Dr.Web нашел вирус

Printable View

28.03.2008, 17:00
zabijaka

Вложений: 2

Dr.Web нашел вирус

У меня стоит антивирус Dr.Web (Win'XP). Последние два дня он стал выдавать сообщение о вирусах в папке Windows, sistem 32, driver. Лечу, удаляю - сообщение все равно вылезает. Стал барахлить звук, медленно загружаются программы.
Проверку AVZ сделала.
HijackThis загрузить не удалось. Пишет: Приложению не удалось запуститься, поскольку MSVBVM6.0DLL не был найден. Повторная установка приложения может исправить эту проблему.

Помогите мне, пожалуйста, разобраться во всем этом и вылечить мой компьютер
28.03.2008, 17:06
Bratez

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\svchost.exe','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Wfp03.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Usd60.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Qoy14.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Osd56.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Nkm13.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Lxr04.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Ieo24.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Flv58.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Cik24.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Byb47.sys','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\Bqs25.sys','');
QuarantineFile('c:\windows.0\system32\..\svchost.exe','');
QuarantineFile('C:\WINDOWS.0\TEMP\BND.tmp','');
QuarantineFile('C:\WINDOWS.0\system32\WLCtrl32.dll','');
DeleteFile('C:\WINDOWS.0\system32\WLCtrl32.dll');
DeleteFile('C:\WINDOWS.0\TEMP\BND.tmp');
DeleteFile('c:\windows.0\system32\..\svchost.exe');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Bqs25.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Byb47.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Cik24.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Flv58.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Ieo24.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Lxr04.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Nkm13.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Osd56.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Qoy14.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Usd60.sys');
DeleteFile('C:\WINDOWS.0\System32\Drivers\Wfp03.sys');
DeleteFile('C:\WINDOWS.0\svchost.exe');
BC_ImportDeletedList;
BC_DeleteSvc('Wfp03');
BC_DeleteSvc('Usd60');
BC_DeleteSvc('Qoy14');
BC_DeleteSvc('Osd56');
BC_DeleteSvc('Nkm13');
BC_DeleteSvc('Lxr04');
BC_DeleteSvc('Ieo24');
BC_DeleteSvc('Flv58');
BC_DeleteSvc('Cik24');
BC_DeleteSvc('Byb47');
BC_DeleteSvc('Bqs25');
BC_DeleteSvc('msupdate');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=20601[/url]).
Сделайте новые логи.
28.03.2008, 17:31
AndreyKa

DrWeb надо обновить.
29.03.2008, 10:01
zabijaka

Вложений: 2

Антивирус я обновляю постоянно .
Прошу прощения, если что-то не так сделала.
29.03.2008, 10:48
AndreyKa

[quote=zabijaka]Антивирус я обновляю постоянно .
[/quote]
Может вы и обновляете его базы, скачивая их вручную, но программа у вас старая, не обновлялась 3 месяца:
[quote=Log]"C:\Program Files\DrWeb\spiderml.exe"
485.23 кб, rsAh,
изменен: 26.11.2007[/quote]
Должно быть: 489 КБ, декабрь 2007
29.03.2008, 11:17
AndreyKa

C:\WINDOWS.0\svchost.exe - Trojan-PSW.Win32.OnLineGames.ujm
C:\WINDOWS.0\TEMP\BND.tmp - Trojan-Downloader.Win32.Agent.mgh

C:\Program Files\DivX\DivX Converter\dpil100.dll - чистый.

В логах все нормально. Для очитски от мусора в реестре выполните скрипт AVZ и перезагрузите компьютер:
[code]
begin
DeleteService('Mln25');
DeleteService('Ksd13');
DeleteService('Dsu02');
BC_DeleteSvc('Mln25');
BC_DeleteSvc('Ksd13');
BC_DeleteSvc('Dsu02');
ExecuteSysClean;
BC_Activate;
end.
[/code]
[b]BitAccelerator удалите, это вредная программа.[/b]

[size="1"][color="#666686"][B][I]Добавлено через 39 секунд[/I][/B][/color][/size]

Проблем больше нет?
29.03.2008, 19:45
zabijaka

C:\WINDOWS.0\svchost.exe - Trojan-PSW.Win32.OnLineGames.ujm - вручную удалить не удается
C:\WINDOWS.0\TEMP\BND.tmp - Trojan-Downloader.Win32.Agent.mgh - не нашла вообще.

BitAccelerator удалила. А чем вредна эта программа?
29.03.2008, 19:48
wise-wistful

[quote]C:\WINDOWS.0\svchost.exe - Trojan-PSW.Win32.OnLineGames.ujm
C:\WINDOWS.0\TEMP\BND.tmp - Trojan-Downloader.Win32.Agent.mgh[/quote]
Это было написано для информации. Их в логах нет. Вы наверное пытались удалить c:\windows.0\system32\svchost.exe так этого делать не стоит. Повторю вопрос коллеги, проблемы какие-то остались?
29.03.2008, 19:49
zabijaka

Мне нужно устанавливать новый антивирус? Или как-то можно обновить мой?

С проблемами пока не разобралась. Только включила компьютер.

Я правильно поняла, вирусы не найдены?
29.03.2008, 19:51
wise-wistful

Лучше конечно потавить новую версию. Для того их обычно и пишут, что бы улучшить работу.
29.03.2008, 20:00
zabijaka

Запустила Dr.Web. Сразу нашел 7 Trojan.Downloader

Как я узнаю, что мой комп поймал эти вирусы:
C:\WINDOWS.0\svchost.exe - Trojan-PSW.Win32.OnLineGames.ujm
C:\WINDOWS.0\TEMP\BND.tmp - Trojan-Downloader.Win32.Agent.mgh
29.03.2008, 20:05
wise-wistful

Где он их нашёл?
29.03.2008, 20:32
zabijaka

C:\Documents and Settings - 7 Trojan.Downloader
C:\System Volume Information\ _restore - еще 7 Trojan.Downloader
29.03.2008, 20:45
V_Bond

повторите логи ...
29.03.2008, 22:07
zabijaka

Вложений: 2

вот логи
29.03.2008, 22:40
V_Bond

выполните скрипт ....
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('Johv65');
DeleteFile('WLCtrl32.dll');
DeleteFile('Johv65.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
сделайте полный комплект логов ...
29.03.2008, 23:08
AndreyKa

Чтобы запустить HijackThis скачайте файл MSVBVM60.DLL отсюда: [url]http://www.dll.ru/dll/358.html[/url]
и положите его в одну папку с HijackThis.
30.03.2008, 10:19
zabijaka

HijackThis не устанавливается все равно: Приложение или библиотека D:\Программы\Антивирусы\HJTInstall\MSVBVM60.DLL не является образом программы для Windows NT. Проверьте назначение установочного диска.
Может я чего-то неправильно делаю?

Скрипт выполнила. Но когда делаю "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info", компьютер перезагружается и выдает ошибку с предложением отправить отчет.
30.03.2008, 12:16
kps

Сделайте лог AVZ по пункту 10 правил.
30.03.2008, 12:36
zabijaka

Вложений: 1

Стал дольше загружаться браузер.
30.03.2008, 13:09
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\drivers\nkv2.sys','');
QuarantineFile('C:\WINDOWS.0\0\system32\ntkrnlpa.exe','');
QuarantineFile('C:\WINDOWS.0\0\system32\ntdll.dll','');
QuarantineFile('C:\WINDOWS.0\0\system32\BOOTVID.dll','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\avje2vlk.SYS','');
QuarantineFile('C:\WINDOWS.0\system32\PnkBstrA.exe','');
QuarantineFile('C:\Program Files\Common Files\ReGet Shared\Catcher.dll','');
QuarantineFile('c:\windows.0\system32\pnkbstra.exe','');
QuarantineFile('C:\WINDOWS.0\0\system32\hal.dll','');
BC_ImportQuarantineList;
BC_QrSvc('USB2_04');
BC_Activate;
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=20601[/url] ).
30.03.2008, 18:12
zabijaka

Карантин выслала
30.03.2008, 19:34
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS.0\system32\drivers\nkv2.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('USB2_04');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Сделайте новые логи.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Для справки:
Catcher.dll, pnkbstra.exe_ - чистые
nkv2.sys - [b]Rootkit.Win32.Agent.agf[/b] (его скрипт выше должен удалить).
30.03.2008, 20:28
zabijaka

Вложений: 2

Логи:
30.03.2008, 20:41
zabijaka

"Всё найденное следует пометить и пофиксить". У меня не работает HijackThis, как "пофиксить"?
30.03.2008, 21:49
kps

[QUOTE=zabijaka;208497]"Всё найденное следует пометить и пофиксить". У меня не работает HijackThis, как "пофиксить"?[/QUOTE]
Это надо делать в AVZ. В данном случае "пофиксить" значит нажать на кнопку "Исправить отмеченные проблемы".

Руткит удален.
Можно еще проверить один файлик - [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
QuarantineFile('c:\windows.0\explorer.exe','');
BC_ImportQuarantineList;
BC_Activate;
DelBHO('{2670000A-7350-4f3c-8081-5663EE0C6C49}');
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=20601[/url] ).
31.03.2008, 10:00
zabijaka

Карантин выслала.
31.03.2008, 10:07
Гриша

Присланный файл чистый.
02.04.2008, 09:06
zabijaka

Всем БОЛЬШОЕ СПАСИБО!
02.04.2008, 09:17
Гриша

Нам интересно [URL="http://virusinfo.info/showthread.php?t=19883"]Ваше мнение[/URL] о нашем ресурсе. Будем очень благодарны за отзыв, он может помочь нам улучшить ресурс.

Советуем прочитать [URL="http://security-advisory.virusinfo.info/"]электронную книгу[/URL] "Безопасный Интернет. Универсальная защита для Windows ME - Vista".
22.02.2009, 04:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows.0\\svchost.exe - [B]Trojan-GameThief.Win32.OnLineGames.ujm[/B] (DrWEB: Trojan.DownLoader.37508)[*] c:\\windows.0\\system32\\drivers\\nkv2.sys - [B]Rootkit.Win32.Agent.agf[/B] (DrWEB: Trojan.NtRootKit.994)[*] c:\\windows.0\\temp\\bnd.tmp - [B]Trojan-Downloader.Win32.Agent.mgh[/B] (DrWEB: Trojan.DownLoader.55595)[*] \\2008-03-30\\bcqr00001.dta - [B]Rootkit.Win32.Agent.agf[/B] (DrWEB: Trojan.NtRootKit.994)[*] \\2008-03-30\\bcqr00002.dta - [B]Rootkit.Win32.Agent.agf[/B] (DrWEB: Trojan.NtRootKit.994)[*] \\2008-03-30\\bcqr00003.dta - [B]Rootkit.Win32.Agent.agf[/B] (DrWEB: Trojan.NtRootKit.994)[/LIST][/LIST]