Мгновенная командная строка после запуска Windows.

Printable View

21.10.2013, 15:53
DosuG

Вложений: 1

Мгновенная командная строка после запуска Windows.

После входа в систему появляется, на мгновение, командная строка, иногда её удаётся вовремя закрыть, но когда не успеваю, то после неё открывается браузер и загружается непонятный сайт.

Логи:
[ATTACH]442174[/ATTACH]
[ATTACH]442175[/ATTACH]
[ATTACH]442176[/ATTACH]
21.10.2013, 15:54
Info_bot

Уважаемый(ая) [B]DosuG[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.10.2013, 00:14
thyrex

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [Adobe Flash Player SU] C:\Windows\System32\cmd.exe /k if %date:~6,4%%date:~3,2%%date:~0,2% LEQ 20130531 (exit) else (start http://lyll.net && exit)[/CODE]Сделайте новый лог
22.10.2013, 14:28
DosuG

Вот (это без перезагрузки компьютера):
[ATTACH]442341[/ATTACH]
22.10.2013, 15:27
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\users\Денис\appdata\local\temp\kb2656351_10.0.30301\taskmgn.exe');
TerminateProcessByName('c:\users\Денис\appdata\local\temp\rundll32.exe');
QuarantineFile('c:\users\Денис\appdata\local\temp\kb2656351_10.0.30301\taskmgn.exe','');
QuarantineFile('c:\users\Денис\appdata\local\temp\rundll32.exe','');
QuarantineFile('C:\Documents\Iterra\bkjvfkg.dll','');
DeleteFile('C:\Documents\Iterra\bkjvfkg.dll');
DeleteFile('c:\users\Денис\appdata\local\temp\kb2656351_10.0.30301\taskmgn.exe');
DeleteFile('C:\Users\Денис\AppData\Local\Temp\rundll32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Windows Update');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
22.10.2013, 22:32
DosuG

Не могу прислать файл quarantine.zip, мне пишет что он уже загружен, и логи не могу загрузить, из-за того, что памяти нет, можно ли их на другой источник залить, типа ЯндексДиска?
22.10.2013, 22:39
regist

Либо удалите старые вложения, либо
[quote="DosuG;1051810"]на другой источник залить, типа ЯндексДиска[/quote]
ну, лучше почистить старые т.к. внешние ссылки попадают на премодерацию.
22.10.2013, 23:21
DosuG

Как почистить место хранения, если там нет кнопки удаления, да и удалить старые темы я не могу(в которые вложены старые логи)?
*Извините за неудобства, просто я не шарю по вашему сайту, а в поисковике(вашего сайта) я не нашёл решения этой проблемки :)
**Да и карантин мне так и не удалось выслать, всё ещё пишет что файл уже был загружен, хотя для этой темы я ничего не отсылал.
Вот логи на которые у меня хватило места:
22.10.2013, 23:53
thyrex

[quote="DosuG;1051848"]Как почистить место хранения[/quote]Мой кабинет-Вложения
23.10.2013, 12:13
regist

Лог AVZ старый прикрепили, сделайте новый и прикрепите.
23.10.2013, 15:04
DosuG

Вот свеженькие логи :):
*но quarantine.zip всё не лезет, я даже уже заново выполнил скрипт. Вы можете его удалить с темы, или может это как-то могу сделать я?:(
23.10.2013, 19:02
regist

[quote="DosuG;1051992"]Вот свеженькие логи[/quote]
virusinfo_syscheck.zip со старыми базами
[QUOTE]Внимание !!! База поcледний раз обновлялась 16.05.2013 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
а virusinfo_syscure.zip опять старый :(
[QUOTE]Сканирование запущено в 16.05.2013 16:54:39[/QUOTE]

[quote="DosuG;1051992"]*но quarantine.zip всё не лезет[/quote]
наверно пустой, так что не нужен.
24.10.2013, 15:45
DosuG

Вот, обновил и заново выполнил все скрипты:):
24.10.2013, 16:20
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Documents\Iterra\bkjvfkg.dll','');
QuarantineFileF('C:\Documents\Iterra','*', true,'',0 ,0);
DeleteFile('C:\Documents\Iterra\bkjvfkg.dll');
DeleteFileMask('C:\Documents\Iterra', '*', true);
DeleteDirectory('C:\Documents\Iterra');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
24.10.2013, 16:37
DosuG

Вот:
*quarantine.zip не загружается на сайт, снова пишет что такой есть.
24.10.2013, 16:41
regist

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis (запускать правой кнопкой от имени админа)

[CODE]O20 - AppInit_DLLs: C:\Documents\Iterra\bkjvfkg.dll[/CODE]

сделайте новый лог HijackThis

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования МВАМ.[/url]
24.10.2013, 18:51
DosuG

Вот:
24.10.2013, 22:25
regist

[CODE]C:\Users\Денис\Desktop\oooo.exe[/CODE]

Пришлите в карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
--------------------
PC Speed Up сами ставили ? Это нежелательная программа рекомендую деисталировать, а затем

[url=http://virusinfo.info/showthread.php?t=53070&p=493584&viewfull=1#post493584]Удалите в MBAM только [/url]

[CODE]Обнаруженные ключи в реестре: 6
HKCR\CLSID\{E9B5B0D2-D08A-49FC-8B5C-159B60BAA268} (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
HKCR\TypeLib\{3157E247-2784-4028-BF0F-52D6DDC70E1B} (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
HKCR\Interface\{6C42038D-817A-472C-8C2A-EF46F1DA576D} (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
HKCR\PCSU.Registry.1 (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
HKCR\PCSU.Registry (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\PCSUSERVICE (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре: 1
HKLM\SYSTEM\CurrentControlSet\Services\PCSUService|ImagePath (PUP.Optional.PCSpeedUp.A) -> Параметры: C:\Program Files (x86)\PC Speed Up\PCSUService.exe -> Действие не было предпринято.
Обнаруженные папки: 6
C:\Users\Денис\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Documents\PCSpeedUp (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\RestorePoints (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\ScanResults (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Windows\assembly\GAC_MSIL\WebAltaSearch (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Windows\assembly\GAC_MSIL\WebAltaSearch\1.1.0.0__cae29f257fecba88 (PUP.ToolBar.WA) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\krovyu-i-potom-anaboliki-pain-gain-2013-bdrip-720p-licenziya.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\prizrachnyy-patrul-r_i_p_d_-2013-web-dl-720p-itunes.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\semeyka-kruds-the-croods-2013-web-dl-720p-chistyy-zvuk.exe (PUP.Downloader.LoadMoney) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\startrek-vozmezdie-star-trek-into-darkness-2013-bdrip-720p-chist.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\velikiy-getsbi-the-great-gatsby-2013-bdrip-720p-itunes.exe (Trojan.LoadMoney) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\Music\konec-sveta-2013-apokalipsis-po-gollivudski-this-is-the-end-2013.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
F:\1 NTFS\Загрузки\Music\MediaGet_id1015758ids1s.exe (PUP.Adware.MediaGet) -> Действие не было предпринято
C:\Users\Денис\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Webalta Toolbar\Удалить Webalta Toolbar.lnk (PUP.ToolBar.WA) -> Действие не было предпринято.
C:\Windows\Tasks\PC SpeedUp Service Deactivator.job (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\App.log (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\RestorePoints\GIGABYTE Gamer HUD Lite.lnk-20.lnk (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\RestorePoints\Tabs.lnk-19.lnk (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\ScanResults\FragmentedDisksCollection.log (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
C:\Documents\PCSpeedUp\ScanResults\JunkFilesCollection.log (PUP.Optional.PCSpeedUp.A) -> Действие не было предпринято.
[/CODE]

Если PC Speed Up то также снимите галочки со строчек с ним.

[url=http://virusinfo.info/showthread.php?t=121767]Сделайте полный образ автозапуска uVS[/url]
25.10.2013, 17:21
DosuG

Вот uVS:
*прислать файл "C:\Users\Денис\Desktop\oooo.exe" на карантин я не могу, так как его нет на рабочем столе, по крайней мере он не отображается, даже когда включаю видимость невидимых файлов и папок в свойствах папок.
25.10.2013, 18:59
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
delref IF
delall %SystemDrive%\DOCUMENTS\ITERRA\BKJVFKG.DLL
zoo %SystemDrive%\USERS\ДЕНИС\DESKTOP\oooo.exe
restart[/CODE]

сделайте новый образ автозапуска uVS.
25.10.2013, 20:02
DosuG

Я немного не понял как сделать, но сделал как понял :D
26.10.2013, 01:08
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] (карантин уже не нужен)

[CODE];uVS v3.81.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
delall %SystemDrive%\DOCUMENTS\ITERRA\BKJVFKG.DLL
restart[/CODE]

сделайте новый образ автозапуска и отпишитесь, что с проблемой?
26.10.2013, 13:08
DosuG

Ееее... всё норм теперь, только сайт перестал выскакивать до последнего скрипта, но думаю он не помешал:D
Спасибо большое Вам.:)
26.10.2013, 13:10
regist

Скачайте последню версию uVS [url]http://dsrt.dyndns.org/uvsfiles.htm[/url]
и ещё раз выполните последний скрипт и сделайте новый лог.
Папку
[CODE]C:\DOCUMENTS\ITERRA[/CODE]
удалите вручную.
26.10.2013, 13:44
DosuG

Удалить папку не получилось, потому что её там нет:(
А вот новый лог:
27.10.2013, 10:09
Techno

Нужно в реестре дать себе права на редактирование параметра [CODE]HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls[/CODE] и сделать его пустым.

После этого повторить лог hijackthis.
27.10.2013, 10:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]