Вирусы от А до Я! Полный набор!

Похоже что я собрал целую коллекцию самых разнообразных вирусов, начиная от троянов, ки-логеров, майл-ворм, бэк-дор и т.д. Dr.Web кое-что полечил, но похоже что-то еще сидит и бардак после всего этого остался. Некоторые программы не запускаются или выдают ошибки или слетают в процессе работы.
Хелперы, помогите, пожалуйста! Сам не справлюсь!
Заранее, СПАСИБО!

Логи, чего-то не цеплялись!

1 выполните пункт 2 правил ( проверка Cureit)
2 скачайте и обновите новую версию AVZ ...
3 сделайте новые логи ...

Два слова в добавок: проверять Cure-It полностью диск.

[quote]2 скачайте и обновите новую версию AVZ ... [/quote]
А новой английской версии нету!

[size="1"][color="#666686"][B][I]Добавлено через 26 минут[/I][/B][/color][/size]

Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\Drivers\utixntgw.sys', '');
QuarantineFile('C:\Documents and Settings\Top\Local Settings\Temp\40246481.exe', '');
QuarantineFile('C:\Documents and Settings\Top\Local Settings\Temp\setup_temp_25366\2280.tmp', '');
QuarantineFile('C:\Documents and Settings\Top\Local Settings\Temp\winlogon.exe', '');
QuarantineFile('C:\WINDOWS\system32\dllh8jkd1q1.exe', '');
QuarantineFile('C:\WINDOWS\system32\max1d1164v.exe', '');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\Documents and Settings\Top\Local Settings\Temp\winlogon.exe');
DeleteFile('C:\Documents and Settings\Top\Local Settings\Temp\40246481.exe');
DeleteFile('C:\Documents and Settings\Top\Local Settings\Temp\setup_temp_25366\2280.tmp');
DeleteFile('C:\WINDOWS\system32\dllh8jkd1q1.exe');
DeleteFile('C:\WINDOWS\system32\max1d1164v.exe');
SysCleanAddFile('C:\WINDOWS\Temp\startdrv.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите то, что попадет в карантин так, как написано в приложении 3 Правил.
Сделайте новые логи.

Спасибо!
Скрипт выполнил, карантин закачал.
Логи сейчас сделаю.

[size="1"][color="#666686"][B][I]Добавлено через 27 минут[/I][/B][/color][/size]

В основном не запускаются Таск-менеджер и Риал-плэйер. Таск-менеджер выдает сообщение, что он остановлен системным администратором.

AVZ - Файл -- Восст. системы - п.11. отметить - Выполнить.
Должно помочь таскменегеру.

В основном не запускаются Таск-менеджер и Риал-плэйер. Таск-менеджер выдает сообщение, что он остановлен системным администратором.

[quote=PavelA;137665]AVZ - Файл -- Восст. системы - п.11. отметить - Выполнить.
Должно помочь таскменегеру.[/quote]

Спасибо, действительно помогло!

Вот свежие логи!

Еще один глюк, не показывает настройки встроенного файервола, говорит что по не известной причине винда не может их отбразить.

На это есть вот такая пилюля:

[url]http://support.microsoft.com/kb/825826/ru[/url]

После установки пакета обновления 2 (SP2) для Windows XP не удается запустить службу брандмауэра Windows. В частности, могут возникать следующие неполадки:
•пункт Брандмауэр Windows/Общий доступ к Интернету (ICS) не отображается в списке Службы панели управления;
•пункт Брандмауэр Windows/Общий доступ к Интернету (ICS) отображается в списке Службы, но не удается запустить службу;
•при попытке доступа к параметрам брандмауэра Windows выводится следующее сообщение об ошибке:
"Вследствие неопределенной ошибки не удается отобразить параметры брандмауэра Windows."

решение проблемы тут [url]http://support.microsoft.com/kb/920074/ru[/url]

[quote=PavelA;137760]На это есть вот такая пилюля:

"Вследствие неопределенной ошибки не удается отобразить параметры брандмауэра Windows."

решение проблемы тут [URL]http://support.microsoft.com/kb/920074/ru[/URL][/quote]

Все получилось! Спасибо!

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

А как в остальном? Есть еще какая-нибудь зараза в моем компе?

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

И еще обнаружил один глюк. Когда подключаюсь к сайту банка он запрашивает сертификат, который находится на USB-ключе, ключ вставляю, выскакивает окошко для подтверждения сертификата, но оно пустое. Такое впечатление, что что-то блокирует его, но у меня сейчас нет ни файервола, ни антивируса. Был Комодо, но я его убрал. Может он не до конца удалился и потихоньку вредит? Что делать? Где посмотреть? Или может в настройках IE что-то сбилось?

пришлите ваш карантин с паролем пожалуйста ...

А как сделать с паролем?

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 7 минут[/I][/B][/color][/size]

Разобрался! Все сделал! Файл закачал.
Спасибо!

C:\Documents and Settings\Top\Local Settings\Temp\40246481.exe [B]Email-Worm.Win32.Agent.I[/B]
C:\Documents and Settings\Top\Local Settings\Temp\setup_temp_25366\2280.tmp n[B]ot-a-virus:Porn-Dialer.Win32.GBDialer.i[/B]
C:\Documents and Settings\Top\Local Settings\Temp\winlogon.exe T[B]rojan.Win32.Agent.ayf[/B]
C:\WINDOWS\system32\dllh8jkd1q1.exe [B]Email-Worm.Win32.Zhelatin.qy[/B]
C:\WINDOWS\system32\max1d1164v.exe [B]not-a-virus:Porn-Dialer.Win32.GBDialer.i[/B]
C:\WINDOWS\system32\DRIVERS\tcpip.sys - чистый (по вирустотал)
C:\WINDOWS\system32\SSMSFltr.dll - чистый ...
повторите логи ...

Еще новый глюк. Пропало свободное место на диске С, было около 5 Гб, установил Касперского 6.0 (причем на диск Д), сначала вроде было все нормально, а тут вдруг выдает сообщение что на диске нет места (100 Мб). Перегрузился несколько раз не помогает.

ждем новые логи ....

:?

Выполнить скрипт в safe Mode:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\utixntgw.sys' ,'');
DeleteFile('C:\WINDOWS\system32\Drivers\utixntgw.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Загрузить карантин.

Вы сами китайский сайт в "доверенные" занесли?

А какой сайт? Я заносил в "доверенные" сайт китайского банка, вроде бы только его. ССВ называется, это он? Это тот самый, к которому я теперь не могу подключится.

[quote=Top_ro;137784]
И еще обнаружил один глюк. Когда подключаюсь к сайту банка он запрашивает сертификат, который находится на USB-ключе, ключ вставляю, выскакивает окошко для подтверждения сертификата, но оно пустое. Такое впечатление, что что-то блокирует его, но у меня сейчас нет ни файервола, ни антивируса. Был Комодо, но я его убрал. Может он не до конца удалился и потихоньку вредит? Что делать? Где посмотреть? Или может в настройках IE что-то сбилось?[/quote]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Точнее два банка: ccb.com.cn и icbc.com.cn? Вы про них спрашиваете?

Угу, про него [url]www.icbc.com.cn[/url].
Профиксить:
[CODE]
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -
O16 - DPF: {1E0DFFCF-27FF-4574-849B-55007349FEDA} (iTrusPTA Class) -
O20 - Winlogon Notify: ati2kaag - ati2kaag.dll (file missing)
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
[/CODE]
[url]http://scan.www.duba.net/[/url] - что вот это такое знаете?
Выше вопроса скрипт есть, его выполняйте.

:? А как исправить такой глюк, есть ли какие-то способы проверить куда делось все пространство?

[quote=Top_ro;137998]Еще новый глюк. Пропало свободное место на диске С, было около 5 Гб, установил Касперского 6.0 (причем на диск Д), сначала вроде было все нормально, а тут вдруг выдает сообщение что на диске нет места (100 Мб). Перегрузился несколько раз не помогает.[/quote]

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

[quote=PavelA;138299]
[URL]http://scan.www.duba.net/[/URL] - что вот это такое знаете?
[/quote]

Это китайский антивирус, точнее его он-лайн сканер.

[size="1"][color="#666686"][B][I]Добавлено через 40 секунд[/I][/B][/color][/size]

Карантин загрузил.

[QUOTE=Top_ro;137998]Еще новый глюк. Пропало свободное место на диске С, было около 5 Гб, установил Касперского 6.0 (причем на диск Д), сначала вроде было все нормально, а тут вдруг выдает сообщение что на диске нет места (100 Мб). Перегрузился несколько раз не помогает.[/QUOTE]
на заметили ... уменьшение дискового пространства происходит при подключенном интернете ? посмотрите не появились ли скрытые папки на диске ?

Профиксил!

[quote=PavelA;138299]
Профиксить:
[code]
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} -
O16 - DPF: {1E0DFFCF-27FF-4574-849B-55007349FEDA} (iTrusPTA Class) -
O20 - Winlogon Notify: ati2kaag - ati2kaag.dll (file missing)
O20 - Winlogon Notify: partnershipreg - C:\WINDOWS\
[/code]
[/quote]

Какой-то карантин не тот получился. Скрипт последний выполнял?

Пространство пропало одним махом и даже в безопасном режиме около 300-500 Мб. Папок скрытых много, но какие нужные, а какие нет не могу быть уверен на 100%. Я штатными средствами пытался освободить место, но особого рез-та не дало. Появилось еще около 100 Мб. До того как система в этот раз плотно заразилась, были небольшие сбои и пришлось пару раз восстанавливаться с backup-а, после этого появились дублированные файлы с тем же именем(1), имя(2), имя(3).
Может в этом причина?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

карантин AVZ? Или я что-то напутал?

C:\WINDOWS\system32\SSMSFltr.dll - чистый
Вот это надо было сделать:
Выполнить скрипт в safe Mode:

[CODE]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\Drivers\utixntgw.sys' ,'');
DeleteFile('C:\WINDOWS\system32\Drivers\utixntgw.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Я выполнил предыдущий скрипт, там не было команды очистить карантин, может по этому, он не такой. Выполнил новый скрипт, сейчас проверю новый карантин.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

новый карантин пустой

[size="1"][color="#666686"][B][I]Добавлено через 43 секунды[/I][/B][/color][/size]

может еще раз логи сделать или еще что?

Да. сделай логи. Плюс вот это [url]http://virusinfo.info/showthread.php?t=10387[/url]

Сначала сделать как обычно, а потом плюс дополнительные АВЗ-логи в безопасном режиме?
Так?

Ага. Можно даже сначала доп. лог, чтобы посмотреть может еще что удалять надо.

Сделал [B]Дополнительные АВЗ-логи в безопасном режиме![/B]

[QUOTE=Top_ro;138324] Папок скрытых много, но какие нужные, а какие нет не могу быть уверен на 100%.
[[/QUOTE]
можно узнать какие ? и что в них ?

вот такая вот пачка нашлась. Выполнять в Safe Mode:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('system32\DRIVERS\tcpip.sys','');
QuarantineFile('System32\DRIVERS\smtpdrv.sys','');
QuarantineFile('\SystemRoot\system32\drivers\runtime2.sys','');
QuarantineFile('system32\DRIVERS\Ip6Fw.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\Drivers\98081.sys','');
QuarantineFile('\??\C:\WINDOWS\system32\Drivers\103989.sys','');
BC_DeleteFile('\??\C:\WINDOWS\system32\Drivers\103989.sys');
BC_DeleteFile('\??\C:\WINDOWS\system32\Drivers\98081.sys');
BC_DeleteFile('\SystemRoot\system32\drivers\runtime2.sys');
BC_DeleteFile('System32\DRIVERS\smtpdrv.sys');
BC_DeleteSvc('runtime2');
BC_DeleteSvc('smtpdrv');
BC_DeleteSvc('Ip6Fw');
BC_DeleteFile('system32\DRIVERS\Ip6Fw.sys');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Все сделал!
Что то еще надо сделать?

повторите логи по правилам ...

Конечно. Карантин загружать. Желательно с файлами из последнего скрипта.

Плюс заново доп. лог в Safe Mode.

[quote=V_Bond;138378]можно узнать какие ? и что в них ?[/quote]

В том-то и дело, что папки вроде как папки, в винде много, в програмс тоже есть пара, но вроде бы все выглядят как и должно быть. [B]На сколько я могу судить[/B]. Многие пустые, или содержат 2-3 файла. Некоторые забиты по-полнее. Но вес совсем не большой 50-100 Мб. Я даже пытался сосчитать на сколько забит диск, насчитал только около 30% от емкости диска. Куда делось остальное не могу понять.

Усыплять машину с запущенными программами не пробовали.
В корне диска "С" м.б. файл cibernate.sys. Где-то примерно так. ;)
Он обычно под 400М бывает.

Карантин загрузил с файлами из последнего скрипта.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Еще вопрос:
можно удалить, то что находится в старом карантине и инфектед?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Усыплять с запущенными программами пробовал пару раз, но такого файла нет. Может где-то в другом месте?

[quote=PavelA;138450]Усыплять машину с запущенными программами не пробовали.
В корне диска "С" м.б. файл cibernate.sys. Где-то примерно так. ;)
Он обычно под 400М бывает.[/quote]