Printable View
"Виснет" компьютер сразу после загрузки Рабочего стола. В безопасном режиме всё нормально.
Диском касперского проверил, нашел вирусы в папке Java. Доктором Вебом в безопасном режиме проверка выявила проблемы с файлом hosts, исправил.
Интересно, что где-то часов в 10 вечера комп загружается и работает некоторое время. Вторые сутки так.
Логи делал в безопасном режиме.
Уважаемый(ая) [B]tigr62[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Yahoo! Toolbar, Яндекс.Бар если не нужну удалите.
[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]- HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Lingvo Launcher] "D:\Program Files\ABBYY Lingvo 11 Six Languages\Lvagent.exe" /STARTUP
O4 - HKLM\..\Run: [LingvoTraining] "D:\Program Files\ABBYY Lingvo 11 Six Languages\Tutor.exe" /ND /NW /AS
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\Program Files\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [RemoteControl] "D:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [FinePrint Диспетчер v5] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /source=HKLM
[/CODE]
этим отключим эти программы из автозагрузки (если что потом их можно будет включить).
Выполните скрипт AVZ
[CODE]begin
ExecuteWizard('SCU',2,2,true);
RebootWindows(false);
end.[/CODE]
компьютер перезагрузится, что с проблемой ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
если проблема осталась постарайтесь сделать логи в обычном режиме.
[QUOTE=regist;948195]
компьютер перезагрузится, что с проблемой ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
если проблема осталась постарайтесь сделать логи в обычном режиме.[/QUOTE]
[B]Яндекс.бар [/B]удаляться не захотел. Остальное пофиксил.
Проблема осталась.
Успел запустить[B] "Диспетчер задач"[/B]. В закладке [B]"Процессы"[/B] имя пользователя запустившего процесс не отображается. Посмотрел загрузку памяти и процессора, всё в норме. Мышка вроде работает (курсор двигается), но через минуту на щелчок мышкой не реагирует ни один значок на столе и на "Панели задач", невозможно закрыть [B]"Диспетчер задач"[/B]. Клавиатура [B]"Нум_Лок" [/B]работает, но никакие команды с клавиатуры тоже не выполняются.
Сделать еще раз логи?
сделайте но из обычного режима. В крайнем случае попробуйте использовать полимор из моей подписи.
+ Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
[QUOTE=regist;948226]сделайте но из обычного режима. В крайнем случае попробуйте использовать полимор из моей подписи.
+ Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url][/QUOTE]
Запустить ничего в обычном режиме так и не смог. Но кое-что обнаружил.
Зависает комп сразу после старта службы [B]wmiprvse.exe[/B]
И вот еще подозрительная строка в реестре[B] "Steam"=""[/B], не решаюсь её удалить.
[CODE]Windows Registry Editor Version 5.00
[HKEY_USERS\S-1-5-21-73586283-1592454029-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run]
"Steam"=""
"Punto Switcher"="D:\\Program Files\\Punto Switcher\\ps.exe"
"CTFMON.EXE"="C:\\WINDOWS\\system32\\ctfmon.exe"
"amva"="C:\\WINDOWS\\system32\\amvo.exe"[/CODE]
Попытался загрузиться с минимальным количеством служб. Машина не зависает. И в закладке "Процессы" имя пользователя запустившего процесс отображается.
[quote="tigr62;948309"]"Steam"=""[/quote]
и
[quote="tigr62;948309"]"amva"="C:\\WINDOWS\\system32\\amvo.exe"[/quote]
удалите, файл если на диске присутствует, то его в карантин.
лог MBAM сделайте в безопасном.
[QUOTE=regist;948399]и
удалите, файл если на диске присутствует, то его в карантин.
лог MBAM сделайте в безопасном.[/QUOTE]
Файла на диске нет.
[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM [/url] только
[CODE]Объекты реестра обнаружены: 1
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Плохо: (1) Хорошо: (0) -> Действие не было предпринято.[/CODE]
смените пароли от онлайн игр, если ими пользуетесь.
Выполните скрипт в AVZ при наличии доступа в интернет:
[CODE]begin
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then DeleteFile('log\avz_log.txt');
If DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', GetAVZDirectory +'ScanVuln.txt') Then ExecuteScript('ScanVuln.txt')
Else ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
if FileExists(GetAVZDirectory + 'log\avz_log.txt') Then ExecuteFile('notepad.exe', GetAVZDirectory + 'log\avz_log.txt', 1, 0, false);
ExitAVZ;
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
что с проблемой ?
[QUOTE=regist;948523]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
что с проблемой ?[/QUOTE]
Машина виснет по прежнему. Запустить успеваю только [B]HiJackThis[/B]. AVZ если и успеваю запустить то во время исполнения скрипта, винт останавливается и всё виснет. Лог [B]HiJackThis[/B] создать успел.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Смог сделать логи! Непонятно. Поигрался с датами и временем на календаре Виндоувс и машина не зависла. Пока работает.
[QUOTE=regist;948523]
Выполните скрипт в AVZ при наличии доступа в интернет:
[CODE].[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
что с проблемой ?[/QUOTE]
Проверил на уязвимости
Комп не выключаю и не перегружаю. С того момента как заработал. Есмть у меня подозрение, что это не только со временем и датами связано, но и с кликами мышью по Рабочему столу или ярлыкам на рабочем столе. Все операции выполняю через меню Пуск.
[CODE]Поиск критических уязвимостей
Уязвимость службы сервера делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5403c78c-6b87-4788-89c3-0140b887ec6f[/url]
Уязвимости в протоколе SMB делают возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=CCB08A8A-F4D9-4320-8FFB-3FD4FE217987[/url]
Уязвимости в Microsoft DirectShow делают возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=7ab53be3-3f42-4e61-a2bc-3ed41d8736ff[/url]
Накопительное обновление безопасности для браузера Internet Explorer
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=967c9ef3-db48-4c2f-9a67-87851fd54962[/url]
Уязвимость в Центре справки и поддержки Windows
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=7C2122BB-0ECF-4467-A3BA-6FB862F603C5[/url]
Уязвимость обработки графики в оболочке Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=BBEA7EAD-6C5C-4DA8-AA03-A40325FD2DE3[/url]
Уязвимость в службе диспетчера очереди печати делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=93FABA6B-0A85-4ACC-B527-A012BBF56B13[/url]
Обновление функции автозапуска в Windows
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=96ca61f6-8b16-4157-9635-8cfc0bbf4c35[/url]
Уязвимость драйверов режима ядра Windows, делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=8d341077-8fcd-4666-a27e-2141a04a321e[/url]
Уязвимости в ядре Windows могут привести к несанкционированному получению прав
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=A511D33A-9AE0-46EE-A225-9D97390DE7D1[/url]
Уязвимости в Windows Media делают возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=a142f7ba-4268-4453-a8eb-470213c028ac[/url]
Несанкционированные цифровые сертификаты делают возможным подмену содержимого
[url]http://www.microsoft.com/ru-ru/download/details.aspx?id=29975[/url] (требуется лицензионный Windows) или
[url]http://download.microsoft.com/download/1/1/A/11A221A6-953C-40E1-87CD-2A4CD98224C4/WindowsXP-KB2718704-x86-RUS.exe[/url]
Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=017f1ed7-eed4-4de3-aca1-93fb25058866[/url]
Уязвимость в MSXML делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=c34c2511-84d4-4f7e-b61a-086e6ee26ffa[/url]
Уязвимость общих элементов управления Windows делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=f22593be-d0b6-4b83-b0d6-d872d88241b3[/url]
Для установки этого обновления требуется установить SP3 для Office 2003
[url]http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=e25b7049-3e13-433b-b9d2-5e3c1132f206[/url]
Уязвимости в Adobe Flash Player для Internet Explorer
[url]http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_11_active_x.exe[/url]
Уязвимости в Adobe Flash Player для Firefox/Safari/Opera
[url]http://download.macromedia.com/get/flashplayer/current/licensing/win/install_flash_player_11_plugin.exe[/url]
Множественные уязвимости в Sun Java JDK и JRE (32-разрядная версия). Деинсталлируйте старую версию и установите новую:
[url]http://www.java.com/ru/download/manual.jsp[/url]
Обнаружено уязвимостей: 18[/CODE]
Устраняйте уязвимости...
[QUOTE=Techno;948821]Устраняйте уязвимости...[/QUOTE]
Что смог исправил. Обновление Виндоус поставил, а вот IE8, не смог. Удалил Java после этого еще раз сделал логи. Всё же система, как-то на дату и время реагирует. Или работу с календарём, не знаю.
Вот лог уязвимостей
[CODE]Поиск критических уязвимостей
Накопительное обновление безопасности для браузера Internet Explorer
http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=967c9ef3-db48-4c2f-9a67-87851fd54962
Уязвимость общих элементов управления Windows делает возможным удаленное выполнение кода
http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=f22593be-d0b6-4b83-b0d6-d872d88241b3
Для установки этого обновления требуется установить SP3 для Office 2003
http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=e25b7049-3e13-433b-b9d2-5e3c1132f206
Обнаружено уязвимостей: 2[/CODE]
Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]новый Internet Explorer[/URL], а также все доступные [URL="http://www.update.microsoft.com/"]обновления для Windows[/URL]
[b]Techno[/b],
Не могу. Машина по прежнему виснет. IE8 уже несколько раз пытался поставить.
- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].
[QUOTE=Techno;949175]- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].[/QUOTE]
Сделал, но с проблемами. Опять подбирал с помощью календаря дату и время. В общем получается, что если я стартую (в Биосе ставлю время) в 23-33 16 декабря и сразу после загрузки Рабочего стола меняю дату на 15 декабря и затем меняю время на 24-34, а затем возвращаю его опять на 23-34 то комп работает.
таким способом я запустил ComboFix, когда он доработал до конца, то перед перезагрузкой я заметил, что мелькнули три строки:
- [B]1.[/B] [I]удалена папка [/I]- [B]Winlock [/B]в папке с:\ДокументЭндСеттинг\Мама.[B] 2.[/B] к[I]акой-то файл в директории[/I] [B]Виндоус[/B], [B]3.[/B][I]и еще что-то[/I].
После перезагрузки ComboFix начал создавать лог-файл и в этот момент комп завис. Вынужден был перезагрузить и запустить ComboFix. еще раз. В этот раз он всё сделал без перезагрузки и создал лог-файл. Так что боюсь, информация будет не полная.
смените пароли, что сейчас с проблемой ?
[QUOTE=regist;949216]смените пароли, что сейчас с проблемой ?[/QUOTE]
Сменил пароли у всех пользователей их три. Ничего не изменилось.
С помощью [B]WindowsUnLocker[/B] (утилита Касперского ) выяснил следующую проблему. Хотя это не помогло, но посмотрите этот лог
[CODE]Kaspersky Lab WindowsUnlocker, 2012
version 1.2.1 Sep 19 2012 08:04:02
Пожалуйста, выберите команду для выполнения:
1 - Разблокировать Windows
2 - Сохранить копии загрузочных секторов
0 - Выход
(1) :> 1
Проверка раздела "/discs/C:"
Куст реестра "/discs/C:/windows/system32/config/system" открыт успешно
"AlternateShell" - OK
"AlternateShell" - OK
"AlternateShell" - OK
Куст реестра "/discs/C:/windows/system32/config/software" открыт успешно
Обнаружена ОС Windows: Microsoft Windows XP Service Pack 3 ( 2600.xpsp_sp3_qfe.1
"Shell" - OK
"Userinit" - OK
Проверка раздела "/discs/E:"
Проверка раздела "/discs/Веб-браузер"
Проверка раздела "/discs/Kaspersky Rescue Disk"
Проверка раздела "/discs/D:"
Проверка раздела "/discs/sda3"
Проверка раздела "/discs/Диспетчер файлов"
Проверка раздела "/discs/Kaspersky Registry Editor"
Куст реестра "/discs/C:/Documents and Settings/LocalService/NTUSER.DAT" открыт у
Куст реестра "/discs/C:/Documents and Settings/NetworkService/NTUSER.DAT" открыт
Куст реестра "/discs/C:/Documents and Settings/U1/NTUSER.DAT" открыт успешно
Куст реестра "/discs/C:/Documents and Settings/Mama/NTUSER.DAT" открыт успешно
"praetorian" : "c:\documents and settings\mama\local settings\application data\y
"gamexn go" : ""c:\documents and settings\all users\application data\gamexn\game
praetorian - удалено
gamexn go - удалено
Куст реестра "/discs/C:/Documents and Settings/Администратор/NTUSER.DAT" открыт
Пожалуйста, выберите команду для выполнения:
1 - Разблокировать Windows
2 - Сохранить копии загрузочных секторов
0 - Выход [/CODE]
Далее обнаружил еще одну проблему в [b]Панели задач[/b] висит значок [b]"[i]Безопасное извлечение устройства[/i]" [/b] хотя я никаких устройств не подключал и на компе их нет. Щелкнул по значку и вывесило надпись - "[i]Безопасное извлечение [b]Название Винчестера[/b] (С: D: E:)[/i]"
В безопасном режиме открыл "Диспетчер устройств", скринШот прикрепляю
Зашел в систему с учеткой без прав админа. Комп не завис. Сделал логи AVZ, когда запустил hijackthis, вывесило окно (см. скриншот). Посмотрел файл hosts, там всё нормально - одна строка размер, 1Кб.
[URL="http://support.kaspersky.ru/faq/?qid=208639606"]Сделайте лог TDSSKiller[/URL]
[quote="tigr62;950122"]hijackthis, вывесило окно (см. скриншот).[/quote]
это следствие того, что у программы не было прав админа.
ждём запрошенный лог от имени админа :).
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
[quote="tigr62;950122"]hijackthis, вывесило окно (см. скриншот).[/quote]
это следствие того, что у программы не было прав админа.
ждём запрошенный лог от имени админа :).
А как сохранить Лог-файл а TDSSKiller?
Я открываю по окончании Отчет. Но нет нигде кнопки сохранить и скопировать текст с этого отчета я тоже не могут.
Скачайте, распакуйте и запустите TDSSKiller:
[url]http://support.kaspersky.ru/faq/?qid=208636926[/url]
Если программа обругается на файл WINDOWS\system32\Drivers\sptd.sys, то не удаляйте его.
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
Лог нашел. Установил Comodo и проверил с помощью него, нашел пару подозрительных объектов в папке Программ_Файлс
[CODE]Malware@#144suq4z8b9o4 C:\Program Files\Common Files\ASCON Shared\BOSimple.DLL
Malware@#220wjjufdkz47 C:\Program Files\Passware\ariskkey.dll[/CODE]
[LIST=1][*]Скопируйте следующий текст в [U]Блокнот[/U] и сохраните в папку с распакованным [B]TDSSKiller.exe[/B], как [b]fix.bat[/b]:[code]tdsskiller.exe -silent -sigcheck -qsus -qsus[/code][*]Запустите файл [b][i]fix.bat[/i][/b];[*]Найдите в корне системного диска (обычно это диск [i]C:[/i]) папку [b][i]TDSSkiller_Quarantine[/i][/b];[*]Заархивруйте эту папку с паролем [B][COLOR="#FF0000"]virus[/COLOR][/B]. И и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.[/list]
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
[quote="tigr62;950682"]Comodo и проверил с помощью него, нашел пару подозрительных объектов[/quote]
их тоже заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
Файлы отправил
в карантине всё чистое, что с проблемами ?
[QUOTE=regist;950729]в карантине всё чистое, что с проблемами ?[/QUOTE]
Без изменений. Не стал играться с датами и временем и комп завис, секунд через 30.
пуск -выполнить - msconfig - поставьте галочку диагностический запуск. Примените, перезагрузитесь и понаблюдайте.
[QUOTE=regist;950870]пуск -выполнить - msconfig - поставьте галочку диагностический запуск. Примените, перезагрузитесь и понаблюдайте.[/QUOTE]
Поработал в таком режиме. Перезагружал, открывал окна. Всё работает стабильно.
Значит проблема в программах в автозапуске. Отключайте их по частям и найдёте виновную.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]