Помогите пожалуйста Win32.Alman.1

короче в дровах к купленой видюхе походу есть жизнь......
доктор веб кричит что это
Win32.Alman.1
начал руатсья на экзешки расположеные на различных локальных дисках, ппц((((


Запустил скрипт в авз4, ниже логи, пожалуйста помогите замочить паразита.:embarasse

а ещё вот авз написал , как это исправить скажите пожалуйста, я никому доступ не открывал, юзаю фаирвол +

>> Безопасность: к ПК разрешен доступ анонимного пользователя

[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]

после перезагрузки как попросила программа AVZ, доктор веб начл ещё сильнее ругатсья , зараженых фаилов стало ещё больше(((( что делать помогите
до AVZ он сидел тихо и мирно пачти.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

жессссть он стал жрать всё подряд((((((((((((((

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

как его отсановить((((

Win32.Alman - файловый вирус. Вот пример: [url]http://www.viruslist.com/ru/viruses/encyclopedia?virusid=156642[/url] . Соответственно, лечить его нужно - загружайтесь в безопасном режиме и запускайте полную проверку антивирусом (в идеале - записать свежий cureit с чистой машины на cd - болванку и запустить проверку им). Проверку следует повторять несколько раз, до тех пор, пока названный вирус не перестанет обнаруживаться. А логов по правилам я не вижу. Virusinfo_cure.zip - карантин AVZ - [b]Уберите его из вложений в теме[/b] и загрузите по ссылке [url]http://virusinfo.info/upload_virus.php?tid=14039[/url] . И с нетерпением ждем, когда появится лог исследования системы и лог Hijackthis.

вложеные фаилы не удаляются, пишет что нет прав....
поповоду ссылки на пример, исполняемых фаилов и ключа в рестре нету(((((((((

уежаю из города на сутки, поставлю полную проверку вебом в сэфе моде,
скажите какие фаилы сканить маски фаилов, exe точно, ещё видел .sys файл в дровах в виндир...или все фаилы проверять?

Полная проверка - это проверка всех файлов :)

по приезду оформлю топик по всем правилам...
извините...

Ждем :)

только приехал домой доктор веб закончил проверку. заражено и излечено больше ста файлов, проверял в безопасном режиме....
читаю рулес.док ОТКЛЮЧАЮ востановление ситстемы в БЕЗОПАСНОМ РЕЖИМЕ,
читаю дальше рулес, думаю нафик я это сделал...
перегружаю комп чтоб начать проверку и сбор инфы по скрипту для virusinfo.info
гружу в нормал
жду.... после загрузки (бегающих кубиков)) на пол секунды синий экран и комп автоматом ребут!!!!!!!
я в шоке... лезу опять в безопасный, чтобы включить востановление системы..
и что я вижу(((( - извините в сэфе моде нельзя включить востановление сист.. плиз подгрузитесь в нормал режиме...
это ппц... приплыли(
пожалуйста скажите что делать.
я дурак внимательно ен просмотрел все фаилы тронутые вебом.
бегло оббежал - одни екзешки полеченые, ну и выключил веб, в логах что то нету ничего по проверке полной.

помогите что делать???

и ещё пару вопросов:
1. если я всё же смогу включить востановление системы, я смогу откатить систему на момент ещё живых екзешников моих((( ? когда их ещё вирус не побил,

2. как можно проверить на наличие вируса папку востановление системы, и где она назодиться?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

скажите как мне или избавиться от этог осинего экрана, или включить систем рестор?

[quote]как можно проверить на наличие вируса папку востановление системы, и где она назодиться?[/quote]
System Volume Information
Раз отключили восстановление, значит папка уже очищена, и это хорошо.

Сделайте в безопасном такой лог:
[url]http://virusinfo.info/showthread.php?t=10387[/url]
и лог HijackThis.

Выполняется стандартный скрипт: 1. Поиск и нейтрализации RootKit UserMode и KernelMode
1.1 Поиск перехватчиков API, работающих в UserMode
Анализ kernel32.dll, таблица экспорта найдена в секции .text
Анализ ntdll.dll, таблица экспорта найдена в секции .text
Анализ user32.dll, таблица экспорта найдена в секции .text
Анализ advapi32.dll, таблица экспорта найдена в секции .text
Анализ ws2_32.dll, таблица экспорта найдена в секции .text
Анализ wininet.dll, таблица экспорта найдена в секции .text
Анализ rasapi32.dll, таблица экспорта найдена в секции .text
Анализ urlmon.dll, таблица экспорта найдена в секции .text
Анализ netapi32.dll, таблица экспорта найдена в секции .text
1.2 Поиск перехватчиков API, работающих в KernelMode
Драйвер успешно загружен
[COLOR="Red"][B] Ошибка обмена с драйвером [00000002] - [1][/B][/COLOR]
1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM


----

протоколы и логи с HijackThis. сейчас выложу

Пофиксьте:
[code]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Hacked by Godzilla
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [WinSysW] H:\WINDOWS\swchost.exe
[/code]
Выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('H:\WINDOWS\swchost.exe','');
DeleteFile('H:\WINDOWS\swchost.exe');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]

сори перезалил

извините...
что значит профиксить?

[url]http://virusinfo.info/showthread.php?t=4491[/url]

всё сделал....
а как нормальный режим системы вернуть(?

И еще один скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\WINDOWS\IGW.exe','');
QuarantineFile('H:\WINDOWSsystem32\drivers\nvmini.sys','');
DeleteFile('H:\WINDOWS\IGW.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите карантин согласно приложению 3 правил.

карантин выслан

[b]Trojan-PSW.Win32.Lmir.bos[/b] H:\WINDOWS\IGW.exe
[b]Trojan-PSW.Win32.OnlineGames.hfr[/b] H:\WINDOWS\swchost.exe

По окончании лечения смените все пароли

swchost.exe - [b]Trojan-PSW.Win32.OnLineGames.hfr[/b]
IGW.exe - [b]Trojan-PSW.Win32.Lmir.bos[/b]

К сожалению в предыдущий скрипт вкралась ошибка ;)
Выполните такой скрипт :
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('H:\WINDOWS\system32\drivers\nvmini.sys','');
DeleteFile('H:\WINDOWS\IGW.exe');
DeleteFile('H:\WINDOWS\swchost.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
После перезагрузки пришлите новый карантин.

все пароли в инэте? О_о или на машине?

делаю скрипт перегружаюсь

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

5 минут все будет готово...

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

карантин выслан,
интересует такой вопрос эти трояны плоды работы Win32.Alman ???
или они давно в системе сидят, возможно ли узнать дату их появления...
и разве тини фаервол не мог блокировать их?

И на машине и в инете... Может и блокировал, но лучше перестраховаться и как можно скорее...

ок, пожалуйста скажите что дальше делать?

Вот чьи это плоды:
nvmini.sys - [b]Rootkit.Win32.Agent.ga[/b]

О_о а этот откуда взялся?

[size="1"][color="#666686"][B][I]Добавлено через 43 секунды[/I][/B][/color][/size]

это всё Win32.Alman ?

[size="1"][color="#666686"][B][I]Добавлено через 57 секунд[/I][/B][/color][/size]

:'-(

Выполните скрипт:
[code]
begin
BC_DeleteFile('H:\WINDOWS\system32\drivers\nvmini.sys');
BC_DeleteSvc('nvmini');
BC_Activate;
RebootWindows(true);
end.[/code]
Пробуйте нормальный режим. Повторите дополнительный лог.

чтозначит повторить доп лог?

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

НОРМ РЕЖИМ работает

и во тсразу вылетело от доктора(((
H:\WINDOWS\AppPatch\AcLue.dll - инфицирован Trojan.NtRootKit.origin

Дополнительный лог - имелось ввиду это:
[url]http://virusinfo.info/showthread.php?t=10387[/url].

Ну раз нормальный режим заработал, тогда сделайте стандартный комплект логов по правилам.

ок, сейчас сделаю все логи....

AcLue.dll лечить нельзя, удалять?

удаляйте, раз антивирь предлагает...

нет такие вещи не лечатся .... это изначально зловред ...

сделал первый лог "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info".
перегрузился, синий экран ща опять в безопасном(((
попробую удалить nvmini.sys и доделать логи (((

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

подгрузился в норм, тварь начала жрать мою колекцию вст(
hijackthis неработает !Ё!!!!!!!! даже измененый неработает

выкладываю что смог
virusinfo_syscheck.zip
virusinfo_syscure.zip.

выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('H:\Documents and Settings\resp_master\Desktop\nvmini.sys');
BC_DeleteFile('H:\WINDOWS\system32\drivers\nvmini.sys');
BC_DeleteSvc('nvmini');
ExecuteRepair(12);
BC_Activate;
RebootWindows(true);
end.
[/code]
сделайте новый комплект логов ...

пока я буду делать логи он всё сожрет((((

[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]

выполнил скрипт, доктор просто разрывается

вы отключаете антивирус на время выполнения скрипта ?

да конечно

давайте новый комплект логов и hijackthis в том числе ....

ок

все логи

Rootkit.Win32.Agent.ga -удален ....
сделайте лог [url]http://virusinfo.info/showthread.php?t=10387[/url]