Printable View
Здравствуйте!
Собственно, проблема в заголовке темы. Пару дней назад обнаружили, что невозможно зайти на сайты антивирусов(Д-ра Веба, Касперского, Нод).
На этот сайт-virusinfo.info- тоже не заходит(пишу с другого компьютера).
Обновление антивируса(Д-р Веб) заканчивается неудачей-не соединяет.
Помогите пожалуйста.
Уважаемый(ая) [B]alexanderi[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Лог ComboFix
Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::
File::
c:\users\Vladimir\AppData\Local\puXeOGTi
c:\users\Vladimir\AppData\Roaming\GbbwhU3dGVg
Driver::
Folder::
Registry::
FileLook::
c:\windows\System32\drivers\tcpip.sys
c:\windows\winsxs\x86_microsoft-windows-tcpip_31bf3856ad364e35_6.0.6000.16386_none_5f4ed3e0926e99e4\tcpip.sys
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Новый отчет ComboFix
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('c:\windows\System32\drivers\tcpip.sys','');
QuarantineFile('c:\windows\winsxs\x86_microsoft-windows-tcpip_31bf3856ad364e35_6.0.6000.16386_none_5f4ed3e0926e99e4\tcpip.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Здравствуйте!
Карантин выслал
Пока файлы чисты. Отправлены в вирлаб
Спасибо, буду ждать результат.
Здравствуйте!
Нет ли каких новостей по моей проблеме?
В карантине всё чистое.
- Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=290-virus-detector][B]тут[/B][/url]. Ссылку на результат проверки напишите в сообщении здесь.
+ выполните скрипт AVZ
[CODE]var
STR : TStringList;
CMDFile: string;
begin
ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
STR := TStringList.Create;
STR.Add('chcp 1251');
STR.Add('ipconfig /all > diag.log');
STR.Add('ping www.virusinfo.info >> diag.log');
STR.Add('tracert www.virusinfo.info >> diag.log');
STR.SaveToFile(GetAVZDirectory + 'diag.cmd');
CMDFile:= GetAVZDirectory + 'diag.cmd';
ExecuteFile(CMDFile, '', 0, 200000, true);
end.[/CODE]
файл diag.log прикрепите.
[URL="http://virusinfo.info/virusdetector/report.php?md5=E69B59D5C5F6E2AC92A0597AFC23850E"]Ссылка на результат анализа[/URL]
[SIZE=1]На всякий случай-
[URL="http://virusinfo.info/showthread.php?t=143936"]Тема для обсуждения результатов анализа[/URL][/SIZE]
[ATTACH]431639[/ATTACH]
[b]alexanderi[/b], выполните рекомендации по этой ссылке [url]http://manaeff.ru/forum/viewtopic.php?f=3&t=979[/url]
отпишите, что с проблемой.
Адаптеры Microsoft 6to4 удалились все.
Проблема осталась.
Однако, в сетевых адаптерах есть ещё что-то, наверное, лишнее
[ATTACH=CONFIG]431676[/ATTACH]
[url="http://virusinfo.info/showpost.php?p=493610&postcount=2"]Удалите ComboFix[/url]
вирусов у вас нет, ваши проблемы с сетью с ними не связаны.
Что же мне делать?
Я даже не знаю, куда теперь обратиться.
Что это в сетевых адаптерах с именем типа "isatap.{xxxx-xxxx-xxxx-xxxx).
Может, тоже нужно удалить?
Проблемы с сетью начались не на пустом месте.
Что-то изменило настройки таким образом, что недоступными стали только сайты так или иначе связанные с антивирусами...
Остальные сайты, торренты доступны.
Вряд ли самостоятельно настройки сбились так избирательно.
[ATTACH=CONFIG]431682[/ATTACH]
----
PS
Как убрать крякозябры в окне командной строки?
[URL="http://virusinfo.info/showthread.php?t=143610&p=1028864&viewfull=1#post1028864"]Скрипт из сообщения №12[/URL] ещё раз выполните и прикрепите новый лог.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ содержание папок
[CODE]c:\users\Vladimir\AppData\Local\puXeOGTi
c:\users\Vladimir\AppData\Roaming\GbbwhU3dGVg[/CODE]
вам знакомо ?
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ попробуйте выполнить эту рекомендацию http://kazanhelper.wordpress.com/2013/08/16/ping-tracert-общий-сбой-не-открываются-сайты/
Скрипт из сообщения №12 ещё раз
[ATTACH]431786[/ATTACH]
Cодержание папок
[CODE]c:\users\Vladimir\AppData\Local\puXeOGTi
c:\users\Vladimir\AppData\Roaming\GbbwhU3dGVg[/CODE]
знакомо частично.
Первую неоднократно пытался удалить вручную. Появлялась снова.
Вторую папку не видел. И сейчас не вижу.(смотрю через Тотал коммандер.)
--
upd
[QUOTE]
+ попробуйте выполнить эту рекомендацию [url]http://kazanhelper.wordpress.com/2013/08/16/ping-tracert-общий-сбой-не-открываются-сайты/[/url][/QUOTE]
УРА!!!
Заработало...
СПАСИБО!!!!!!
[ATTACH=CONFIG]431787[/ATTACH]
Подскажите, пожалуйста, как от крякозябр в командной строке избавиться? Возможно, это последствия использования combofix.
И ещё вопрос.
Я пользуюсь DrWeb лет 10. Нынешняя проблема каким-то образом связана с тем, что защита Д-ра Веба оказалась недостаточной? Может, стоит перейти на другой антивирус?
Или же вины антивируса тут нет...
Спасибо ещё раз:)
[quote="alexanderi;1029544"]знакомо частично.
Первую неоднократно пытался удалить вручную. Появлялась снова.[/quote]
а внутри папки, что-нибудь есть ? Если да,
Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
затем
Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]на диск С. [/B][/COLOR]
[code]
KillAll::
File::
Driver::
Folder::
c:\users\Vladimir\AppData\Local\puXeOGTi
c:\users\Vladimir\AppData\Roaming\GbbwhU3dGVg
Registry::
FileLook::
DirLook::
Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://safezone.cc/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Папка пустая. Удалять?
ComboFix уже удалил. Переустановить?
да, папку удалите ...
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
- Сделайте [url=http://virusinfo.info/showthread.php?t=115256]логи RSIT.[/url]
- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
По порядку.
1)Новый отчет ComboFix
[ATTACH]431812[/ATTACH]
2)логи RSIT
[ATTACH]431817[/ATTACH]
[ATTACH]431816[/ATTACH]
3)лог полного сканирования МВАМ
[ATTACH]431824[/ATTACH]
[CODE]c:\windows\System32\autochk.exe[/CODE]
Пришлите в карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Добрый вечер!
Карантин выслал.
замените этот файл на чистый с диска виндоус или с аналогичной ситемы по этой инструкции [url]http://virusinfo.info/showthread.php?t=51654[/url] потом сделайте новый лог комбофикса.
У меня, к сожалению, нет диска с windows vista home premium(32).
Ноутбук с уже предустановленной ОС без каких либо дисков в комплекте. Знакомых, у кого стоит аналогичная ОС тоже нет.
У меня сложилось впечатление, что с autochk.exe на этом компьютере что-то было не в порядке изначально. Ибо, когда понадобилось выполнить команду chkdsk c: ничего не происходило. Видимо антивирус удалил изначально установленный autochk.exe.
Я для проверки диска пользовался каким-то из hirens boot cd.
Оттуда autochk.exe и был восстановлен. Судя по всему, тоже инфицированный.
Попробую поискать autochk.exe для [B]vista home premium[/B] в гугле, но что-то сомневаюсь...:(
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Добрый человек подкинул autochk.exe.
Чувствую себя полным идиотом, но как заменить c:\windows\System32\autochk.exe на скачанный autochk.exe. С помощью unlockera это удается, [B]но при перезагрузке всё возвращается обратно...[/B]
Не врубаюсь в то, что написано тут [url]http://virusinfo.info/showthread.php?t=51654[/url]
Последовательно на ноутбуке Toshiba делаю:
1)При перезагрузке нажимаю F8
2)Попадаю в консоль восстановления системы???(Или нет?)
3)и в итоге дохожу до выбора
[ATTACH=CONFIG]431907[/ATTACH]
4)Выбираю пункт "коммандная строка"
Далее, попадаю в папку с нормальным autochk.exe(cd d:\2)
выполняю [CODE]copy autochk.exe c:\windows\system32\[/CODE]
Соглашаюсь с заменой файла.
Перезагружаюсь
[B]И снова получаю всё тот же инфицированный autochk.exe [/B]
[URL="https://www.virustotal.com/ru/file/8abddc015cf2ac1e39e5c541124fe08d5e1713c26784509cc1245165200e4122/analysis/1376786486/"][COLOR="#0000CD"]Отчёт virustotal.com [/COLOR][/URL]
Можно ли как-то на пальцах объяснить как заменить инфицированный c:\windows\System32\autochk.exe на оригинальный(из папки d:\2\autochk.exe)
--
PS
Хотел установить удаленный ранее антивирус Д-р веб. Установка завершается с ошибкой.
Если у вас есть
[quote="alexanderi;1029794"]hirens boot cd.[/quote]
то проще всего будет заменить его с него, либо с любого другого загрузочного диска.
Я так и делал месяц назад-восстанавливал с hirens boot cd. Результат- восстанавливается [B]неинфицированный[/B], потом заменяется [B]инфицированным[/B] autochk.exe, который откуда-то восстанавливается системой, а потом блокируется антивирусом.
Потом autochk.exe снова можно восстановить с hirens boot cd, далее он откуда-то восстанавливается, а потом блокируется антивирусом и т д...
Как установить Д-р Веб? При установке он сообщает: [QUOTE]Код ошибки 8 [/QUOTE] и установка прекращается.
---
Подсказали где находится оригинальный неинфицированный autochk.exe
[CODE]C:\Windows\winsxs\x86_microsoft-windows-autochk_31bf3856ad364e35_6.0.6000.16386_none_dfbd2b4dc4d6121b\autochk.exe[/CODE]
+ Проверьте чему у вас равен параметр BootExecute в ключе
[CODE][HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager][/CODE]
там должно быть
[CODE]autocheck autochk *
[/CODE]
если значение отличается исправьте.
Значения такие же.
[CODE]autocheck autochk *[/CODE]
--
Вопрос про установку Д-ра Веб снимается. Не устанавливался из-за некорректного удаления предыдущей версии.
--
По-прежнему непонятно, откуда этот инфицированный autochk.exe восстанавливается...
Проблема с доступом на сайты еще актуальна? Если это так, проверьте такое [url]http://forum.kaspersky.com/index.php?showtopic=270588&view=findpost&p=2079186[/url]
[QUOTE=thyrex;1030099]Проблема с доступом на сайты еще актуальна? [/QUOTE]
С доступом всё [URL="http://virusinfo.info/showthread.php?t=143610&p=1029544&viewfull=1#post1029544"]нормально[/URL]
Сейчас непонятки с самовосстанавливающимся autochk.exe
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]