Помогите удалить вирус!!!!

Printable View

10.11.2007, 03:18
Koss

Вложений: 3

Помогите удалить вирус!!!!

У меня на компьютере появился вирус stardrv.exe Использую Avast Antivirus,Ad-Awar - удалять не хотят. Постоянно появляются трояны,удаляю они опять появляются , stardrv.exe вообще не хочет удаляться То он есть ,то его нет.Компьютер очень сильно тормозит и даже зависает.Запустился Active Desktop и не понятно как его отключить До этого постоянно выдавал ошибку explorer.exe,сечас перестал,"центр безопасности" говорит ,что компьютер не защищён (файерволл отключен). Прошу помочь и посоветовать что делать.
10.11.2007, 03:26
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\Mstray.exe','');
QuarantineFile('\SystemRoot\System32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\system32\vdmmslel.exe','');
QuarantineFile('C:\WINDOWS\LINKINFO.dll','');
DeleteFile('C:\WINDOWS\Mstray.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_ImportALL;
BC_QrSvc('runtime2');
BC_DeleteSvc('runtime2');
BC_DeleteFile('C:\WINDOWS\system32\drivers\runtime2.sys');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится. Должно заметно полегчать.

Поищите через AVZ: Сервис - Поиск файлов... такой файл: [b]advfzgmi.exe[/b]. Если найдется - добавьте в карантин. Затем пришлите весь карантин согласно приложению 3 правил.
10.11.2007, 03:38
Koss

Огромное спасибо за оперативность! Я ушёл спать. Завтра обязательно выполню скрипт, и посмотрим, что будет дальше.

Не подскажете ещё, как отключить Active Desktop? Поисковики предлагают сделать это на закладке Web: Properties - Desktop - Customize Desktop... но проблема в том, что у меня закладки Web в указанном месте вообще нет (
10.11.2007, 05:04
Bratez

После отправки карантина
1. Пофиксите в HijackThis:
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,userinit.exe
O20 - Winlogon Notify: kerberos4 - C:\WINDOWS\
[/code]
2. Выполните скрипт в AVZ:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\a3dr.exe','');
QuarantineFile('C:\WINDOWS\system32\acctresb.exe','');
QuarantineFile('C:\WINDOWS\system32\3076r.exe','');
QuarantineFile('C:\WINDOWS\system32\adptifl.exe','');
QuarantineFile('C:\WINDOWS\system32\3com_dmir.exe','');
QuarantineFile('C:\WINDOWS\system32\1025t.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinlz.exe','');
QuarantineFile('C:\WINDOWS\system32\adsmsextj.exe','');
QuarantineFile('C:\WINDOWS\system32\acluip.exe','');
QuarantineFile('C:\WINDOWS\system32\a3dapiz.exe','');
QuarantineFile('C:\WINDOWS\system32\12520437j.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsx.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinl.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsv.exe','');
QuarantineFile('C:\WINDOWS\system32\2052z.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsp.exe','');
DeleteFile('C:\WINDOWS\system32\a3dr.exe');
DeleteFile('C:\WINDOWS\system32\acctresb.exe');
DeleteFile('C:\WINDOWS\system32\3076r.exe');
DeleteFile('C:\WINDOWS\system32\adptifl.exe');
DeleteFile('C:\WINDOWS\system32\3com_dmir.exe');
DeleteFile('C:\WINDOWS\system32\1025t.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinlz.exe');
DeleteFile('C:\WINDOWS\system32\adsmsextj.exe');
DeleteFile('C:\WINDOWS\system32\acluip.exe');
DeleteFile('C:\WINDOWS\system32\a3dapiz.exe');
DeleteFile('C:\WINDOWS\system32\12520437j.exe');
DeleteFile('C:\WINDOWS\system32\activedsx.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinl.exe');
DeleteFile('C:\WINDOWS\system32\activedsv.exe');
DeleteFile('C:\WINDOWS\system32\2052z.exe');
DeleteFile('C:\WINDOWS\system32\activedsp.exe');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

3. Пришлите новый карантин согласно приложению 3 правил.

4. Сделайте новые логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 22 минуты[/I][/B][/color][/size]

[quote]Не подскажете ещё, как отключить Active Desktop?[/quote]
Разберемся и с этим, только сначала заразу надо вылечить.
10.11.2007, 20:43
Koss

Вложений: 3

Спасибо большое))Я всё сделал как вы сказали, но какие-то ошибки всё рано остались))) Новые логи я приложил)) Проверьте пожалуйсто
10.11.2007, 20:57
rubin

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\vdmmslel.exe','');
QuarantineFile('C:\WINDOWS\Temp\startdrv.exe','');
QuarantineFile('C:\WINDOWS\system32\adptifl.exe','');
QuarantineFile('C:\WINDOWS\system32\acctresb.exe','');
QuarantineFile('C:\WINDOWS\system32\1025t.exe','');
QuarantineFile('C:\WINDOWS\system32\3076r.exe','');
QuarantineFile('C:\WINDOWS\system32\3com_dmir.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinlz.exe','');
QuarantineFile('C:\WINDOWS\system32\adsmsextj.exe','');
QuarantineFile('C:\WINDOWS\system32\acluip.exe','');
QuarantineFile('C:\WINDOWS\system32\a3dapiz.exe','');
QuarantineFile('C:\WINDOWS\system32\12520437j.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsx.exe','');
QuarantineFile('C:\WINDOWS\system32\ActiveSkinl.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsv.exe','');
QuarantineFile('C:\WINDOWS\system32\2052z.exe','');
QuarantineFile('C:\WINDOWS\system32\activedsp.exe','');
QuarantineFile('C:\WINDOWS\LINKINFO.dll','');
DeleteFile('C:\WINDOWS\system32\vdmmslel.exe');
DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
DeleteFile('C:\WINDOWS\system32\3076r.exe');
DeleteFile('C:\WINDOWS\system32\acctresb.exe');
DeleteFile('C:\WINDOWS\system32\adptifl.exe');
DeleteFile('C:\WINDOWS\system32\3com_dmir.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinlz.exe');
DeleteFile('C:\WINDOWS\system32\adsmsextj.exe');
DeleteFile('C:\WINDOWS\system32\acluip.exe');
DeleteFile('C:\WINDOWS\system32\a3dapiz.exe');
DeleteFile('C:\WINDOWS\system32\12520437j.exe');
DeleteFile('C:\WINDOWS\system32\activedsx.exe');
DeleteFile('C:\WINDOWS\system32\ActiveSkinl.exe');
DeleteFile('C:\WINDOWS\system32\activedsv.exe');
DeleteFile('C:\WINDOWS\system32\2052z.exe');
DeleteFile('C:\WINDOWS\system32\activedsp.exe');
DeleteFile('C:\WINDOWS\LINKINFO.dll');
BC_ImportAll;
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Затем опять повторите логи...
11.11.2007, 00:42
Koss

Вложений: 3

Спасибо))) Сделал!!! Пока всё равно находит ошибки и подозрительные файлы
11.11.2007, 01:09
V_Bond

пофиксите ...
[code]
O4 - HKLM\..\Run: [xswdmse] advfzgmi.exe
O4 - HKLM\..\Run: [xswdmse] advfzgmi.exe
[/code]
выполните скрипт ...
[code]
begin
BC_DeleteSvc('DnscacheSchedule');
BC_DeleteSvc('gusvcRpcSs');
BC_DeleteSvc('HidServupnphost');
BC_DeleteSvc('HTTPFilterxmlprov');
BC_DeleteSvc('HTTPFilterxmlprovPolicyAgent');
BC_DeleteSvc('MSDTCHTTPFilterxmlprov');
BC_DeleteSvc('RasManRemoteAccess');
BC_DeleteSvc('srserviceEventlog');
BC_DeleteSvc('TapiSrvProtectedStorage');
BC_DeleteSvc('TapiSrvProtectedStoragedmserver');
BC_DeleteSvc('TrkWksProtectedStorage');
BC_DeleteSvc('VSSFastUserSwitchingCompatibility');
BC_DeleteSvc('VSSFastUserSwitchingCompatibilityRasAuto');
BC_DeleteSvc('WmdmPmSNRSVP');
BC_DeleteSvc('wuauservIDriverT');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог HijackThis
11.11.2007, 01:56
Koss

Вложений: 1

Cделал)Во время выполнения скрипта ,сразу появилось окно "Скрипт выполнин без ошибок" и компьютер тут же перезагрузился. Лог от "hijackthis " приложил.
11.11.2007, 02:00
V_Bond

выполните скрипт ...
[code]
begin
BC_DeleteSvc('NtLmSspVSSFastUserSwitchingCompatibilityRasAuto');
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите лог HijackThis
11.11.2007, 02:50
Bratez

Было:
[b]Trojan-Spy.Win32.KeyLogger.rp
Trojan-Proxy.Win32.Slaper.aq[/b]
и в большом количестве [b]Backdoor.Win32.IRCBot.apc[/b]
11.11.2007, 02:59
Koss

Вложений: 1

Скрипт выполнил))) лог "hijackthis" вложил. Посмотрите пожалуйсто))
11.11.2007, 03:35
Koss

Спасибо всем огромное!!!!!!!Уже стало на много лучше)))))))))))

Не подскажете ещё, как отключить [COLOR=red]Active Desktop[/COLOR]? Поисковики предлагают сделать это на закладке Web: Properties - Desktop - Customize Desktop... но проблема в том, что у меня закладки Web в указанном месте вообще нет (
11.11.2007, 11:46
V_Bond

[URL="http://www.oszone.ru/display.php?id=1976"]Запрет на Active Desktop[/URL]
11.11.2007, 12:16
Alex_Goodwin

+ Поменяйте пароли.
11.11.2007, 13:45
rubin

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Remote Registry)
>> Службы: разрешена потенциально опасная служба TermService (Terminal Services)
>> Службы: разрешена потенциально опасная служба SSDPSRV (SSDP Discovery Service)
>> Службы: разрешена потенциально опасная служба Schedule (Task Scheduler)
>> Службы: разрешена потенциально опасная служба mnmsrvc (NetMeeting Remote Desktop Sharing)
>> Службы: разрешена потенциально опасная служба RDSessMgr (Remote Desktop Help Session Manager)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику

Что из этого Вам не нужно?
11.11.2007, 22:56
Koss

Спасибо!!!! Active Desktop исчез))) Но:[COLOR=red]1.[/COLOR] У меня остался чёрный экран с красной надписью, в правом нижнем углу ,что мой компьютер в [COLOR=red]опасности[/COLOR][COLOR=black]!!!! Посоветуйте пожалуйсто ,что с этим делать.[COLOR=red]2.[/COLOR]Не могли бы вы утоточнить какие пароли мне нужно[/COLOR][COLOR=black] изменить[/COLOR][COLOR=red] 3[/COLOR][COLOR=black].Так же, какие службы из перечисленных мне стоит оставить,просто я обычный User и практически в этом не разбираюсь,возможно кроме самых необходимых, мне остальные и не нужны,посоветуйте ,какие оставить))))[/COLOR]
11.11.2007, 22:59
rubin

1. Повторите логи, возможно, что-то осталось.
2. Желательно все, был кейлоггер, записывает с клавиатуры все подряд...
3. Локальная сеть есть?
11.11.2007, 23:30
Koss

У меня стоит Акадо.
11.11.2007, 23:35
rubin

Сами мы не местные, что такое Акадо сразу и не скажем :) (гугль помог)
Тогда можно отключить все:
[code]
begin
SetServiceStart('Schedule', 4);
SetServiceStart('mnmsrvc', 4);
SetServiceStart('RDSessMgr', 4);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\Terminal Server','fAllowToGetHelp', 0);
RebootWindows(true);
ExecuteSysClean;
end.
[/code]

[size="1"][color="#666686"][B][I]Добавлено через 42 секунды[/I][/B][/color][/size]

Кстати, чтобы понять что за окно у Вас появляется, все еще жду логов
12.11.2007, 02:27
Koss

Вложений: 3

Новые логи сделал.Посмотрите пожалуйсто
12.11.2007, 02:41
V_Bond

выполните скрипт ...
[code]
begin
ExecuteRepair(1);
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(16);
RebootWindows(true);
end.
[/code]
12.11.2007, 12:13
Koss

Огромнейшее всем спасибо!!!!!! Теперь всё в порядке))))):)
12.11.2007, 12:25
rubin

Советуем прочитать [URL="http://security-advisory.newmail.ru/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".

Вы можете нас отблагодарить, [URL="http://www.virusinfo.info/showthread.php?t=3519"]оказав нам помощь в сборе базы безопасных файлов[/URL]. Мы будем Вам очень благодарны!

Удачи!
22.02.2009, 02:50
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]61[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\linkinfo.dll - [B]Trojan-Downloader.Win32.Small.gai[/B] (DrWEB: Trojan.DownLoader.35283)[*] c:\\windows\\system32\\acctresb.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\acluip.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\activedsv.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\activedsx.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\activeskinlz.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\a3dapiz.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\a3dr.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\vdmmslel.exe - [B]Trojan-Proxy.Win32.Slaper.aq[/B] (DrWEB: BackDoor.Mailbot)[*] c:\\windows\\system32\\1025t.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\12520437j.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\3com_dmir.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\system32\\3076r.exe - [B]Backdoor.Win32.IRCBot.apc[/B] (DrWEB: BackDoor.IRC.Cemka)[*] c:\\windows\\temp\\startdrv.exe - [B]Trojan-Spy.Win32.KeyLogger.rp[/B] (DrWEB: BackDoor.Bulknet.91)[/LIST][/LIST]