Помогите! acleaner.exe, 01.exe, (ghdrive32.exe)

Printable View

06.05.2011, 19:01
Zeereal

Помогите! acleaner.exe, 01.exe, (ghdrive32.exe)

Здравствуйте. Недавно мне помогли очиститься от гадов в этой теме:
[url]http://virusinfo.info/showthread.php?p=784944[/url]
Только что переустановил систему, поставил нужные проги и опять понял что все начинается. Ошибки explorer.exe, drwtsn32.exe, висит в процессах acleaner.exe, 24.tmp, 46.tmp, в system32 создался файл 01.ехе. Это начальная стадия, поэтому чтобы не запускать, я уже сделал логи и жду ваших ответов! (+ появилась папка в Сетевом окружениее "SharedDocs на RAYA (Microsof-dd0dd9)", которой никогда не наблюдал.
Надеюсь на помощь, ребята. Заранее спасибо.
06.05.2011, 19:13
Nikkollo

Здравствуйте.

Обновите базы AVZ.
Если базы не обновляются через меню Файл, скачайте архив баз [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.

Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\GoRozZo\Application Data\Dnkskv.exe','');
QuarantineFile('C:\Documents and Settings\GoRozZo\Application Data\5D.tmp','');
DeleteFile('C:\Documents and Settings\GoRozZo\Application Data\5D.tmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced HTTPL Enable');
DeleteFile('C:\Documents and Settings\GoRozZo\Application Data\Dnkskv.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Dnkskv');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
BC_ImportAll;
ExecuteWizard('SCU', 2, 2, true);
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Повторите лог virusinfo_syscheck.zip и лог HijackThis и приложите в теме.
06.05.2011, 19:19
Zeereal

Готово. Карантин отправил, новый логи прикрепил.
(Malwarebytes' Anti-Malware уже установил, если потребуется)
06.05.2011, 19:33
Nikkollo

Пофиксите в HijackThis:
[CODE]
R3 - URLSearchHook: (no name) - - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
[/CODE]

Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\facemoods.com\facemoods\1.4.17.7\facemoodsTlbr.dll','');
QuarantineFile('C:\Program Files\facemoods.com\facemoods\1.4.17.7\bh\facemoods.dll','');
QuarantineFile('C:\WINDOWS\system32\11.exe','');
DeleteFile('C:\WINDOWS\system32\11.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Повторите лог virusinfo_syscheck.zip и приложите в теме.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE='Zeereal;788093'](Malwarebytes' Anti-Malware уже установил, если потребуется)[/QUOTE]
Ну раз уж установили и есть время и не лень, то сделайте лог:
[url]http://virusinfo.info/showthread.php?t=53070[/url]
06.05.2011, 20:15
Zeereal

Все сделано. Ждем дальнейших действий =)
Есть куча вопросов, но это в конец, на закусочку;)
06.05.2011, 21:22
Nikkollo

Установите все обновления безопасности, вышедшие после Service Pack 3:
[url]http://windowsupdate.microsoft.com/[/url]

Выполните скрипт в AVZ отсюда:
[url]http://df.ru/~kad/ScanVuln.txt[/url]
Файл avz_log.txt из папки AVZ\LOG приложите в теме.

Пройдите по всем ссылкам ([url]http://.[/url]..) в avz_log.txt и установите указанные там обновления.
Выполните еще раз скрипт в [url]http://df.ru/~kad/ScanVuln.txt[/url] и убедитесь, что обновления установились.

Удалите в МВАМ:
[CODE]Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Trojan.Agent) -> Value: Taskman -> No action taken.

Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.AutoRun.Gen) -> Bad: (c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe) Good: () -> No action taken.

Заражённые папки:
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.

Заражённые файлы:
c:\documents and settings\GoRozZo\application data\21.tmp (Backdoor.AXE.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\24.tmp (Backdoor.AXE.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\45.tmp (Backdoor.AXE.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\46.tmp (Backdoor.AXE.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\5C.tmp (Backdoor.AXE.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\7A.tmp (Backdoor.AXE.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\7B.tmp (Backdoor.AXE.Gen) -> No action taken.
d:\assasins creed 2\assassins creed ii взломан\assassinscreed ii patch.exe (Trojan.Bancos) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe (Worm.AutoRun.Gen) -> No action taken.
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Worm.AutoRun.Gen) -> No action taken.
[/CODE]

Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\20.exe','');
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe','');
DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\acleaner.exe');
DeleteFile('C:\WINDOWS\system32\20.exe');
BC_ImportAll;
ExecuteWizard('SCU',2,3,true);
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите опять quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

Повторите лог virusinfo_syscheck.zip и приложите в теме.
06.05.2011, 22:42
Zeereal

Готово. Установил все обновления от майкрософта. логи выложил.
06.05.2011, 23:05
Nikkollo

Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\GoRozZo\Application Data\2.tmp','');
DeleteFile('C:\Documents and Settings\GoRozZo\Application Data\2.tmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced HTTPL Enable');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".

На время лечения воздержитесь от посещения сомнительных сайтов.

Повторите лог virusinfo_syscheck.zip и приложите в теме.
06.05.2011, 23:19
Zeereal

Готово. В автозагрузке непонятные файлы + иероглифы. После перезагрузки компьютера они загружаются и выдают ошибку. Скрин в студии!

PS: Всю жизнь пользовался свзкой NOD32 & Outpost Firewall Pro. Нормальная вообще связка? И можно ли пока обойтись без таких программ, посещая только проверенные сайты и работая с документами?
07.05.2011, 00:07
Nikkollo

Теперь подозрительного не обнаружил.
Что с проблемой?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Прошу выполнить эту процедуру и загрузить там получившийся файл:
[url]http://virusinfo.info/showthread.php?t=3519[/url]
Информацию о загрузке приложите здесь.
07.05.2011, 04:40
Zeereal

Амм, ну незнаю, я перезагружаю компьютер и вылазят куча ошибок (вирусных), в автозагрузке висит пару вирусов, и появляются процессы типо 5d, 41.exe и тп. Долечите меня до конца, доктор!:)
Новые логи прикрепил
07.05.2011, 11:26
polword

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
F3 - REG:win.ini: load=?
F3 - REG:win.ini: run=?
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\GoRozZo\Application Data\14.tmp','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced HTTPL Enable');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
- Сделайте лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
07.05.2011, 17:52
Zeereal

Вложений: 1

Сделано. Пачка новых зараз в МБАМЕ =(
07.05.2011, 19:05
Nikkollo

Удалите в МВАМ:
[CODE]Заражённые параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Advanced HTTPL Enable (Trojan.Agent) -> Value: Advanced HTTPL Enable -> No action taken.

Заражённые файлы:
c:\documents and settings\GoRozZo\application data\1.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\13.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\14.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\1A.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\1B.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\28.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\29.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\2A.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\30.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\C2.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\GoRozZo\application data\C3.tmp (Trojan.Agent.Gen) -> No action taken.
c:\documents and settings\gorozzo\application data\dnkskv.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\GoRozZo\local settings\Temp\Rar$EX00.735\Keygen\fff-aysabtu.exe (Trojan.Dropper) -> No action taken.
c:\documents and settings\GoRozZo\local settings\Temp\Rar$EX01.485\Keygen\fff-aysabtu.exe (Trojan.Dropper) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\NFALEDG1\dci[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\GoRozZo\application data\31.tmp (Trojan.Agent) -> No action taken.[/CODE]

Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Java\jre6\bin\npjpi160_25.dll','');
QuarantineFile('C:\Program Files\Java\jre6\bin\ssv.dll','');
QuarantineFile('C:\WINDOWS\system32\javacpl.cpl','');
QuarantineFile('C:\Program Files\RivaTuner\RivaTuner.exe','');
QuarantineFile('C:\Program Files\Java\jre6\bin\jqs.exe','');
QuarantineFile('C:\Program Files\Bonjour\mDNSResponder.exe','');
QuarantineFile('c:\program files\java\jre6\bin\jqs.exe','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы "Прислать запрошенный карантин".
07.05.2011, 19:20
Zeereal

Вложений: 2

Есть..
07.05.2011, 22:23
thyrex

Установите все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\Documents and Settings\GoRozZo\Application Data\Dnkskv.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Dnkskv');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи
08.05.2011, 00:37
Zeereal

Есть! :clapping:
08.05.2011, 02:02
thyrex

Проблема решена?
08.05.2011, 04:04
Zeereal

aww.. тяжело сказать, возможно да.. пока проявлений не вижу.. вообщем, в любом случае, если чтото возникнет - я сразу опишу.. пока живем так, файрвол и антивирь не ставлю. Но есть пару очень важных вопросов для меня:
1) Как определить, в каком файле сидит эта зараза? Просто я переустановил винду и поставил те проги, которые всегда ставлю (проги не форматировал, только диск Ц). НОД32 ничего не нашел, др.вэб тоже.
2) В сетевом окружении висит эта папка, которую я никогда не видел. Ой не нравится она мне. (скрин прилепил set.jpg)
08.05.2011, 13:52
thyrex

[QUOTE='Zeereal;788434']2) В сетевом окружении висит эта папка, которую я никогда не видел. Ой не нравится она мне. (скрин прилепил set.jpg)[/QUOTE]Это папка Общие документы.
08.05.2011, 19:40
Zeereal

Разобрался, с оптикой сделали локальную сеть.

[U]Самый главный для меня вопрос.[/U] Может не по теме, но надеюсь на вашу помощь. Вообщем недели две назад у меня была задержка в онлайн игре 50 мс (что идеально, был на модеме 1мбит). Потом поставили мне оптику (10 мбит), пинг скачнул до 150-200 мс днем, что НЕРЕАЛЬНО (изза чего кстати винду и переинсталил). Писал в техподдержку создателям - перепробовали все варианты, не помогло, но определили потерю второго пакета при трасировке. Направили на провайдера. Я с ними общался, они сказали изменений небыло, они ничего не блокируют, при трассировке потеря пакета это нормально (практикуется) и что дело либо в моем компе либо в разработчиках.
Все способы перепробовал, в реестр обязательно добавил TckAckFrequency + TCPNoDelay [1], винду переустановил, выключил все службы\файрволы - при трасировки любого адресса теряется второй пакет. Хочу у вас поинтересоваться, в этом ли дело повышения моего пинга, ибо ночью у меня пинг бывает нормальный, стабильный 50 мс. Днем же он не ниже 100-150. Скрин трасировки прилепил. И может есть варианты как мне решить эту проблему. Спасибо заранее.
09.05.2011, 20:45
Zeereal

Никто не подскажет? Нид хелп гайс:)
10.05.2011, 20:45
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]54[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\gorozzo\\application data\\dnkskv.exe - [B]Backdoor.Win32.Ruskill.z[/B] ( DrWEB: Trojan.Packed.21626, BitDefender: Trojan.Generic.KD.212941, NOD32: Win32/Dorkbot.A worm, AVAST4: Win32:Downloader-GWU [Trj] )[*] c:\\documents and settings\\gorozzo\\application data\\14.tmp - [B]Trojan.Win32.Powp.pit[/B] ( DrWEB: Trojan.Inject.56813, BitDefender: Trojan.Generic.5919977, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\gorozzo\\application data\\2.tmp - [B]Trojan.Win32.Powp.pit[/B] ( DrWEB: Trojan.Inject.56813, BitDefender: Trojan.Generic.5919977, AVAST4: Win32:Malware-gen )[*] c:\\documents and settings\\gorozzo\\application data\\5d.tmp - [B]Trojan.Win32.Powp.pit[/B] ( DrWEB: Trojan.Inject.56813, BitDefender: Trojan.Generic.5919977, AVAST4: Win32:Malware-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1413\\syitm.exe - [B]Trojan.Win32.Powp.piv[/B] ( DrWEB: Trojan.Inject.56813, BitDefender: Trojan.Generic.6976694, AVAST4: Win32:Ruskill-BM [Trj] )[*] c:\\windows\\system32\\11.exe - [B]Backdoor.Win32.Floder.gt[/B] ( DrWEB: Trojan.Packed.21626, BitDefender: Trojan.Generic.KD.212941, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\system32\\20.exe - [B]Backdoor.Win32.Floder.gt[/B] ( DrWEB: Trojan.Packed.21626, BitDefender: Trojan.Generic.KD.212941, NOD32: Win32/AutoRun.KS worm, AVAST4: Win32:Malware-gen )[/LIST][/LIST]