Никак не избавиться от вирусов

Printable View

20.06.2007, 19:58
Alfiya

Никак не избавиться от вирусов

В очередной раз прошу вас о помощи. Мой программист пока не смог удалить вирусы. Через флэшку заразила комп брата, пришлось переустанавливать систему. У меня пока все работает, но очень плохо.
В автозапуске эти вирусы называются так: pkeusrq, ngpycxm, woso. Это какие-то новые вирусы что ли? Ни одна антивирусная программа их не видит. Аваст что-то там находил, но никак не мог их удалить. Об этом честно писал. Буду рада помощи.

Спасибо.
20.06.2007, 20:21
drongo

А у вас есть личный програмист ?
2 пункт правил пробовали делать ?
Давайте собирать зоопарк :
AVZ Файл - Выполнить скрипт --Скопировать ниже написанный скрипт-- Запустить.
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('E:\WINDOWS\system32\nwizqjsj.exe','');
QuarantineFile('E:\WINDOWS\system32\mosou.exe','');
QuarantineFile('E:\WINDOWS\system32\nwizwmsjs.exe','');
QuarantineFile('E:\WINDOWS\system32\nwiztlbu.exe','');
QuarantineFile('E:\WINDOWS\system32\mydata.exe','');
QuarantineFile('E:\WINDOWS\system32\Ravasktao.exe','');
QuarantineFile('E:\WINDOWS\system32\nwizdh.exe','');
QuarantineFile('E:\WINDOWS\system32\dllhost32.exe','');
QuarantineFile('E:\WINDOWS\system32\nwizwmgjs.exe','');
QuarantineFile('E:\WINDOWS\system32\ztinetzt.exe','');
QuarantineFile('E:\WINDOWS\system32\ztinet.exe','');
QuarantineFile('E:\WINDOWS\system32\nwizzhuxians.exe','');
QuarantineFile('E:\WINDOWS\system32\wscsv.dll','');
QuarantineFile('E:\WINDOWS\system32\EBSPI.dll','');
QuarantineFile('E:\WINDOWS\system32\772qso.dll','');
QuarantineFile('E:\WINDOWS\system32\663qso.dll','');
QuarantineFile('E:\WINDOWS\system32\19.dll','');
BC_ImportQuarantineList;
BC_LogFile(GetAVZDirectory + 'boot_copy.log');
BC_Activate;
RebootWindows(true);
end.
[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=10522[/url]........
[B]boot_copy.log[/B]- из папки AVZ прикрепить к вашему следующему ответу
20.06.2007, 21:18
Alfiya

У меня нет личного программиста. Просто знакомый этим занимается и работает в моей фирме системным администратором.
2-й пункт не делала, т.к. у брата те же вирусы сидят, я его через флэшку заразила. Dr Web, Nod32, Kasperskiy Avast эти вирусы не обнаруживают.

Файл уже пол часа не могу закачать.
20.06.2007, 21:37
drongo

чем быстрее пришлёте, тем быстрее будут обнаруживать ;)
А сколько весит архив ?
20.06.2007, 21:38
Alfiya

Мне не то, что архив не закачать, даже файл в 2 кб не вкладывается. Ничего не понимаю. Архив весит 1,5 мб.
20.06.2007, 21:59
Alfiya

Сил нет больше пытаться закачать. Завтра утром попробую еще раз.
20.06.2007, 22:03
drongo

По ссылке закачать : [url]http://virusinfo.info/upload_virus.php?tid=10522[/url]
20.06.2007, 22:07
AndreyKa

Архив с карантином можно закачивать с другого компьютера.
20.06.2007, 22:14
Alfiya

Я закачиваю, вроде закачка идет, и когда синяя полоска доползает почти до конца, на этом все заканчивается. Не понимаю, в чем причина. Раньше нормально все закачивалось. Сейчас еще раз попробую.
20.06.2007, 22:20
Alfiya

Я бы с радостью закачала с другого компа. Просто я сейчас на даче и тут никого нет. Флэшку уже никому не хочу свою давать, а то еще кого-нибудь заражу. Да и вообще теперь не знаю, пользоваться флэшкой или нет. Через нее столько заразы обычно приношу. Попробую отослать файл подруге и через нее закачать.
21.06.2007, 09:58
Alfiya

Файл закачала
21.06.2007, 09:59
Alfiya

Высылаю лог
21.06.2007, 14:43
Muzzle

отлично,всё что хотели попало в карантин :) счас проверим что же в нём...
21.06.2007, 15:05
Muzzle

у вас там целый рассадник ;)
Trojan.Win32.Qhost.lh
Trojan-PSW.Win32.OnLineGames.dz
Trojan-PSW.Win32.OnLineGames.dq
not-a-virus:Tool.Win32.TPE.k
Trojan-PSW.Win32.OnLineGames.yg
и различные модификации данных троянов.
выполните скрипт в AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('E:\WINDOWS\system32\drivers\svchost.exe','');
BC_ImportALL;
BC_DeleteFile('E:\WINDOWS\system32\663qso.dll');
BC_DeleteFile('E:\WINDOWS\system32\772qso.dll');
BC_DeleteFile('E:\WINDOWS\system32\wscsv.dll');
BC_DeleteFile('E:\WINDOWS\system32\18.dll');
BC_DeleteFile('E:\WINDOWS\system32\19.dll');
BC_DeleteFile('E:\WINDOWS\system32\Ravasktao.exe');
BC_DeleteFile('E:\WINDOWS\system32\dllhost32.exe');
BC_DeleteFile('E:\WINDOWS\system32\nwizzhuxians.exe');
BC_DeleteFile('E:\WINDOWS\system32\ztinetzt.exe');
BC_DeleteFile('E:\WINDOWS\system32\ztinet.exe');
BC_DeleteFile('E:\WINDOWS\system32\nwizwmgjs.exe');
BC_DeleteFile('E:\WINDOWS\system32\nwizdh.exe');
BC_DeleteFile('E:\WINDOWS\system32\mydata.exe');
BC_DeleteFile('E:\WINDOWS\system32\nwiztlbu.exe');
BC_DeleteFile('E:\WINDOWS\system32\nwizwmsjs.exe');
BC_DeleteFile('E:\WINDOWS\system32\mosou.exe');
BC_DeleteFile('E:\WINDOWS\system32\nwizqjsj.exe');
BC_DeleteFile('E:\WINDOWS\system32\pkeusvq.exe');
BC_DeleteFile('E:\WINDOWS\upxdnd.exe');
BC_DeleteFile('E:\WINDOWS\system32\ngpycxm.exe');
BC_LogFile(GetAVZDirectory + 'boot_del.log');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Если в карантин попадёт файл, пришлите его по правилам приложение 3.
повторите логи и прикрепите файл [B]boot_del.log[/B] из папки AVZ к вашему следующему сообщению.
21.06.2007, 18:20
Alfiya

Все сделала
21.06.2007, 18:36
Muzzle

а если такой скриптик,ибо кто-то всё вернул на свои места после удачного удаления...
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('E:\WINDOWS\system32\nwizAsktao.exe','');
QuarantineFile('E:\WINDOWS\system32\mh100.exe','');
QuarantineFile('E:\WINDOWS\system32\meex.com','');
QuarantineFile('E:\WINDOWS\system32\EBSPI.dll','');
QuarantineFile('e:\windows\system32\wuauserv.dll','');
DeleteFile('E:\WINDOWS\system32\drivers\svchost.exe');
DeleteFile('E:\DOCUME~1\F792~1\LOCALS~1\Temp\Rav.exe');
DeleteFile('E:\WINDOWS\system32\663qso.dll');
DeleteFile('E:\WINDOWS\system32\772qso.dll');
DeleteFile('E:\WINDOWS\system32\wscsv.dll');
DeleteFile('E:\WINDOWS\system32\18.dll');
DeleteFile('E:\WINDOWS\system32\19.dll');
DeleteFile('E:\WINDOWS\system32\Ravasktao.exe');
DeleteFile('E:\WINDOWS\system32\dllhost32.exe');
DeleteFile('E:\WINDOWS\system32\nwizzhuxians.exe');
DeleteFile('E:\WINDOWS\system32\ztinetzt.exe');
DeleteFile('E:\WINDOWS\system32\ztinet.exe');
DeleteFile('E:\WINDOWS\system32\nwizwmgjs.exe');
DeleteFile('E:\WINDOWS\system32\nwizdh.exe');
DeleteFile('E:\WINDOWS\system32\mydata.exe');
DeleteFile('E:\WINDOWS\system32\nwiztlbu.exe');
DeleteFile('E:\WINDOWS\system32\nwizwmsjs.exe');
DeleteFile('E:\WINDOWS\system32\mosou.exe');
DeleteFile('E:\WINDOWS\system32\nwizqjsj.exe');
DeleteFile('E:\WINDOWS\system32\pkeusvq.exe');
DeleteFile('E:\WINDOWS\upxdnd.exe');
DeleteFile('E:\WINDOWS\system32\ngpycxm.exe');
BC_ImportALL;
BC_LogFile(GetAVZDirectory + 'boot_del.log');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
пришлите карантин по правилам и повторите логи,снова прикрепив файлик [B]boot_del.log[/B],не забудьте также лог [B]hijackthis.log[/B]

[COLOR="Blue"]svchost.exe[/COLOR] - инфицирован [URL="http://www.viruslist.com/ru/find?words=Backdoor.Win32.Delf.awy"]Backdoor.Win32.Delf.awy[/URL]
21.06.2007, 20:28
Alfiya

Все сделала
22.06.2007, 02:31
Muzzle

теперь такой скрипт

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('E:\Program Files\DrUpdate\drupdate.exe','');
QuarantineFile('E:\WINDOWS\MsIMMs32.exe','');
QuarantineFile('E:\WINDOWS\WSVBRS.exe','');
DeleteFile('E:\WINDOWS\TIMHost.exe');
DeleteFile('E:\WINDOWS\Kvsc3.exe');
DeleteFile('E:\WINDOWS\msccrt.exe');
DeleteFile('E:\WINDOWS\system32\msacn.dll');
DeleteFile('E:\WINDOWS\WSVBRS.exe');
DeleteFile('E:\WINDOWS\MsIMMs32.exe');
DeleteFile('E:\WINDOWS\system32\nwizAsktao.exe');
DeleteFile('E:\WINDOWS\system32\mh100.exe');
DeleteFile('E:\WINDOWS\system32\meex.com');
DeleteFile('E:\Program Files\DrUpdate\drupdate.exe');
BC_ImportALL;
BC_LogFile(GetAVZDirectory + 'boot_del.log');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
карантин прислать по правилам,новые логи сделать и прикрепить вместе с boot_del.log ;)
22.06.2007, 10:59
Alfiya

Вложений: 4

Все сделала
22.06.2007, 12:43
Bratez

Успех практически достигнут, оталось немного.

1. Откройте в AVZ Сервис - Менеджер Active Setup и удалите оттуда это:
E:\WINDOWS\system32\nwizzhuxians.exe
E:\WINDOWS\system32\ztinet.exe
E:\WINDOWS\system32\ztinetzt.exe
E:\WINDOWS\system32\nwizwmgjs.exe
E:\WINDOWS\system32\dllhost32.exe
E:\WINDOWS\system32\nwizdh.exe
E:\WINDOWS\system32\Ravasktao.exe
E:\WINDOWS\system32\mydata.exe
E:\WINDOWS\system32\nwiztlbu.exe
E:\WINDOWS\system32\nwizwmsjs.exe
E:\WINDOWS\system32\mosou.exe
E:\WINDOWS\system32\nwizqjsj.exe

2. Пришлите файл E:\WINDOWS\system32\EBSPI.dll согласно приложению 2 правил.
22.06.2007, 13:41
Alfiya

Все сделала. Файл весит мало. Можно его прикрепить прямо в сообщение?
22.06.2007, 13:53
Bratez

[QUOTE]Можно его прикрепить прямо в сообщение?[/QUOTE]
Нельзя, уберите! Тем более, что я его уже проверил.
Это троянская программа [B]Trojan-PSW.Win32.OnLineGames.bs [/B](по Касперскому).
Сейчас напишу лечение.
22.06.2007, 14:01
Bratez

1. Скачайте программу [URL="http://www.tacktech.com/pub/winsockfix/WinsockFix.zip"]WinSocksFix[/URL].

2. Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(True);
DelSPIByFileName('EBSPI.dll',true);
ExecuteRepair(14);
BC_DeleteFile('E:\WINDOWS\system32\EBSPI.dll');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

3. Если нарушится связь с интернетом, воспользуйтесь скачанной программой.

4. Сделайте новые логи.
22.06.2007, 14:19
Alfiya

Не нашла там такую программу.
22.06.2007, 14:22
Bratez

Где - там? Это прямая ссылка на скачивание файла (zip- архив). Сохраните его и распакуйте.
22.06.2007, 14:27
Alfiya

У меня не идет как зип файл, просто как страница.
22.06.2007, 14:36
PavelA

[url]http://www.softpedia.com/progDownload/WinSockFix-Download-15337.html[/url]
- попробуйте здесь.
22.06.2007, 14:39
Bratez

Оччень странно...

Ну а если открыть эту страницу:
[url]http://www.tacktech.com/display.cfm?ttid=257[/url]
и там нажать ссылку, где написано
[B] 1.) Download WinsockFix.zip. [/B]

А еще можно нажимать ссылку правой кнопкой и выбирать
"Сохранить объект как".
22.06.2007, 17:35
Alfiya

Вложений: 3

Все сделала. Что-то в этот раз дольше лечится. Неужели все так серьезно было?
22.06.2007, 17:57
Bratez

1. В ActiveSetup пропустили E:\WINDOWS\system32\nwizzhuxians.exe.

2. EBSPI.dll удалился, а ошибка SPI осталась почему-то. Интернет нормально работает?
22.06.2007, 18:26
Alfiya

Удалила сейчас. Интернет заработал только с вашей программой. А еще косяк один есть. Когда кликаю на мой компьютер/диск Е, то диск Е не открывается, а появляется табличка для выбора программы. На диске С такого нет.
22.06.2007, 18:38
Bratez

Выполните скрипт:
[code]
begin
AutoFixSPI;
RebootWindows(true);
end.[/code]
Насчет этого:
[QUOTE]Когда кликаю на мой компьютер/диск Е, то диск Е не открывается, а появляется табличка для выбора программы.[/QUOTE]
Почитайте и сделайте описанное тут:
[url]http://virusinfo.info/showthread.php?t=8877[/url]
Должно помочь.

Ну и напоследок еще раз два последних лога (п.10-13 правил).
23.06.2007, 09:24
Alfiya

Вложений: 2

Dr. Web я давно пыталась удалить, и он не удалился полностью. Постоянно вылезают ошибки. сейчас пользуюсь авастом.
23.06.2007, 10:37
drongo

1.Вам будет легче отключить временно аваст чтобы он не грузился при старте виндоуса. Поставить заново др веб- а затем удалить стандартно др веб. Обычно помогает ;) Если нет, то можно воспользоваться инструкцией :[url]http://wiki.drweb.com/index.php/%D0%9E%D1%87%D0%B8%D1%81%D1%82%D0%BA%D0%B0_%D0%BC%D0%B0%D1%88%D0%B8%D0%BD%D1%8B_%D0%BE%D1%82_%D0%BD%D0%B5%D0%BA%D0%BE%D1%80%D1%80%D0%B5%D0%BA%D1%82%D0%BD%D0%BE_%D1%83%D0%B4%D0%B0%D0%BB%D0%B5%D0%BD%D0%BD%D0%BE%D0%B3%D0%BE_Dr.Web%C2%AE[/url]

2. если в игрушки уже не играете(по моему демеруги ), то нужно удалить:
( можно отложенным удалением через AVZ )

c:\windows\System32\Drivers\prodrv02.SYS
c:\windows\System32\Drivers\prodrv01.SYS
3.Пару сервисов виндоус осталось, по моему никому не нужных кроме зловредов ;)
например :
(Win32DDS)
(WinXPDHCPsvc)

4. Почему то у вас прокси поставлен на локалхост- это так надо ? обычно резалки рекламы такой метод используют, у вас такого не заметил.
23.06.2007, 20:05
Alfiya

Спасибо большое. На счет локалхост я все пытаюсь настроить экономию трафика скайлинка по программам tonnel/profomitron/handycache. Пока не очень получается.

В игрушки не играю. Лучше удалить тогда?

Никому не нужные серверы удалить лучше?
24.06.2007, 00:26
drongo

[quote=Alfiya;117781]Спасибо большое. На счет локалхост я все пытаюсь настроить экономию трафика скайлинка по программам tonnel/profomitron/handycache. Пока не очень получается.

В игрушки не играю. Лучше удалить тогда?[/quote]
Да

[code]
Никому не нужные серверы удалить лучше?[/code]
Нет, лучше остановить службы и поставить в disabled , чтобы не запускались. Тогда при условии если станут вдруг нужны- можно их включить.

Чтобы уменьшить шанс заражения советую на будущее :
1) Работать за компьютером с правами ограниченного пользователя.
2) Пользоваться для хождения по интернету альтернативным браузером с отключёнными скриптами по умолчанию (Firefox и Opera это позволяют делать в отличии от IE 7 ,6....)
3) Прочитать электронную книгу "Безопасный Интернет". Универсальная защита для Windows ME - Vista": [url]http://security-advisory.newmail.ru[/url]

Вы можете нас отблагодарить, оказав нам помощь в сборе базы безопасных файлов : [url]http://virusinfo.info/showthread.php?t=3519[/url]
Мы будем Вам очень благодарны!

Удачи!
22.02.2009, 01:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]96[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\\windows\\msimms32.exe - [B]Trojan-GameThief.Win32.OnLineGames.xgq[/B] (DrWEB: Trojan.PWS.Wsgame.3931)[*] e:\\windows\\system32\\dllhost32.exe - [B]Trojan-GameThief.Win32.OnLineGames.yg[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\drivers\\svchost.exe - [B]Backdoor.Win32.Delf.awy[/B] (DrWEB: Trojan.Sniff)[*] e:\\windows\\system32\\ebspi.dll - [B]Trojan-GameThief.Win32.OnLineGames.ahsq[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\meex.com - [B]Trojan-GameThief.Win32.OnLineGames.uw[/B] (DrWEB: Win32.HLLW.Autoruner)[*] e:\\windows\\system32\\mh100.exe - [B]Trojan-PSW.Win32.OnLineGames.rzif[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\mosou.exe - [B]Trojan-GameThief.Win32.OnLineGames.quk[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\mydata.exe - [B]Trojan-GameThief.Win32.OnLineGames.quk[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwizasktao.exe - [B]Trojan-Spy.Win32.Iespy.au[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwizdh.exe - [B]Trojan-GameThief.Win32.OnLineGames.sy[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwizqjsj.exe - [B]Trojan-GameThief.Win32.Nilage.bki[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwiztlbu.exe - [B]Trojan-GameThief.Win32.Nilage.bkj[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwizwmgjs.exe - [B]Trojan-GameThief.Win32.OnLineGames.sc[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwizwmsjs.exe - [B]Trojan-GameThief.Win32.OnLineGames.sl[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\nwizzhuxians.exe - [B]Trojan-GameThief.Win32.OnLineGames.sge[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\ravasktao.exe - [B]Trojan-GameThief.Win32.OnLineGames.scp[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\ravasktao.exe - [B]Trojan-GameThief.Win32.OnLineGames.sl[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\wscsv.dll - [B]Trojan-GameThief.Win32.OnLineGames.tn[/B] (DrWEB: Trojan.PWS.Lineage)[*] e:\\windows\\system32\\ztinet.exe - [B]Trojan-GameThief.Win32.Nilage.bjp[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\ztinetzt.exe - [B]Packed.Win32.Klone.h[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\ztinetzt.exe - [B]Trojan-GameThief.Win32.OnLineGames.yk[/B] (DrWEB: Trojan.PWS.Wsgame)[*] e:\\windows\\system32\\19.dll - [B]Trojan-GameThief.Win32.OnLineGames.dq[/B] (DrWEB: Trojan.PWS.Gamania.origin)[*] e:\\windows\\system32\\663qso.dll - [B]Trojan-GameThief.Win32.OnLineGames.dz[/B] (DrWEB: Trojan.PWS.Gamania)[*] e:\\windows\\system32\\772qso.dll - [B]Trojan.Win32.Qhost.lh[/B] (DrWEB: Trojan.PWS.Gamania)[*] e:\\windows\\wsvbrs.exe - [B]Trojan-GameThief.Win32.OnLineGames.ux[/B] (DrWEB: Trojan.PWS.Wsgame)[/LIST][/LIST]