пришел с инстута и Вирусы x.com и AMVO0.DLL. помогите

Пришел с института и поймал вирусы в автозапуск вот что нашел мой антивирус:
0hct8ybw.bat, d6fagcs8.cmd, Hacktool.Rootkit ,AMVO0.DLL, AMVO1.DLL, wincab.sys, последний пропал быстро. Пропало свойство показа папок, раньше мой компьютер открывал папки в одном окне теперь он их не открывает выдает утилиту открыть с помощью... после удаления вируса антивурусом они открываються в новом окне и в окне поиска не вожможно окрыть диски.

Первые дни загрузка была долгой и антивирус находит сразу 8-10 вирусов при запуске приходилось его выклучать начинал висеть. Потом заметил файл AMVO0 при загрузке системы выдавал ошибку отсутствия этого файла, я посмотрел в "msconfig" и убрал с него галочку, в следующей загрузке он был снова в итоге в "msconfig" их два больше не загружаются. проверил утилитой "cureit" от доктора веба он нашел вирусы в E:\System Volume Information\_restore{xxx}, и удалил их вместе с файлами "autorun.inf" а "Symantec AntiVirus" только когда заходил в эту папку и при наведении файлов ".dll", и "Ms-Dos" что можно сделать? У меня жеских дисков C,D,E,F,H, флешку подчистил но не форматировал.

Ниже прописал что нашел мой антивирус: "Symantec AntiVirus",


--------------------------------------------------------- -------------------
Осмотр: Плановый
Событие: Обнаружена угроза!
Угроза: Hacktool.Rootkit
Файл: C:\Documents and Settings\Сергей\Local Settings\Temp\vlmmrcd5.dll
----------------------------------------------------------------------------
Осмотр: Плановый
Событие: Обнаружена угроза!
Угроза: Hacktool.Rootkit
Файл: C:\Documents and Settings\Сергей\Local Settings\Temp\z5.dll
-------------------------------------------------------------------------------
Осмотр: Плановый
Событие: Обнаружена угроза!
Угроза: Infostealer.Gampass
Файл: C:\Documents and Settings\Сергей\Local Settings\Temporary Internet Files\Content.IE5\OGT4WCBP\help[1].exe
-------------------------------------------------------------------------------
Осмотр: Автоматическая защита
Событие: Обнаружена угроза!
Угроза: Infostealer.Gampass
Файл: C:\WINDOWS\SYSTEM32\AMVO1.DLL
-------------------------------------------------------------------
Осмотр: Автоматическая защита
Событие: Обнаружена угроза!
Угроза: Infostealer.Gampass
Файл: E:\System Volume Information\_restore{8CF9835D-F7CD-44B2-85DE-1DC3ED927E5A}\RP176\A0036121.cmd
-------------------------------------------------------------------------------------

Студент! [url=http://virusinfo.info/showthread.php?t=1235]Правила![/url]
Без них никуда.

я не могу почемуто добавить фаил ((((( он пришел я не могу помять ? (((

Вы куда добавляете?

пришлите ссылку по которой можно загрузить на страницу 3 файла

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

в верхней строчке Прислать запрошенные файлы когда нажимаю приходит такое сообщение:

Закачать файл
Имейте совесть, читайте правила!!!
Здесь закачивать только подозрительные файлы запрошенные хелперами в теме! Не нужно закачивать через эту форму логи. Логи прикреплять к сообщениям в теме.
Разрешена загрузка только архивных файлов с расширением zip.
Архивы должны быть созданы с паролем "virus" !!

[quote]Закачать файл
Имейте совесть, читайте правила!!!
Здесь закачивать только подозрительные файлы запрошенные хелперами в теме! Не нужно закачивать через эту форму логи. Логи прикреплять к сообщениям в теме.
Разрешена загрузка только архивных файлов с расширением zip.
Архивы должны быть созданы с паролем "virus" !![/quote]

+1000%
Зачем вирлабу Ваши логи:? они скрипты не пишут [img]http://files.myopera.com/Creat0R/Opera_AC/Icons/Kolobki/rofl.gif[/img]
Постите логи в сообщении, а карантин по ссылке!

не могу понять где где подкрепить файлы, третью ночь не сплю готовлюсь к защите, рещил пока заняться лечением

[url]http://virusinfo.info/showthread.php?t=11022[/url]

Это из правил, Студент!:)

у меня нету это браузер опера 9.23

я по по воду [url]http://virusinfo.ifolder.ru/[/url] **-- этой ссылки или это не что то ?

У меня опера 9.26 и все работает...
Зайди в расширенный режим, там все есть согласно [url]http://virusinfo.info/showthread.php?t=11022[/url]

Пришел с института и поймал вирусы в автозапуск вот что нашел мой антивирус:
0hct8ybw.bat, d6fagcs8.cmd, Hacktool.Rootkit ,AMVO0.DLL, AMVO1.DLL, wincab.sys, последний пропал быстро. Пропало свойство показа папок, раньше мой компьютер открывал папки в одном окне теперь он их не открывает выдает утилиту открыть с помощью... после удаления вируса антивурусом они открываються в новом окне и в окне поиска не вожможно окрыть диски.

Первые дни загрузка была долгой и антивирус находит сразу 8-10 вирусов при запуске приходилось его выклучать начинал висеть. Потом заметил файл AMVO0 при загрузке системы выдавал ошибку отсутствия этого файла, я посмотрел в "msconfig" и убрал с него галочку, в следующей загрузке он был снова в итоге в "msconfig" их два больше не загружаются. проверил утилитой "cureit" от доктора веба он нашел вирусы в E:\System Volume Information\_restore{xxx}, и удалил их вместе с файлами "autorun.inf" а "Symantec AntiVirus" только когда заходил в эту папку и при наведении файлов ".dll", и "Ms-Dos" что можно сделать? У меня жеских дисков C,D,E,F,H, флешку подчистил но не форматировал.

Ниже прописал что нашел мой антивирус: "Symantec AntiVirus",


--------------------------------------------------------- -------------------
Осмотр: Плановый
Событие: Обнаружена угроза!
Угроза: Hacktool.Rootkit
Файл: C:\Documents and Settings\Сергей\Local Settings\Temp\vlmmrcd5.dll
----------------------------------------------------------------------------
Осмотр: Плановый
Событие: Обнаружена угроза!
Угроза: Hacktool.Rootkit
Файл: C:\Documents and Settings\Сергей\Local Settings\Temp\z5.dll
-------------------------------------------------------------------------------
Осмотр: Плановый
Событие: Обнаружена угроза!
Угроза: Infostealer.Gampass
Файл: C:\Documents and Settings\Сергей\Local Settings\Temporary Internet Files\Content.IE5\OGT4WCBP\help[1].exe
-------------------------------------------------------------------------------
Осмотр: Автоматическая защита
Событие: Обнаружена угроза!
Угроза: Infostealer.Gampass
Файл: C:\WINDOWS\SYSTEM32\AMVO1.DLL
-------------------------------------------------------------------
Осмотр: Автоматическая защита
Событие: Обнаружена угроза!
Угроза: Infostealer.Gampass
Файл: E:\System Volume Information\_restore{8CF9835D-F7CD-44B2-85DE-1DC3ED927E5A}\RP176\A0036121.cmd

извините я создал новую тему вот на нее ссылка

[url]http://virusinfo.info/showthread.php?t=18599[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

извините я создал новую тему вот на нее ссылка

сподкрепленными файлами

[url]http://virusinfo.info/showthread.php?t=18599[/url]

[quote]E:\1\1рыба1\рыба\1\ok\ebook.rar\402_d05c091534_217.16.29.51_33638.ebook.rar/{RAR}/iv12\IV_12\iv_12.exe >>>>> Exploit.DOS.MagView.Sg
E:\1\1рыба1\рыба\1\ok\ebook1.rar\3171_301d018736_213.157.196.113_73558.ebook.rar/{RAR}/Hack236\CONF.EXE >>>>> Trojan-PSW.Win32.Coced.236
E:\1\1рыба1\рыба\1\ok\ebook1.rar\3171_301d018736_213.157.196.113_73558.ebook.rar/{RAR}/Hack236\CONFGUI.EXE >>>>> Trojan-PSW.Win32.Coced.236
E:\1\1рыба1\рыба\1\ok\ebook1.rar\3171_301d018736_216.255.180.58_627943tU189raO0.rar.ebook.rar/{RAR}/crack.exe >>>>> Trojan-Downloader.Win32.Small.ddp
E:\рп\ebook.rar\11\1602_d05c00b093_66.11.113.47_28587.ebook.rar/{CAB}/epl.exe >>> подозрение на Trojan.Win32.LipGame.dc ( 0B6FB40C 03CCE0AB 002053C8 0023EF73 30720)
Файл успешно помещен в карантин (E:\рп\ebook.rar\11\1602_d05c00b093_66.11.113.47_28587.ebook.rar)
E:\рп\rar\Uploads\3171_301d018736_217.147.30.100_32473pinch3.rar.rar/{RAR}/pinch3 Builder\pinch3 Builder.exe >>>>> Trojan-PSW.Win32.LdPinch.beo
E:\улов\рыба\ok\ebook.rar\3171_301d018736_87.118.103.216_38162.ebook.rar/{ZIP}/epl.exe >>> подозрение на Trojan.Win32.LipGame.dc ( 0B6FB40C 03CCE0AB 002053C8 0023EF73 30720)
Файл успешно помещен в карантин (E:\улов\рыба\ok\ebook.rar\3171_301d018736_87.118.103.216_38162.ebook.rar)
Index.html MailBomb detected !
H:\DVD nm\ok\cracks.rar\4WCGdv.rar/{RAR}/crack.exe >>>>> Trojan-Downloader.Win32.Small.ddp [/quote]

Удалите этот мусор.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

arvxamxt.SYS - поищите при помощи AVZ и пришлите согласно правил.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE] O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/F942~1/LOCALS~1/Temp/msohtml1/01/clip_image002.jpg [/CODE]

E:\1\1рыба1\рыба\1\ok\ebook1.rar
E:\рп\rar\Uploads\3171_301d018736_217.147.30.100_32473pinch3.rar.rar
если запускали на компе- менять пароли придётся ;)

Предупреждаю :
C:\WINDOWS\System32\Drivers\arvxamxt.SYS -
следует , вот по этой ссылке [url]http://virusinfo.info/upload_virus.php?tid=18599[/url] прислать запакованным как указано - по второму пункту правил , а не как взбредёт в голову.

[quote]E:\рп\rar\Uploads\3171_301d018736_217.147.30.100_3 2473pinch3.rar.rar
если запускали на компе- менять пароли придётся[/quote]

Не прийдется, все равно пароли прийдут назад - это генератор пинча

Уважаемый, если мне не изменяет память это статья УК.

1. Мусор удалил
2. arvxamxt.SYS - поищите при помощи AVZ и пришлите согласно правил. не нашел (((
" Предупреждаю :
C:\WINDOWS\System32\Drivers\arvxamxt.SYS -" его нету даже в виндовском поисковике и тотол командоре тоже нету ((((((

3. Пофиксировал в HijackThis следующие строчки O24 - Desktop Component 0: (no name)

4. E:\рп\rar\Uploads\ - только открыл архив но ни чего не запускал и не распоковывал

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

как вернуть нормальное открытие дисков они токрыаются в новом окне ив поисковике фалов. я открывал либо тотолом папки, либо выделял две папки и нажимал открыть только так и открывалась тоько одна : к примеру диск C и D на диске С нажимал открыть , открывался диск D и наоборот.
забыл сказать дело в том что я первый запуск сделал только с диском C но не до конца но скопировал текст у меня антивирус включился и удалил один фаил вот скопированый текст :

1.4 Поиск маскировки процессов и драйверов
Проверка не производится, так как не установлен драйвер мониторинга AVZPM
2. Проверка памяти
Количество найденных процессов: 31
Количество загруженных модулей: 382
Проверка памяти завершена
3. Сканирование дисков
Прямое чтение C:\WINDOWS\system32\drivers\sptd.sys
Прямое чтение C:\WINDOWS\Temp\JETEC05.tmp
4. Проверка Winsock Layered Service Provider (SPI/LSP)
Настройки LSP проверены. Ошибок не обнаружено
5. Поиск перехватчиков событий клавиатуры/мыши/окон (Keylogger, троянские DLL)
C:\WINDOWS\system32\PrxerNsp.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\PrxerNsp.dll>>> Поведенческий анализ:
Типичное для кейлоггеров поведение не зарегистрировано
Файл успешно помещен в карантин (C:\WINDOWS\system32\PrxerNsp.dll)
C:\WINDOWS\system32\PrxerDrv.dll --> Подозрение на Keylogger или троянскую DLL
C:\WINDOWS\system32\PrxerDrv.dll>>> Поведенческий анализ:
Типичное для кейлоггеров поведение не зарегистрировано
Файл успешно помещен в карантин (C:\WINDOWS\system32\PrxerDrv.dll)
На заметку: Заподозренные файлы НЕ следует удалять, их следует прислать для анализа (подробности в FAQ), т.к. существует множество полезных DLL-перехватчиков

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

E:\рп\rar\Uploads\- насчет это папки она удалена вместе с ее содержимом. про содержимое не знал удалил сразу все как написали.
Спокойной ночи и приятных сновидениев, я смогу появится только сегодня после 17, с утра в институт.

[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]

И заметел еще после профиксации не одно приложение не запускалось помогла перезагрузка как писалась что ее нужно сделать

Добрый Вечер! что мне необходимо сделать сейчас?

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

Добрый Вечер! что мне необходимо сделать сейчас?

AVZ ни чего не находит
Поиск файлов по маске arvxamxt.SYS
Поиск файлов завершен
Просмотрено 413240, найдено 0

[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
ExecuteRepair(6);
ExecuteRepair(8);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Да перед выполнением скрипта отключите оутпост

Скрипт выполнил, компьютер перезагрузился , после перезагрузки появилась новая папка в моем компттере "веб папки", ее не было я помню, и папки снова открываются в новом окне с результами поскка, т.е с открытом поска файла.

убрать веб папки ...
выполните скрипт ...
[code]
begin
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
end.
[/code]
сделайте экспорт ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\shell

Скрипт выполнил. прошел удачно, компьютер не перезагрузился, папка пропала спасибо, также сделал экспорт из ветки реестра экспорт ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\shell - там про винамп описанно как я понял что сдалать с экспортированной веткой?

[size="1"][color="#666686"][B][I]Добавлено через 53 секунды[/I][/B][/color][/size]

Скрипт выполнил. прошел удачно, компьютер не перезагрузился, папка пропала спасибо, также сделал экспорт из ветки реестра HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\shell - там про винамп описанно как я понял что сдалать с экспортированной веткой?

файл экспорта выложите ...

Вот файл как просили.

В карантине заметил еще 4 файла подозрительных которых он нашел 2008.02.24. но их обьем 455кб 4 файла

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

извините я тут еще повторюсь раньше локальные и съёмные диски опознаются как программы опозновались как программы выходило окно открыть с помощью какой-то програмы, теперь окно больше выходить а открываются в новом окне стандартного поисковика.

[size="1"][color="#666686"][B][I]Добавлено через 3 часа 4 минуты[/I][/B][/color][/size]

Мой фаил экспорта пришел ?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

заметил что идет трафик когда загрузка не работает загружал фаил закгрузка уже произошла но все продолжил принемать и отправлять

сейчас придет модератор и выдаст красную караточку ...
вирусы отсылаем по ссылке над темой ....
экспорт цепляем здесь ... (читаем правила !!!)

извините если сеййчас нарушу правила просто ветка архива имееет расщирение *.reg и на сайт не грузитться как поступить в правиле этого пункта не нашел.
--- Во время лечения ---

Приложение 2. Поиск файлов при помощи AVZ.

я его прикрепил
или мне сделать *.zip архвив shell.zip с веткой реестра раз не могу ее рагрузить так.

конечно экспорт реестра заархивировать .... и все получится ;)

спасибо, а это подумал правила нарушу и в AVZ решил сделать архив с паролем.

вот фаил экспорта из реестра shell.zip Wink

в присланной ветке все в порядке ... давайте посмотрим еще
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Folder

Добрый вечер вот запрошенная ветка реестрат :)
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Folder
имя файла Folder.zip. :>

и здесь все нормально ....
давайте так
HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2 - переименуйте в 123 и попробуйте перегрузиться ...

извините что бы не допустить ошибки в реестре переменовать имено эту строчку MountPoints2 в 123
т.е. вместо слова MountPoints2 заменить в 123.

да

Я эту операцию проделал что делать дальше?

перегрузиться ....

я выполнил сразу два пункта правка реестра и перезагрузка, жду инструкции

Ситуация поменялась?

Нет диски попрежнему в номом окне и не открываются выдается окно поиска

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Вот что я заметил что до перезагрузки, через нескольео секунд она появилась т.е эта строка и в ней отображались только одни диске, теперь нет, все по старому некорые лишнее папки

очень странно ...
давайте еще эту ветку
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon

думаю дело в этой строке или в этом файле

HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2\{57c3bacd-6493-11dc-8869-806d6172696f}\_Autorun\DefaultIcon\G:\Start.exe,0
HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2\{57c3bacd-6493-11dc-8869-806d6172696f}\Shell\AutoRun\command\G:\Start.exe

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

тоесть она переписывается я точно видел в ней отбражались только одни диски которые были на компе без всего посторонего, и ч то делать с переимонванной веткой
пробовать эту ветку:
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/Current Version/Winlogon

или с этой пока будем решать что делать эту ветку :
HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2

[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]

ой у меня в это время стоял в этом дисководе диск G:\ это дивиди-ром
HKEY_CURRENT_USER/Software/Microsoft/Windows/Current Version/Explorer/MountPoints2\ может попробовать ее скриптом?