Что-то наподобие ip6fw.sys

Касперский и [B][COLOR=black]CureIT![/COLOR][/B] периодическт находят и удаляют ip6fw.sys, но думаю дело не только в этом - проблемы начались раньше. Пользуюсь локальной сетью Инфолайна. Подхватил что-то при первом же тестовом подключении к интернету. Отформатировал диск и переустановил Винду, но всё равно что-то есть. Часто при работе с локалкой или в интернете происходит обновление Рабочего стола и обрыв соединения, при этом может отрубиться звуковуха. Комп глючит, всегда долго выключается и долго перегружается.

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ufdsvc.exe','');
QuarantineFile('C:\WINDOWS\system32\f137.dll','');
BC_ImportQuarantineList;
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.

Скачать winsockxpfix [url]http://www.winsockfix.nl/[/url]

Не до конца удаленный Касперский антивирус это тоже плохо.

[quote=PavelA;118381]Скачать winsockxpfix [URL]http://www.winsockfix.nl/[/URL]

Не до конца удаленный Касперский антивирус это тоже плохо.[/quote]

Скачал, но выполнять скрипт и winsockxpfix.exe буду только вечером (сейчас пишу с работы). Касперский антивирус у меня не удалён, просто старая версия. Ставил как-то Касперский АнтиХакер-может это вы его имели ввиду?

[QUOTE=John;118386] Касперский антивирус у меня не удалён, просто старая версия. Ставил как-то Касперский АнтиХакер-может это вы его имели ввиду?[/QUOTE]

В сервисах не видно сервиса проверочного от Касперского и в логах нет его перехватов. А только Avast! и что-то от Касперского.
Два активных антивируса бывает хуже чем один маленький вирус.
Выполните вот такой скрипт:

[CODE]begin
SetAVZGuardStatus(true);
DeleteService('AVPCCSNMP');
end.[/CODE]

[quote=PavelA;118391]В сервисах не видно сервиса проверочного от Касперского и в логах нет его перехватов. А только Avast! и что-то от Касперского.
Два активных антивируса бывает хуже чем один маленький вирус[/quote]
Сделаю... Просто я использую Аваст в качестве файервола, а Каспером проверяюсь. Когда стоял Антихакер, он мне в локалке практически не давал работать, постоянно детектировал атаки Лавсана. Аваст не так надоедает, и на работе он во всём офисе стоит, вроде себя оправдывает.

[QUOTE=John;118394]Сделаю... Просто я использую Аваст в качестве файервола, а Каспером проверяюсь. Когда стоял Антихакер, он мне в локалке практически не давал работать, постоянно детектировал атаки Лавсана. Аваст не так надоедает, и на работе он во всём офисе стоит, вроде себя оправдывает.[/QUOTE]

В таком режиме одобрям-с. Но все-таки куда девался сервис от антивируса Касперского? Либо версия очень старая. В KAV 5,6 klif.sys всегда присутствует в логах АВЗ.

[QUOTE]выполнять скрипт и winsockxpfix.exe буду только вечером [/QUOTE]
WinsockFix не запускайте, она понадобится позже.
Только скрипт и карантин пришлите.

Версия 3.5, но базы обновляются нормально от KAV5. Лень было искать новую в тот момент, а потом привык. Плюс изредка проверяюсь Авастом и раз в неделю CureIT.

winsockxpfix - только по нашей команде. Перед этим переписать/запомнить сетевые настройки. Эта утилита сбрасывает все в default.

[quote=Bratez;118405]WinsockFix не запускайте, она понадобится позже.[/quote]
Я понял, уже про такое читал в темах: "Скачали, а запускать вас никто не просил" :)

[quote=Bratez;118405]Только скрипт и карантин пришлите.[/quote]
Скрипт сделал, карантин отправил, только как-то получилось отправит без идентификации на форуме. Не знаю, получили или нет?

[quote=PavelA;118391]Выполните вот такой скрипт:

[code]begin
SetAVZGuard(true);
DeleteService('AVPCCSNMP');
end.[/code][/quote]
Не получается... Ошибка:Underclared identifier: 'SetAVZGuard' в позиции 2:13

Поправил скрипт, повторите.

f137.dll - [B]Trojan-Downloader.Win32.Agent.but[/B]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelSPIByFileName('f137.dll',true);
AutoFixSPI;
BC_DeleteFile('C:\WINDOWS\system32\f137.dll');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Если нарушится связь с интернетом, примените WinsockFix (перечитайте сообщение #10).

Сделайте новые логи.

[quote=Bratez;118490]f137.dll - [B]Trojan-Downloader.Win32.Agent.but[/B]
[/quote]
Да, я вчера скачал свежий CureIT. Он определил троян и удалил его. После этого интренет накрылся совсем. Нужно выполнять этот скрипт или что-то поменяется?[QUOTE]Выполните скрипт в AVZ:

Код:
beginSearchRootkit(true, true);SetAVZGuardStatus(True); DelSPIByFileName('f137.dll',true); AutoFixSPI; BC_DeleteFile('C:\WINDOWS\system32\f137.dll');BC_Activate;RebootWindows(true);end.
[/QUOTE]
Посмотрите логи

Можно запустить утилиту winsockxpfix, предварительно записав на бумажку сетевые настройки.

Выполните скрипт в AVZ:
[code]
begin
ExecuteRepair(14);
RebootWindows(true);
end.
[/code]
Интернет должен восстановиться, если нет, то.
:
[code]

begin
ExecuteRepair(15);
RebootWindows(true);
end.

[/code]

После лечения такое началось... Как в теме [URL]http://virusinfo.info/showthread.php?t=10619[/URL]
Окна не отображаются, в трэе ничего нет, ничего не копируется
[quote=PavelA;118556]Можно запустить утилиту winsockxpfix, предварительно записав на бумажку сетевые настройки.[/quote]
После этого вроде как полегчало. Проверился ещё раз [B]CureIT [/B]. Результат C:\WINDOWS\Temp\startdrv.exe инфицирован BackDoor.Bulknet - удален. Высылаю ещё раз логи и то, что AVZ отправил в карантин (один файл я сам добавил). Посмотрите, плз.
Файл карантина закачан: Файл сохранён как 070628_001039_virus_4682c43f6756a.zip

Похоже ещё один остался :
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ufdsvc.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=10645[/url]
P.S.О каком файле речь ? "Имя, сестра, скажи имя !"
P.P.s. експлорер надо заменить на оригинальный ;)

bpsacv22.exe
Новый карантин отправил.

[quote=drongo;118766]P.P.s. експлорер надо заменить на оригинальный ;)[/quote]
Тоже было дело, что антивирус нашёл, что iexplore.exe заражён и удалил его. Это всё дочка делала, она по-быстрому качнула экзешник, теперь так и стоит, а я не знаю, как его деинсталировать. Может сверху поставить?
Подскажите ещё. Хотел зайти в учётные записи. Не получается-ошибку выдаёт. Как скриншот вставить? Или прикрепить, как и логи?

Ребята, с моими логами и карантином что-то прояснилось или тороплю события?

Файл чистый по вердикту ЛК.

Эксплорер можно восстановить с диска с дистрибутивом ХР.
Либо установить IE7.

Плюс есть программа Inuse. Можно ее взять с сайта майкрософт.

Если всё в порядке, тогда странно.
[QUOTE]при работе с локалкой или в интернете происходит обновление Рабочего стола и обрыв соединения, при этом может отрубиться звуковуха[/QUOTE]
Проблема-то осталась.

[QUOTE=John;118860]Если всё в порядке, тогда странно.

Проблема-то осталась.[/QUOTE]

Написал же: нужно заменить експлорер. После этого будем смотреть.

Эксплорер удалить или заменить не смог. Поставил Оперу. Посмотрите логи. Не могу зайти в Учётные записи, высылаю скрин-шот

В логах плохого не увидел.

Можно провериться с помощью sfc /scannow, но может потребоваться
диск с ХР.

Пуск -- Выполнить - набрать - нажать ОК

[quote=PavelA;119143]sfc /scanow[/quote]
В таком виде команду ввести?

См. выше

Сделали, окно мигнуло и закрылось. Что дальше?

Оно должно очень долго ковыряться.

Попробуйте указанное здесь:

[url]http://forum.kaspersky.com/index.php?showtopic=30127[/url]

Симптомы явно похожие.

Ясно, будут результаты, отпишусь. А под Брандмауэром в этой статье понтмается встроенный в Винду или любой файервол?

Нет, брандмауэр Windows здесь вряд ли поможет. :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\f137.dll - [B]Trojan-Downloader.Win32.Agent.but[/B] (DrWEB: Trojan.DownLoader.24647)[*] \\systemroot\\system32\\drivers\\runtime2.sys - [B]Rootkit.Win32.Agent.ey[/B] (DrWEB: BackDoor.Bulknet)[/LIST][/LIST]