Дико тормозит комп + проблемы с Errorsafe, Virtumod

Здравствуйте. Прежде чем ругаться что не приложены файлы - прчоитайте пожалуйста до конца.Проблемы начались два дня назад. Сначала при серфе в инете стала выскакивать страничка ErrorSafe с предложением просканить комп.Я зашла на Ваш форум, прочитала похожую тему, сделала скан при помощи CureIt, намереваясь выполнить инструкцию в правилах и отправить вам отчет, но так вышло, что CureIt помогла разрешить эту проблему ( не помню какой именно троян там был..вообщем тот, что описан в похожей теме про ErrorSafe. просто проверить я не могу, инет ДИКО тормозит, особенно ваш форум почему-то, но об этом дальше). Короче эта проблема исчезла буквально на 1 день.Но дальше стало еще хуже. Со вчерашнего вечера начал ужасно тормозить комп и инет. К примеру, при попытке открыть Мой Компьютер требуется секунд 5 прежде чем откроется окно, сразу появляются все папки и тд, но нажать на них нельзя, нужно ждать еще секунд 5. И так при выборе любой папки, любой программы и тд. Сами программы не тормозят совершенно. Что касается инета, то проблема схожа. При сёрфинге страница грузится секунд 10, при нажатии на любую ссылку окно виснет еще секунд на 5, затем переходит по ссылке. Короче лагает безбожно.Я просканила комп с помощью CureIt, нашлость много инфицированных файлов трояном Virtumod, вроде бы все удалились, посколько при повторном сканировании они не были выявлены. Где-то в инете нашла то, что как раз этот Virumod и грузит дико комп, в-общем уже понадеялась что избавилась от него, перезагрузила комп, но всё по-старому.Сейчас уже решила обратиться к Вам, поэтому выполнила все инструкции в топике Правила, однако файлы присоединить НЕ ПОЛУЧАЕТСЯ НИКАК. Я пробовала раз 20, все время это окошко выдает ошибку "невозможно найти страницу", да и вообще весь форум часто это выдает. Я это сообщение пытаюсь отослать уже часа 2. Поэтому хотела спросить, каким еще образом можно предоставить Вам логи

Форум сегодня действительно тупит... Пришлите логи мне на e-mail, адрес у вас в личке.

отправила

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\qwerty12.exe','');
QuarantineFile('C:\WINDOWS\system32\w4rI2AKo.exe','');
QuarantineFile('C:\WINDOWS\system32\tmpFE.tmp.dll','');
QuarantineFile('c:\windows\system32\vtutttr.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\apffcm10.SYS','');
QuarantineFile('C:\WINDOWS\system32\wmldap.dll','');
QuarantineFile('C:\WINDOWS\system32\lsaswIo.dll','');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('c:\windows\system32\vtutttr.dll');
DeleteFile('C:\WINDOWS\system32\tmpFE.tmp.dll');
BC_ImportALL;
BC_QrSvc('pe386');
BC_DeleteSvc('pe386');
BC_DeleteFile('C:\WINDOWS\system32:lzx32.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится, должно заметно полегчать, но это только начало. Пришлите карантин согласно приложению 3 правил, будем смотреть, кто есть who.

Выполнила, отправила. Насчет перезагрузки - не могу сказать, что стало легче =(

В карантин попали только
C:\WINDOWS\system32\wmldap.dll - AVG - Clicker.HPD
C:\WINDOWS\system32\lsaswIo.dll - AntiVir - TR/Dldr.ConHook.Gen
eSafe - suspicious Trojan/Worm
Ikarus - MemScanTrojan.Juan.V
Microsoft - TrojanDownloader:Win32/Agent.gen!B
Panda - Suspicious file
Sunbelt - VIPRE.Suspicious
Webwasher-Gateway - Trojan.Dldr.ConHook.Gen

Выполните скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\qwerty12.exe','');
QuarantineFile('C:\WINDOWS\system32\w4rI2AKo.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\apffcm10.SYS','');
DeleteFile('c:\windows\system32\vtutttr.dll');
DeleteFile('C:\WINDOWS\system32\tmpFE.tmp.dll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

Если что-то попадёт в карантин - пришлите по правилам.

ничего не попало вроде..только я не понимаю, почему к примеру не попал, по вашим словам, qwerty12.exe, если он есть в списке файлов карантина. В том карантине что я посылала он был.Upd8: только сейчас заметила, у остальных файлов в карантине размер - 0. И у qwerty12 и у vtutttr..что делать?

Сделайте логи заново.
Если не получится прицепить их в эту тему, то закачайте их
на какой-либо файлообменник (вроде рапидшары) а ссылки на них
оставьте здесь.

[URL]http://www.filemaster.ru/files/f1551[/URL] - syscure
[URL]http://www.filemaster.ru/files/f1549[/URL] - syscheck
[URL]http://www.filemaster.ru/files/f1550[/URL] - hijackthis

C:\WINDOWS\system32\wmldap.dll
C:\WINDOWS\system32\lsaswIo.dll
C:\WINDOWS\system32\tmpFE.tmp.dll
C:\WINDOWS\system32\w4rI2AKo.exe
поискать руками в безопасном режиме в AVZ(процесс описан в пункте 2 правил, загрузить по ссылке [url]http://virusinfo.info/upload_virus.php?tid=11569[/url]

сделала, но в карантин опять попали только wmldap и lsaswio, оправляю канартин с ними, хотя они уже есть в первом моем высланном карантине..насчет двух остальных AVZ пишет: Ошибка карантина файла "C:\WINDOWS\system32\tmpFE.tmp.dll", попытка прямого чтения Карантин с использованием прямого чтения - ошибкаОшибка карантина файла "C:\WINDOWS\system32\w4rI2AKo.exe", попытка прямого чтения Карантин с использованием прямого чтения - ошибкаКстати говоря, заметила одну странную вещь касательно торможения. Один раз после перезагрузки, когда уже загрузился рабочий стол и тд, у меня повисла панель задач (при наведении курсор превращался в "думающий" и ничего не происходило), так вот, несмотря на это рабочий стол работал нормально и абсолютно ничего не тормозило, ни папки, ни инет..Сейчас всё по-старому, панель задач в норме, комп жутко тормозит..

[size="1"][color="#666686"][B][I]Добавлено через 1 час 20 минут[/I][/B][/color][/size]

хм..еще раз перечитала правила..если вы под "пунктом правил 2" имели в виду приложение 2, то я вроде сделала всё верно..однако если под "поискать руками" имелось в виду следование инструкции "Как правильно искать и присылать запрошенные файлы?", то и это я сейчас попробовала, но эти два последних файла всё равно не нашлись..

извиняюсь за дабл-пост, редактирвоать старое просто нереально...форум лагает и не позволяет это сделать..

Есть подозрение, что "Восстановление системы" не отключено. Надо его отключить.
После этого еще разок выполнить скрипт Kuzz и повторить логи.

оно было отключено..

Профиксить в hijackThis:

[CODE]
O2 - BHO: (no name) - {276d85d3-9a22-44c6-9a46-f3c0bcb4815a} - C:\WINDOWS\system32\lsaswIo.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O21 - SSODL: oledll - {12345B67-1234-1234-D123-7F84D123BC7D} - C:\WINDOWS\system32\wmldap.dll
O20 - Winlogon Notify: lsaswIo - C:\WINDOWS\SYSTEM32\lsaswIo.dll[/CODE]

пофиксила..лагать перестало =) я уже и забыла что такое комп без тормозов...

что дальше? )

Про вот это забыл. Ее тоже профиксить

O2 - BHO: (no name) - {C6039E6C-BDE9-4de5-BB40-768CAA584FDC} - C:\WINDOWS\system32\tmpFE.tmp.dll (file missing)

Для окончат. лечения скачать SDFix.exe и проверить компьютер.Сделать новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

в AVZ Сервис - Диспетчер служб и драйверов - ищем DomainService - нажимаем крестик сверху.

всё сделала, только проблема с Errorsafe всё еще есть..по-прежнему выскакивает окно иногда
[url]http://stream.ifolder.ru/2913185
[/url] - Hijackthis
[url]http://stream.ifolder.ru/2913715[/url] - syscure
http://stream.ifolder.ru/2913722[/url] - syscheck

ну так что, проблему с эррорсейф устранить не получится?

[url]http://www.free-web-browsers.com/remove-errorsafe.shtml[/url] - по этой ссылке есть утилита для удаления. Описание на английском. Все довольно просто - скачать, запустить, нажать кнопочку.

Сорри, писал еще вчера, но не долетело до форума.

Он вернулся или никуда не уходил?
[code]O20 - Winlogon Notify: lsaswIo - C:\WINDOWS\SYSTEM32\lsaswIo.dll[/code]

гм..этот remove-errorsafe сканирует комп, находит зараженные файлы но чтобы их удалить просит ввести ключ, который, собсвенно, можно получить только за 40$ =\

pig, даже не знаю..мне надо еще раз его пофиксить?

Если уже фиксили, а он вернулся, значит, нужно что-то более радикальное...

Надо сделать свежие логи, разберемся.

[QUOTE='monami;126784']гм..этот remove-errorsafe сканирует комп, находит зараженные файлы но чтобы их удалить просит ввести ключ, который, собсвенно, можно получить только за 40$ =\ [/QUOTE]

Виноват, не знал. Раньше он удалял бесплатно. Еще раз прошу прощения.

вот логи..

В логах все на том же месте, как и в начале темы. Не понимаю, либо зловред нас дурит, либо ...

хотите сказать, что я вас дурю?

Это были просто мысли в слух.
Теперь по делу:
Выполнить скрипт:
[CODE]begin
ClearQuarantine();
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\System Volume Information\_restore{9CE9234D-CB30-41DD-AE22-B484889AEBA5}\RP293\A0406289.exe' ,'' );
QuarantineFile('C:\System Volume Information\_restore{9CE9234D-CB30-41DD-AE22-B484889AEBA5}\RP293\A0406290.exe' ,'' );
QuarantineFile('C:\System Volume Information\_restore{9CE9234D-CB30-41DD-AE22-B484889AEBA5}\RP293\A0406291.exe' ,'' );
QuarantineFile('C:\WINDOWS\system32\qwerty12.exe /service','');
QuarantineFile('C:\WINDOWS\pmkkjg.dll','');
QuarantineFile('lsaswIo.dll','');
BC_ImportAll;
BC_DeleteFile('C:\WINDOWS\system32\qwerty12.exe /service');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

После перезагрузки загрузить карантин через ссылку вверху темы (см. Приложение 3 Правил).

Поискать lsaswIo.dll в AVZ и написать в какой директории этот файл лежит.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

[url]http://www.atribune.org/content/view/24/2/[/url] - совершенно точно бесплатная удалялка Virtumonde.

всё сделала, путь - C:\WINDOWS\system32\lsaswIo.dll


VundoFix помог наполовину.. он нашел два зараженных файла, удалил, но Errorsafeсе равно не изчез..
Я после этого снвоа запустила XoftSpySe (тот, что платный), он нашел еще один зараженный файл трояном Vundo Trojan со степенью риска Severe, однако путь к нему несколько странный (я очень плохо разбираюсь в компьютерах =\ ) - software/microsoft/juan . Полный путь XoftSpySe не дает, поэтмоу я даже не знаю где этот файл искать

1. Пришлите карантин после скрипта от [B]PavelA[/B].

2. Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\pmkkjg.dll');
DeleteFile('C:\WINDOWS\system32\lsaswIo.dll');
DeleteFile('C:\WINDOWS\system32\qwerty12.exe');
BC_ImportDeletedList;
BC_DeleteSvc('DomainService');
BC_DeleteFile('C:\WINDOWS\system32\qwerty12.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
3. Пофиксите в HijackThis (если останется):
[code]
O2 - BHO: (no name) - {276d85d3-9a22-44c6-9a46-f3c0bcb4815a} - C:\WINDOWS\system32\lsaswIo.dll
O20 - Winlogon Notify: lsaswIo - C:\WINDOWS\SYSTEM32\lsaswIo.dll
[/code]
4. Удалите все задания в планировщике (Панель управления -> Назначенные задания).

5. Перезагрузите компьютер и сделайте еще раз логи.

вот

Теперь в логах все чисто.
Проблема еще проявляется?

нет =) спасибо вам всем огромное ) а что насчет того трояна по пути software/microsoft/juan?

[QUOTE]а что насчет того трояна по пути software/microsoft/juan?[/QUOTE]
Видимо, речь идет не о файле, а о каком-то подозрительном ключе в реестре. В логах ничего такого нет. Если интересно, можете запустить regedit и поискать ключи:
HKEY_LOCAL_MACHINE\Software\Microsoft\Juan
или HKEY_CURRENT_USER\Software\Microsoft\Juan
При наличии такового поставьте курсор на [B]Juan[/B], выберите в меню Файл - Экспорт, сохраните файл, упакуйте в zip и прикрепите сюда.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\lsaswio.dll - [B]not-a-virus:AdWare.Win32.Virtumonde.ke[/B] (DrWEB: Trojan.Virtumod)[*] c:\\windows\\system32\\wmldap.dll - [B]Trojan-Spy.Win32.Goldun.ps[/B] (DrWEB: Trojan.PWS.GoldSpy)[/LIST][/LIST]