыми версиями в безопасном режиме не получается, а в обычном система по-прежнему не загружается.

Установите Adobe Reader 9.4 или удалите старый.
[URL]http://get.adobe.com/reader/otherversions[/URL]
Множественные уязвимости в Sun Java JDK и JRE. Деинсталлируйте старую версию и установите новую:
[URL]http://www.java.com/ru/download/manual.jsp[/URL]
QuickTime 7.0.4 устарел. Удалите его или установите новый
[URL]http://www.apple.com/quicktime/download[/URL]
12.11.2010, 17:42
ole g

Новые логи.
12.11.2010, 17:49
Bratez

Только было чисто - и опять все на месте!
Может, вы со съемных носителей их заносите? Флэшку пользуете?
12.11.2010, 17:52
ole g

Ничего не пользую!

Максимально прекратил использование по назначению, только с вирусами третий день борюсь...
12.11.2010, 18:01
Bratez

Сделайте полное сканирование с помощью [URL="http://www.freedrweb.com/livecd/"]DrWeb Live CD[/URL], это довольно долго, но он должен справиться.

Показывать 40 сообщений этой темы на одной странице