Printable View
Добрый день! Надеюсь на Вашу помощь, подхватила вирус троян, маскируется под svchost, также постоянно выскакивает сообщение от антивируса Заражена оперативна память-explorer.exe. Удалила explorer(через unlocker) - не помогло, через касперского и NOD32 пыталась чистить, NOD32 вообще не удаляет, а касперский находит один файл, вроде удаляет, но после перезагрузки все на месте. Уже не знаю как дальше быть, ОС сносить не хочется((
[ATTACH=CONFIG]362736[/ATTACH]
Уважаемый(ая) [B]lena686[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Пофиксите в HijackThis:
[code]
R3 - Default URLSearchHook is missing
O2 - BHO: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (file missing)
O3 - Toolbar: Foxit Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (file missing)
O3 - Toolbar: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing)
O4 - HKCU\..\Run: [Netprotocol] C:\Users\User\AppData\Roaming\netprotocol.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: (no name) - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C231EB9-AE1E-4029-9148-EB32FCD9202C}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{6362FB77-2F2C-419C-8F23-4174F39CE39B}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{8FDA3DAE-0669-418B-9ED8-219FA831B0A2}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA125824-E2E3-4ADC-8E16-7D07648B000D}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 127.0.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{FE364FCB-1752-41CB-B1B7-851D354B410A}: NameServer = 127.0.0.1
[/code]
Выполните скрипт в AVZ:
[code]
begin
QuarantineFile('C:\Users\User\AppData\Roaming\netprotocol.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5ItG3zPxmxA.exe','');
DeleteFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\5ItG3zPxmxA.exe');
DeleteFile('C:\Users\User\AppData\Roaming\netprotocol.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 2 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=120121[/url]).
[b]Обновите базы AVZ[/b] и сделайте новые логи.
Сделала все, но вирусы не пропали(
[ATTACH=CONFIG]362878[/ATTACH]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
QuarantineFile('C:\Users\User\AppData\Local\Temp\bzjvuxk.exe','');
DeleteFile('C:\Users\User\AppData\Local\Temp\bzjvuxk.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пофиксите в HijackThis:
[code]
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C231EB9-AE1E-4029-9148-EB32FCD9202C}: NameServer = 127.0.0.1
[/code]
Пришлите новый карантин согласно приложению 2 правил.
[b][COLOR="#FF0000"]Обновите базы AVZ[/COLOR][/b] и сделайте новые логи.
И читайте внимательнее в правилах, какие именно файлы следует прикреплять.
Сделала, но ничего не изменилось к сожалению(
[b]lena686[/b], давайте всё же будем более внимательно читать правила и ответы!
1. Карантин [B]нельзя[/B] прикреплять к сообщениям! Для его загрузки есть красная ссылка вверху темы, которую я еще и продублировал для вас в сообщении #3.
2. Где логи AVZ с [B]обновленными[/B] базами?
Извините.
Вот сделала логи с обновленными базами (т.е. "Файл" => "Обновление баз"). А архив virusinfo_syscheck.zip не создался, Файл"=>"Стандартные скрипты" и отметьте пункт "Скрипт сбора информации для раздела "Помогите!"
Если еще раз прикрепите карантин, получите нарушение. Перечитайте правила и прикрепите нужные логи AVZ
[ATTACH]363058[/ATTACH]
[ATTACH]363060[/ATTACH]
[quote="thyrex;889077"]Если еще раз прикрепите карантин, получите нарушение.[/quote]
Я Вас предупреждал...
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
Я что-то запуталась, вот новые логи:
[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] [b]все найденное[/b]
C:\U39Sy9D7P6F1guP удалите вручную
Смените все пароли
C:\U39Sy9D7P6F1guP - удаляла много раз, все равно появляется. Удалила те файлы, которые нашел МВАМ. Перезагрузила, вирус остался. Вчера заразил драйвера для принтера, теперь он не печатает(
Не тот это вирус, чтобы нарушать работу принтера
Вы указанную папку удалять сейчас пробовали?
Да только что удалила.
Она не появилась заново?
Не появилась, насколько я помню, она появлялась когда я вручную останавливала процесс svchost. Пока все вирусы наместе(
И где Вы их видите? svchost.exe - обычный системный файл
[ATTACH=CONFIG]363360[/ATTACH]
svchost.exe их так много? Вирус оперативной памяти explorer.exe был, я удалила explorer полностью через unlocker, я так понимаю Вирус оперативной памяти explorer.exe был из-за svchost.exe?или я не права?
Количество процессов svchost зависит от используемых служб
Тогда спасибо)Значит я путала) Вирус оперативной памяти explorer.exe был давно удален, просто на эти процессы я думала.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\users\\user\\appdata\\local\\temp\\bzjvuxk.exe - [B]Trojan.Win32.Menti.nojq[/B] ( DrWEB: Program.Server.249, BitDefender: Gen:Variant.Barys.2139 )[/LIST][/LIST]