[COLOR=#333333]Ребенок, посидев за компьютером полчаса умудрился подхватить вирус, подменяющий mail.ru, не могу пользоваться почтой, поддельный сайт требует отправки смс. [/COLOR][COLOR=#333333]Помогите[/COLOR][COLOR=#333333], пожалуйста.[/COLOR]
[COLOR=#333333]Проверка Kaspersky AVPTool выявила вирус и удалила, но на сайт он по-прежнему не пускает.[/COLOR]
Уважаемый(ая) [B]izza[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Загрузите virusinfo_autoquarantine.zip из папки AVZ\LOG по красной ссылке в шапке этой темы "Прислать запрошенный карантин".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\Admin\Application Data\taskhost.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\Ohxeyt\amemy.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\nvemu.sys','');
DeleteFile('C:\Documents and Settings\Admin\Application Data\Ohxeyt\amemy.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','{D146D372-94FB-34FF-4660-4299C309DCBD}');
DeleteFile('C:\Documents and Settings\Admin\Application Data\taskhost.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Taskhost');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке в шапке этой темы "Прислать запрошенный карантин".
Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
вот, проверьте меня, пожалуйста.
Лучше стало?
При подключенном интернете выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
ExecuteWizard('SCU', 2, 2, true);
ClearQuarantine;
ExecuteAVUpdate;
ExecuteStdScr(4);
end.
[/CODE]
Скрипт будет выполняться несколько минут (обычно не больше 10), по окончании появится окно с сообщением о успешном выполнении скрипта.
После этого в папке AVZ\LOG появится файл вида virusinfo_files_<имя вашего компьютера>.zip.
Загрузите этот файл по этой ссылке:
[url]http://virusinfo.info/upload_clean.php[/url]
По окончании загрузки скопируйте информацию о загрузке и вставьте ее в ваше следующее сообщение.
Выполните скрипт в AVZ отсюда (скопируйте там весь текст):
[url]http://dataforce.ru/~kad/ScanVuln.txt[/url]
Если будут найдены уязвимости, в папке AVZ\LOG появится файл avz_log.txt. Приложите его в теме.
Затем откройте его в блокноте, пройдите по всем ссылкам и установите указанные там обновления.
Перезагрузите компьютер, выполните еще раз этот скрипт и убедитесь, что обновления установились.
Файл сохранён как 130401_103623_virusinfo_files_MICROSOF-1C4EC9_515963277d60c.zip
Размер файла 20963324
MD5 446157d4810af1d47862953f0dc3dccd
что с проблемой ?
вот:
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
всё также- выводит свою страницу
1)Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
ClearQuarantineEx(true);
FSResetSecurity('C:\WINDOWS\SYSTEM32\RPCSS.DLL');
QuarantineFile('C:\WINDOWS\SYSTEM32\RPCSS.DLL','');
BC_ImportALL;
BC_Activate;
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
2)
[LIST=1][*]Вставьте диск, с которого устанавливали Windows (либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.[*][LIST][*]Если у вас windows Vista или windows 7 откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".[*]Если у вас windows XP откройте меню Пуск (Start) -> Выполнить (Run)[/LIST]
[*]Введите sfc /scannow и нажмите Энтер.[*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.[/LIST]
п. 2 не получится сегодня, спасибо.
а п.2) обязательный? не могу найти этот диск. :(
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
п. 2 выполнен-нет изменений
Установите [url]http://www.microsoft.com/ru-ru/download/confirmation.aspx?id=15124[/url]
Ребята, вы суперрр! Всем СПАСИБО!
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
ложной страницы нет, это значит лечение окончено?
- Повторите логи [B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log[/B].
111
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните в АВЗ:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('nvemu', 4);
StopService('nvemu');
QuarantineFile('c:\program files\avira\antivir desktop\sched.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\nvemu.sys','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\ICQM\ICQ\dll\mramenu.dll','');
DeleteFile('C:\WINDOWS\system32\drivers\nvemu.sys');
DeleteService('nvemu');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
[COLOR="#FF0000"]Компьютер перезагрузится[/COLOR]
[B]После перезагрузки:[/B]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine1.zip');
end.[/CODE]
Файл [B]quarantine1.zip[/B] из папки AVZ загрузите по ссылке "[COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR]" вверху темы.
- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]
- Повторите логи [B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log[/B].
проверьте, пож-та!
- [URL="http://virusinfo.info/showthread.php?t=58309"]Сделайте лог ComboFix[/URL].
вот
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C:.
[code]
KillAll::
File::
c:\windows\system32\drivers\nvemu.sys
Driver::
nvemu
NetSvc::
Folder::
Registry::
FileLook::
DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
готово
c:\windows\system32\drivers\nvemu.sys - проверьте этот файл на [url]https://www.virustotal.com/ru/[/url]
c:\Qoobox\quarantine\c:\windows\system32\drivers\nvemu.sys.vir-есть только этот файл, [url]https://www.virustotal.com/ru/[/url] говорит, что уже проверял его
[quote="izza;992194"]говорит, что уже проверял его[/quote]
нажмите проверить снова. Ссылку на результат проверки напишите здесь.
Еще раз ComboFix сделайте.
[URL="http://support.kaspersky.ru/faq/?qid=208639606"]Сделайте лог TDSSKiller[/URL]
[url]https://www.virustotal.com/ru/file/c8e87694c8cef07851fec20d53937afb3e0485ec220959ad053dd4c9aece6be2/analysis/1365736386/[/url]
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
вот остальные:
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на диск C:.
[code]
KillAll::
File::
Driver::
nvemu
NetSvc::
Folder::
Registry::
FileLook::
DirLook::
Reboot::
[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[IMG]http://safezone.cc/images/cfscript.gif[/IMG]
Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.
готово
[quote="Techno;992621"]Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt [B]на диск C[/B]:.[/quote]
переделывайте ;)
+ [CODE]c:\Kct\SWnd5\gnagent.exe[/CODE]
вам знаком этот файл ?
да, это от нужной программы, ее авира воспринимает как угрозу.
правильно?
Извините, может не понятно написано ? надо [U]сохранить файл CFScript.txt в корень диска С[/U] вы его упорно сохраняете на рабочий стол.
переделывайте снова.
[U]сохранить файл CFScript.txt в корень диска С[/U] вы его упорно сохраняете на рабочий стол.
конечно, вы , наверное, забыли, что я "лошара". извините, пож-та. так правильно?
Еще раз сообщение №20 выполните [url]http://virusinfo.info/showthread.php?t=136058&p=991865&viewfull=1#post991865[/url]
готово
- [URL="http://virusinfo.info/showthread.php?t=58309&p=500136&viewfull=1#post500136"]Удалите ComboFix.[/URL]
Что с проблемами?
спасибо огромное, теперь машина-зверь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]20[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\rpcss.dll - [B]Trojan.Win32.Patched.pj[/B][/LIST][/LIST]