Комп с ума сошел ... помогите кто может ....

Printable View

29.06.2007, 02:09
filmatov

Вложений: 3

Комп с ума сошел ... помогите кто может ....

:embarasse
Надеюсь на Вашу помощь,

У меня проблема, не пойму чтос компом происходит ......
То зависнет, то выключится не с того не с сего ... бывает пытаешься в нет выйти ... пишет всегда невозможно отобразить страницу, а заходишь в сетевые подключения ... там что-то переливается и что-то качается со страшной силой (у меня скорость 4 мегабита, выделенка, комп всегда в нете) :embarasse и тормозит нереально ....

Установил Аваст .... удалил кучу вирусов, но проблемы не ушли .... поставил Нод32, он тоже удалил много всего .... но сейчас работает в автономном режиме ... и к концу каждого дня находит около 300 инфицированных файлов из которых может удалить только 20-30 :embarasse ... запускаю полное сканирование Нодом ... пишет все чисто.

Даже не знаю что делать, помогите кто может! За ранее спасибо!
29.06.2007, 02:17
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('svchоst.exe','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\exe','');
QuarantineFile('C:\WINDOWS\system32\dvdinstall.exe','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
QuarantineFile('C:\DOCUME~1\Dima\taskmgr.exe','');
QuarantineFile('c:\windows\system32\system32.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.
29.06.2007, 02:19
Bratez

Вдогонку: поищите через AVZ файл c:\windows\system32\msvcrtd.exe
Если найдется - его тоже пришлите.
29.06.2007, 11:06
filmatov

Все сделал, файлы отправил.

[quote=Bratez;119096]Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('svchоst.exe','');
QuarantineFile('C:\WINDOWS\system32\perfc000.dat','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\exe','');
QuarantineFile('C:\WINDOWS\system32\dvdinstall.exe','');
QuarantineFile('C:\WINDOWS\csrss.exe','');
QuarantineFile('C:\DOCUME~1\Dima\taskmgr.exe','');
QuarantineFile('c:\windows\system32\system32.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил.[/quote]

Файлы загрузил:
Файл сохранён как 070629_110348_virus_4684aed43c671.zip
Размер файла 1698392
MD5 d14ab04e217ce26a8f7574146a512179
29.06.2007, 11:08
filmatov

[quote=Bratez;119100]Вдогонку: поищите через AVZ файл c:\windows\system32\msvcrtd.exe
Если найдется - его тоже пришлите.[/quote]

Этот файл не находит . . . .
29.06.2007, 12:22
PavelA

Trojan-Spy.Win32.Bancos.aam,
Trojan-Downloader.Win32.Small.evb,
Packed.Win32.PolyCrypt.b

плюс новенький Backdoor.Win32.Rbot.cpd

Хорошая компания. :)
29.06.2007, 12:27
Bratez

522x.exe - [B]Trojan-Spy.Win32.Bancos.aam[/B]
ytrwy.exe - [B]Trojan-Downloader.Win32.Small.evb[/B]
dvdinstall.exe - [B]вирус Packed.Win32.PolyCrypt.b[/B]
system32.exe - что-то совсем свежее, 100% зловред
ntos.exe куда-то делся, хотя в карантин был добавлен.
остальные подозреваемые похоже в системе отсутствуют.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\ytrwy.exe');
DeleteFile('C:\WINDOWS\522x.exe');
DeleteFile('C:\WINDOWS\system32\system32.exe');
DeleteFile('C:\DOCUME~1\Dima\taskmgr.exe');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\system32\dvdinstall.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
BC_ImportDeletedList;
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: AlxTB BHO - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - (no file)
O4 - HKLM\..\Run: [Ysoft Player] dvdinstall.exe
O4 - HKLM\..\Run: [1] system32.exe
O4 - HKLM\..\RunServices: [Ysoft Player] dvdinstall.exe
O4 - HKLM\..\RunServices: [1] system32.exe
O4 - HKCU\..\Run: [NeroFilterCheck] svchоst.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
[/code]
Еще раз перезагрузите компьютер и сделайте новые логи.
29.06.2007, 17:34
filmatov

[quote=Bratez;119194]522x.exe - [B]Trojan-Spy.Win32.Bancos.aam[/B]
ytrwy.exe - [B]Trojan-Downloader.Win32.Small.evb[/B]
dvdinstall.exe - [B]вирус Packed.Win32.PolyCrypt.b[/B]
system32.exe - что-то совсем свежее, 100% зловред
ntos.exe куда-то делся, хотя в карантин был добавлен.
остальные подозреваемые похоже в системе отсутствуют.
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\ytrwy.exe');
DeleteFile('C:\WINDOWS\522x.exe');
DeleteFile('C:\WINDOWS\system32\system32.exe');
DeleteFile('C:\DOCUME~1\Dima\taskmgr.exe');
DeleteFile('C:\WINDOWS\csrss.exe');
DeleteFile('C:\WINDOWS\system32\dvdinstall.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\perfc000.dat');
BC_ImportDeletedList;
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: AlxTB BHO - {F1FABE79-25FC-46de-8C5A-2C6DB9D64333} - (no file)
O4 - HKLM\..\Run: [Ysoft Player] dvdinstall.exe
O4 - HKLM\..\Run: [1] system32.exe
O4 - HKLM\..\RunServices: [Ysoft Player] dvdinstall.exe
O4 - HKLM\..\RunServices: [1] system32.exe
O4 - HKCU\..\Run: [NeroFilterCheck] svchоst.exe
O4 - HKCU\..\Run: [userinit] C:\WINDOWS\system32\ntos.exe
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm (file missing)
O20 - AppInit_DLLs: C:\WINDOWS\system32\perfc000.dat
[/code]
Еще раз перезагрузите компьютер и сделайте новые логи.[/quote]

Вечером дома буду все сделаю ....

А что делают эти вирусы, если кто знает ....?
29.06.2007, 18:12
PavelA

См. viruslist.com & sophos.com

Не цитируй сообщения полностью, это нехороший стиль.
29.06.2007, 18:14
Bratez

system32.exe в классификации Касперского
получил имя [B]Backdoor.Win32.Rbot.cpd[/B]

[QUOTE]А что делают эти вирусы, если кто знает [/QUOTE]
Да так, ерунду всякую ;)
Spy крадет конфиденциальную информацию,
Downloader загружает других зловредов,
Backdoor открывает доступ к вашему компьютеру...
29.06.2007, 22:16
filmatov

Вложений: 2

...

Все сделал ...

Файлы в приложении

Еще беспокоят некоторые файлы ...
Скачал как-то какой-то MP3 конвертер .... типо мелодии под формат телефона, так уже как год висят эти файлы на рабочем столе, пытаешься запустить, выскакивает какое-то черное окно и сразу исчезает, удалить их невозможно :'-(
[SIZE=2]C:\Documents and Settings\Romeo\Рабочий стол\муз\mp3wzv\mp3siem\mp3siem\lame.exe
C:\Documents and Settings\Romeo\Рабочий стол\муз\mp3wzv\mp3siem\mp3siem\Mp3_siem.exe
C:\Documents and Settings\Romeo\Рабочий стол\муз\mp3wzv\mp3siem\mp3siem\sox.exe
[/SIZE][SIZE=2][COLOR=#ff0000]
А теперь еще они откуда не пойму есть на диске С:
От туда тоже их не удалить никак ....
[/COLOR][/SIZE][SIZE=2]C:\Program Files\Mp3_Siem\Mp3_siem.exe
C:\Program Files\Mp3_Siem\sox.exe
[/SIZE]
29.06.2007, 22:17
filmatov

[quote=Bratez;119314]
Да так, ерунду всякую ;)
Spy крадет конфиденциальную информацию,
Downloader загружает других зловредов,
Backdoor открывает доступ к вашему компьютеру...[/quote]

Да уж ерунду, особенно доступ к компу .... ваще жесть .... :'-(
30.06.2007, 03:56
Bratez

Все благополучно удалилось.
Еще один вопрос: Remote Administrator сами ставили? Он вам нужен?
Если нет - надо удалить.
Файлы от mp3-конвертера можете прислать по правилам для анализа.
30.06.2007, 10:22
filmatov

[quote=Bratez;119379]Все благополучно удалилось.
Еще один вопрос:
Remote Administrator сами ставили? Он вам нужен?
[/quote]

Спасибо!
Файлы MP3 конвертера авнтивирус не видит, их даже просто нельзч заархивировать ... везде пишется отказано в доступе.

Remote Administrator сам ставил, чтоб на комп заходить с работы или наоборот ... из дома на рабочий комп.
30.06.2007, 16:10
Bratez

[QUOTE]Файлы MP3 конвертера авнтивирус не видит, их даже просто нельзч заархивировать ... везде пишется отказано в доступе.[/QUOTE]
Очень интересно! Попробуем скриптом в AVZ:
[code]
begin
ClearQuarantine;
BC_QrFile('C:\Documents and Settings\Romeo\Рабочий стол\муз\mp3wzv\mp3siem\mp3siem\lame.exe');
BC_QrFile('C:\Documents and Settings\Romeo\Рабочий стол\муз\mp3wzv\mp3siem\mp3siem\Mp3_siem.exe');
BC_QrFile('C:\Documents and Settings\Romeo\Рабочий стол\муз\mp3wzv\mp3siem\mp3siem\sox.exe');
BC_QrFile('C:\Program Files\Mp3_Siem\Mp3_siem.exe');
BC_QrFile('C:\Program Files\Mp3_Siem\sox.exe');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите новый карантин по правилам.
01.07.2007, 02:02
filmatov

[quote=Bratez;119436]Очень интересно! Попробуем скриптом в AVZ:
................Пришлите новый карантин по правилам.[/quote]

Все сделал, только там почти нулевые файлы получились :'-( :

Файл сохранён как 070701_015916_virus_4686d234e29c2.zip
Размер файла 1581
MD5 e4fb0b17ec6538db1229577df582d1aa

если нужно могу дать Вам доступ к моему компу через R-Admin .... стукните в аську 478119660 - я дам доступ, сами все посмотрите и сделаете как нужно ...
01.07.2007, 10:35
Bratez

Попробуем так:
1. Загрузитесь в безопасный режим как [I]Администратор[/I].
2. Откройте "Мой компьютер", в меню [I]Сервис - Свойства папки - Вид [/I]отключите [I]Использовать простой общий доступ[/I].
3. Для всех вышеупомянутых файлов откройте [I]Свойства - Безопасность[/I] и сделайте полный доступ для [B][I]Все[/I][/B]. Возможно для этого потребуется назначить себя ([I]Администратор[/I]'а) владельцем.

После этого, надеюсь, их удастся скарантинить в AVZ вручную,
или просто заархивировать в зип или рар с паролем [I]virus[/I] и
естесственно прислать по правилам ;)
01.07.2007, 11:41
filmatov

Вложений: 1

[quote=Bratez;119545]
После этого, надеюсь, их удастся скарантинить в AVZ вручную,
или просто заархивировать в зип или рар с паролем [I]virus[/I] и
естесственно прислать по правилам ;)[/quote]

Бесполезно, принтскрины в приложении.....:embarasse

Я сделал все как ты сказал, вначале просто не давала система дать полный доступ, потом я поставил себя владельцем файла, там уже автоматом открылся полный доступ .... но заархивировать все равно не получилось (на снимках с экрана все видно) а AVZ сохранил килобайтные файлы ....
Давай я дам тебе полный доступ к компу через R-Admin .... там са все посмотришь и попробуешь сделать что хочешь ...
01.07.2007, 12:55
Bratez

[QUOTE]потом я поставил себя владельцем файла, там уже автоматом открылся полный доступ .... [/QUOTE]
Не вижу я на снимках ни правильного владельца, ни полного доступа.
Вот на картинке #2 жмем вкладку [I]Владелец[/I], назначаем владельцем [I]Администратора[/I] (себя), жмем везде ОК, чтобы закрылись все окошки свойств. Опять открываем [I]Свойства-Безопасность[/I], нажимаем [I]Добавить[/I], вводим [B][I]Все[/I][/B], нажимаем [I]Проверить имена[/I], потом ОК, потом этому [B][I]Все [/I][/B]назначаем Полный доступ. Неужели не срабатывает? Пропиши для верности кроме Все еще SYSTEM и имя своей юзерской учетки.
Да в конце концов, если себя сделать владельцем, их можно просто удалить тут же, не морочась с правами.
01.07.2007, 14:46
filmatov

[quote=Bratez;119563]Не вижу я на снимках ни правильного владельца, ни полного доступа.
Вот на картинке #2 жмем вкладку [I]Владелец[/I], назначаем владельцем [I]Администратора[/I] (себя), жмем везде ОК, чтобы закрылись все окошки свойств. Опять открываем [I]Свойства-Безопасность[/I], нажимаем [I]Добавить[/I], вводим [B][I]Все[/I][/B], нажимаем [I]Проверить имена[/I], потом ОК, потом этому [B][I]Все [/I][/B]назначаем Полный доступ. Неужели не срабатывает? Пропиши для верности кроме Все еще SYSTEM и имя своей юзерской учетки.
Да в конце концов, если себя сделать владельцем, их можно просто удалить тут же, не морочась с правами.
[/quote]

В этом то и проблема. Во вкладке владелец я все нормально поставил ... совего пользователя .... а потом повторно заходишь ... имя сбито ....... ладно сейчас еще раз попробую ....

[size="1"][color="#666686"][B]Добавлено через 33 минуты[/B][/color][/size]
Bratez, спасибо! Все удалилось!
22.02.2009, 01:55
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\dvdinstall.exe - [B]Packed.Win32.PolyCrypt.d[/B] (DrWEB: Trojan.Packed.166)[*] c:\\windows\\system32\\system32.exe - [B]Backdoor.Win32.Rbot.cpd[/B] (DrWEB: Win32.HLLW.MyBot)[*] c:\\windows\\ytrwy.exe - [B]Trojan-Downloader.Win32.Small.evb[/B] (DrWEB: Trojan.DownLoader.24755)[*] c:\\windows\\522x.exe - [B]Trojan-Spy.Win32.Zbot.zr[/B] (DrWEB: Trojan.DownLoader.22816)[/LIST][/LIST]