Подозрение на Win32.Jeefo.a-им заражены все запускаемые svchost.exe

Здравствуйте, жили мы себе и проблем не знали, систему антивирусом проверяли постоянно, все загруженные из и-нета файлы также...вначале был Касперский 7.0. Но что-то с компом подозрительное приключилось, то Каспер тормозит систему,хотя я никуда не заходила в этот момент. Начала проверять другими он-лайн сканами систему..Панда нашла 2 трояна(удалила), затем Симантек-2, затем БитДефендер-2...А затем все пишут,что система чиста. Вот недавно загрузила программу HiJackFree (все запущенные процессы показывает, и говорит чем оный заражен...в итоге все службы,запускаемые через svchost.exe заражены этим Win32.Jeefo.a!! А ВСЕ антивири его в упор не видят. Да в добавок другие вирусы,например. winamp.exe---Win32RBot, Backdoor.Win32.Webdoz.p и др., процесс CTFMON.EXE ---Infostealer.Raidys, Troj\Spyhoax, в alg.exe (в папке system32) прописались NetSpy, RemotStorm!!! В services.exe---живет Email-Worm.Win32.Sober.z, в mdm.exe -P2P-Worm.Win32.VB.at, в expplorer.exe прописался троян Trojan.Zapchas.ac и тд. и т п.!!. Помогите!!! Как избавиться оот этой гадости? или может это прога эта "виновата"? Ведь НИ ОДИН антивир их не видит!!! ДА еще подозрительно появление в папке system32 файлов одного имени,но с (2)в названии (например: svchost.exe и svchost(2).exe, alg.exe и alg(2).exe. Это разве нормально? и что с этим делать?
P.S. Посоветуйте,пожалуйста, как защитить комп на будущее от этого рода гадостей...(если конечно не пора его уже "закапывать":embarasse)
И может, подскажете какой антивир лучше все это ловит (сорри, если не по теме)

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\statcontrol.exe','');
QuarantineFile('C:\WINDOWS\system32\sfrem01.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите крантин согласно приложения 3 правил ...
скорее всего все чисто ... определитесь с антивирусом ... у вас сейчас два активны .... и хвосты еще от двух болтаются ... из всего что у вас было я бы оставил касперского ...

Спасибо за совет. После выполнения скрипта система пошла на перезагрузку..Но затем остановилась на пустом рабочем столе(только обои)..Так и должно быть?..Поэтому пришлось перезагрузиться через Reset. А проге HiJackFree стоит вообще доверять.,потому что по ее мнению вначале некоторые svchost.exe очистились от Win32.Jeefo.a, но потом опять им заразились!!:? И оставлять ли в системе файлы типа svchost(2).exe? Подскажите,плиззз.

[I]Файл Svchost.exe расположен в папке %SystemRoot%\System32. В процессе загрузки на основании записей в реестре Svchost.exe составляет список служб, которые необходимо запустить. [B]Одновременно могут быть запущены несколько экземпляров процесса Svchost.exe[/B]. Каждый сеанс Svchost.exe содержит группировку служб, следовательно, отдельные службы могут выполняться в зависимости от того, как и когда был запущен Svchost.exe. Таким образом улучшается контроль и упрощается отладка...
[/I]
сбой при работе скрипта скорее всего вызван ... большим количеством анти софта .... (уберите лишнее и все сначала) ...

В смысле отключить антивир?

в смысле совсем ... деинсталировать ... оставить один ...

Деинсталировала все анти софы--перезагрузка прошла нормально..А теперь что делать?...Просто в процессе этих "моих исследований" пришлось отключить автозапуск процессов CTFMON.exe, winamp.exe, mdm.exe, удалила HiJackFree- как узнать есть что-нибудь или все чисто??

теперь нужно прислать карантин ... согласно приложения 3 правил ...

Извините.Сейчас пришлю

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

Карантин пришел или как?

[QUOTE=Irena;139099]Карантин пришел или как?[/QUOTE]

Да, пустой, третий раз посылать не надо.

в вашем карантине пусто ...
statcontrol.exe и sfrem01.exe ппробуйте поискать через AVZ - сервис -поиск файлов на диске ... если найдутся пришлите по правилам ...

Ясно. Файлов с такими названиями AVZ не нашел..
Спасибо за помощь. Можно считать,что система в порядке?..
AVZ писал о возможных "лазейках" в безопасности...нужно мне какие либо службы закрывать или так все оставить?

что из этого нужно ? остальное поможем закрыть ...
>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> Службы: разрешена потенциально опасная служба TermService (Службы терминалов)
>> Службы: разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> Службы: разрешена потенциально опасная служба Schedule (Планировщик заданий)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Диспетчер сеанса справки для удаленного рабочего стола)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Не особо разбираюсь в том, для чего нужны данные службы. Судя по названиям..службу удаленного управления реестром и разрешение доступа анонимного пользователя-вроде не нужны. А может подскажете..какие из этих служб понадобятся для моего компа...
Если это домашний компьютер, используются менеджеры закачек eMule(в том числе поиск и загрузка файлов через него) и DownloadMaster, временами ICQ, OutlookExpress?
P.S. Сомнение вызывает тот факт (когда узнала о возможном заражении компа Win32.Jeefo___.a загрузила прогу по лечению всех exe.-файлов), запускаю, пишет,что может не вылечитьфайлы,т.к. запускается без прав администратора,(может это было из-за перехватчиков ???)) И как все-таки определить, заражены файлы этим Джифой или...у меня паранойя:Z???.

Virus.Win32.Jeefo я у вас не вижу ... его умеют лечить практически все известные антивирусные программы ...
для закрытия уязвимостей выполните скрипт...
[code]
begin
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('RDSessMgr', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.
[/code]

На всякий пожарный такой совет: скачать cure-it с freedrweb.ru, записать на CD на чистом компьютере. Загрузиться в Safe Mode и проверить им весь компьютерЮ, не трогая во время проверки клавиатуру и мышь.

Спасибо за совет. А если в ближайшее время с чистого компа загрузить Cureit не получится..то другого способа нет??? И в принципе может такое быть,что ни один антивирь не увидит вирус (тот.например обосновался на компе и автоматически маскирует себя...)или в любом случае антивир заметит вирус...А как же тогда с зараженным самим антивирем.такое тоже возможно...Или я перестраховываюсь..И может все-таки скажете, что показывает прога HiJackFree (заражение вирусом процессов и служб ИЛИ только подверженность этим заражениям??) Просто до ее загрузки все было в порядке..а эта штука заронила пдозрения ..и избавиться от них трудновато..
P.S. Посоветуйте что-нибудь...или вы не знаете что это за прога?.
P.S.S. Еще: если сохранить на диске HTML-страницу полностью, то система не опознает сохраненный файл (нет иконки Эксплорера,а только значок,означающий,что система не знает чем открыть),хотя при нажатии на него страница запускается..ЭТО может быть следствием "работы" вируса или повреждением каких-либо приложений/файлов???

HiJackFree - сделайте лог при помощи нее и прикрепите сюда.
Посмотрим на что она ругается.
А еще лучше скриншот с ее руганью.

Вообще-то прога сам по себе лог не создает(???), а проводит он-лайн анализ и показывает процесс и его состояние(заражен или нет..типа плохие и хорошие "процессы". Например говорит что emule.exe-только плохой..временами выдавал,что запускается сразу два процесса AVK (антивир касперского),оба заражены каким-то Mutbo-A(трояном),поэтому я и удалила Каспера. Может выслать этот "анализ"прогой в формате Ворда или веб-страницы??

все сохраняется ... там вверху значек с дискеткой ... плюс после иисследования спрашивается .... сохранить результаты ... правда на английском ...

Может этот файл..просто там несколько "подменю" и в каждом свои показания:Процессы, Автозапуск, Службы,Порты..

выполните скрипт...
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\svchost.exe','');
QuarantineFile('C:\WINDOWS\system32\mnmsrvc.exe','');
QuarantineFile('C:\WINDOWS\system32\lsass.exe','');
QuarantineFile('C:\WINDOWS\system32\services.exe','');
BC_ImportQuarantineList;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...

Карантин пришел?Файл сохранён как071003_120906_virus-karantin_4703ccb21d57f.zipРазмер файла2289MD54b908f39c603846d3d79f79b36835dd4

карантин пустой .... попробуйте выполнить скрипт в Safe mode ...

выполнила скрипт в SafeMode. Высылаю карантин
Файл сохранён как 071003_124053_virus_4703d4259a975.zip
Размер файла 2286
MD5 3345e96a6a59cb38ce203fe8900a8185

в карантине снова пусто ... значит AVZ уверен в их безопастности ...
попробуйте на всякий случай .... сделать полную проверку Cureit ...

Хорошо,сейчас проверим...

CureIT ничего не нашел, AVZ говорит о прямом чтении некоторых файлов (приложен лог): Это нормально? Подозрительным назвал только прогу jeefogui.com (для лечения всех файлов, зараженных Win32.Jeefo.a). А прога a-squaredFree нашла 3 вредных файла - HeuristicArchivebomb и ВСЕ. Но по показаниям HiJackFree все службы svchost.exe, services.exe все равно заражены этим Джифой...

[QUOTE=Irena;139814] А прога a-squaredFree нашла 3 вредных файла - HeuristicArchivebomb и ВСЕ. Но по показаниям HiJackFree все службы svchost.exe, services.exe все равно заражены этим Джифой...[/QUOTE]

Очень хочется увидеть как она об этом говорит. К сожалению, это не наша утилита. Всех ее возможностей до конца не знаем.

Если вы про HiJackFree, то: проводится он-лайн анализ данных о системе. Формат HTML-страница, поэтому могу выслать только эти данные в Worde (заархивировано WInRAR)--если желтым обозначено,то процесс используется и вредным файлом и самим приложением/службой, если красным - то только "вирусом"--и если нажать на "View Details" - то показано какая команда в этом процессе носит вредоносный "характер". Также были зараженные процессы((когда стояли в автозапуске--->пришлось убрать из автозапуска)):
1) mdm.exe (из Program Files\Common Files\Microsoft Shared\VS7Debug) там был P2P-Worm.Win32.VB.at,
2) nerocheck.exe (С:\WINDOWS\system32\Nerocheck.exe) -там Trojan-Proxy.Win32.Small.de,и_ Tactslay Family
3) gttask.exe ( из С:\Program Files\Quick Time)- CoolWebSearch и Dialer.Trafficadvance
4) WinampAgent( C:\Program Files\Winamp\ winampa.exe)-- тут обнаружены Win32RBot, BackdoorAgobot.nc,Backdoor.Win32.Webdoz.p, Backdoor.SdBot.ld и Tactslay.B (или W32Agobot-GS)
5) CTFMON.EXE ( из system32 в процессе ctfmon.exe) - здесь CoolWebSearch Ctfmon 32, Infostealer.Raidys и Troj/ Spyhoax-A
Мне просто не верится что вся эта гадость могла попасть в систему (когда вроде бы все тщательно проверяется на наличие вирусов и тп)
P.S. последнее время замечала такое----процесс прога детектирует (напр MsAgent.exe), а потом сообщает об ошибке, т.к. такого процеса нет и быть не могло!! И в автозапуске "ругается" на WebCheck (webcheck.dll из system32) - что это [EMAIL="W32.Cone.D@mm"]W32.Cone.D@mm[/EMAIL] и [EMAIL="W32.Cone.F@mm"]W32.Cone.F@mm[/EMAIL] (ЧЕРВИ!!)___ и SysTray (stobject.dll) - заражен червями и троянами!!? (скриншот приложен)
МОЖЕТ это прога глюканутая??? Помогите,пожалуйста...

Вот например об этих "желтых" службах прога пишет: (скриншот 1-й)...
И про другие службы,напр. services.exe (2-й)..
И другие "желтые" svchost.exe имеют такие "комментарии"(3-й),также эти "свхосты" (4-й)(((3-й и 4-й не уместились на сервере--придется выложить после того как будут ненужны предыдущие 2 файла (1-й и 2-й).....
Посмотрите, пожалуйста, на что это похоже???:?

@Irena Давайте поступим так: Скачайте Cure-It на заведомо чистом РС, сбросьте его на диск.
Проверьте систему в защищенном режиме (Safe Mode), а затем в нормальном. Лучше если есть такая возможность, загрузившись с СД.

Логи приложите сюда. После этих проверок будем делать выводы.

Второй вариант, не исключающий первого:
[QUOTE]
1) mdm.exe (из Program Files\Common Files\Microsoft Shared\VS7Debug) там был P2P-Worm.Win32.VB.at,
2) nerocheck.exe (С:\WINDOWS\system32\Nerocheck.exe) -там Trojan-Proxy.Win32.Small.de,и_ Tactslay Family
3) gttask.exe ( из С:\Program Files\Quick Time)- CoolWebSearch и Dialer.Trafficadvance
4) WinampAgent( C:\Program Files\Winamp\ winampa.exe)-- тут обнаружены Win32RBot, BackdoorAgobot.nc,Backdoor.Win32.Webdoz.p, Backdoor.SdBot.ld и Tactslay.B (или W32Agobot-GS)
5) CTFMON.EXE ( из system32 в процессе ctfmon.exe) - здесь CoolWebSearch Ctfmon 32, Infostealer.Raidys и Troj/ Spyhoax-A[/QUOTE]
- эти файлы найти через AVZ. Добавить в карантин и загрузить через ссылку вверху темы.

1) В Safe Mode- CureIT ничего не нашел, но AVAST смог найти еще 3 вредоносных файла,зараженные по его мнению Win 95: CIH-1106, Win32:CTX и Win32:Agent-AWB.. Вот логи от CureIT((в Safemode и в обычном режиме)) и Avast (пути файлов, которые потом были удалены). Подозрительны некоторые файлы .exe -как оказалось службы и файлы из автозапуска (архив Rar)
Высылаю подозрительные файлы (службы,которые AVZ посчитал подозрительными). Но при перемещении в карантин некоторых файлов в протоколе AVZ говорится об ошибке прямого чтения--вот лог---файл называется ___avz(pri avtokarantine)_log.txt. Что это означает??
2) P.S. Сомнение вызывает то что временами процесс svchost.exe просится на изменение/перезапись...Avast предлагает эту "перезапись" разрешить/запретить..Я запрещала..Это вообще нормально??? Или все-таки не пускать svchost.exe на изменение???:'-(

3) ДА--и еще пробовала устанавливать McAfee... предлагал потереть некоторые ветки реестра..стоит ли в этом ему довериться??? Хотя тот же HiJakcFree распознает все его модули как вирусные!!! службы!!?? Подскажите,плизз,в чем тут дело...

"Карантин" пришел?? Файл сохранён как071012_135114_virus-podozritelnie slujbi_470fc222dd237.zipРазмер файла4823633MD5ecc0d17ebacb8871cc703ee2f6d15260

[quote=Irena;141646]1) В Safe Mode- CureIT ничего не нашел, но AVAST смог найти еще 3 вредоносных файла,зараженные по его мнению Win 95: CIH-1106, Win32:CTX и Win32:Agent-AWB.. Вот логи от CureIT((в Safemode и в обычном режиме)) и Avast (пути файлов, которые потом были удалены). Подозрительны некоторые файлы .exe -как оказалось службы и файлы из автозапуска (архив Rar)
Высылаю подозрительные файлы (службы,которые AVZ посчитал подозрительными). Но при перемещении в карантин некоторых файлов в протоколе AVZ говорится об ошибке прямого чтения--вот лог---файл называется ___avz(pri avtokarantine)_log.txt. Что это означает??
2) P.S. Сомнение вызывает то что временами процесс svchost.exe просится на изменение/перезапись...Avast предлагает эту "перезапись" разрешить/запретить..Я запрещала..Это вообще нормально??? Или все-таки не пускать svchost.exe на изменение???:'-(

3) ДА--и еще пробовала устанавливать McAfee... предлагал потереть некоторые ветки реестра..стоит ли в этом ему довериться??? Хотя тот же HiJakcFree распознает все его модули как вирусные!!! службы!!?? Подскажите,плизз,в чем тут дело...[/quote]
________________
Ответьте пожалуйста на Все эти (может даже и не очень умные/логичные) вопросы/запросы:pray:. Это для меня Оччень важно!!!!!!!!:plach:
___
P.S>Может я :262:....или не все так плохо???

Да,еще,если не трудно...если программа/диск(виртуальный) содержит "decompression bomb"? Это нормально?Так и должно быть?:?

Это файл очень большого размера. Вполне м.б. и безвредный.

Спасибо,PavelA, а на предыдущие вопросы ответьте,если можно...