День добрый, кажется подхватила какой-то вирус.
Восстановление системы отключила.
AVZ ткрывается и гаснет через 4 секунды. Но вчера удалось реанимировать безопасный режим и Cureit.exe выдал srvany.exe подозрение на вирус. БОльше ничего не нашел. семантик и adaware тоже.
Сегодня безопасный режим и AVZ опять не работают.
Спасибо!
Елена
Скачайте переименованный [url=http://wise-wistful.ifolder.ru/6132900]IceSword[/url] (его exe-файл в hockey.pif)
Запустите программу.
Зайдите слева в меню Process. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Зайдите в меню Kernel Module. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Оба лога запакуйте в один архив и прикрепите архив.
avptool запускать пробовала? там есть возможность сделать лог avz [url]http://avptool.virusinfo.info/ru/AVPTool_manual.htm[/url]
[quote=wise-wistful;219502]Скачайте переименованный [URL="http://wise-wistful.ifolder.ru/6132900"]IceSword[/URL] (его exe-файл в hockey.pif)
Запустите программу.
Зайдите слева в меню Process. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Зайдите в меню Kernel Module. Нажмите на кнопку Log, сохраните лог под каким хотите именем.
Оба лога запакуйте в один архив и прикрепите архив.[/quote]
Сделано
Запустите IceSword, зайдите слева в меню "Processes"
Выберите:
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
И если есть windows\system32\mdelk.exe
Так вот нажмите по каждому из этих процессов правой кнопкой мыши и выберите "Terminate Process".
Потом внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файлы и удалите с помощью force delete (нажмите по ним правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да"):
windows\system32\drivers\srosa.sys
windows\system32\drivers\hldrrr.exe
windows\system32\wintems.exe
windows\system32\mdelk.exe
Посмотрите там, есть ли папка WINDOWS\system32\drivers\down
если есть, то force delete для папки down (папка называется down, ни в коем случае не перепутайте с папкой drivers)
Найдите в IceSworde следующие параметры из ключа системного реестра (зайдите в меню: Registry):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "drvsyskit"
параметр называется "drvsyskit", удалите его.
Найдите параметр
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "german.exe"
параметр называется "german.exe", удалите его.
Посмотрите, есть ли ключ реестра
HKEY_CURRENT_USER\Software\FirstRRRun
Если есть, удалите ключ FirstRRRun.
Посмотрите, есть ли ключи реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa (не обращайте внимание на пробел в слове "srosa" и некотрые другие пробелы в некоторых местах, их не должно быть, какой-то баг форума).
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\srosa
Если есть, удалите в них ключ srosa.
Перезагрузите компьютер.
Пробуйте запустить АВЗ. Если не получается, скачайте АВЗ ещё раз.
Есть папка C:\WINDOWS\system32\drivers\downld удалять?
а также (на всякий случай заодно спрошу):
C:\WINDOWS\system32\drivers\disdn
C:\WINDOWS\system32\drivers\etc
C:\WINDOWS\system32\drivers\umdf ?
Эту C:\WINDOWS\system32\drivers\downld нужно тоже удалить
[B][COLOR=blue][FONT=Verdana]Этого[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]не[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]нашла[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]:[/FONT][/COLOR][/B][COLOR=black] HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "drvsyskit" [/COLOR]
[B][COLOR=blue][FONT=Verdana]Этого[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]не[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]нашла[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]:[/FONT][/COLOR][/B][COLOR=black] HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run "german.exe"[/COLOR]
[COLOR=black]Посмотрите[/COLOR][COLOR=black], [/COLOR][COLOR=black]есть[/COLOR][COLOR=black]ли[/COLOR][COLOR=black]ключ[/COLOR][COLOR=black]реестра[/COLOR]
[COLOR=black]HKEY_CURRENT_USER\Software\FirstRRRun[/COLOR]
[COLOR=black]Если есть, удалите ключ FirstRRRun. [/COLOR][B][COLOR=blue][FONT=Verdana]Удалила![/FONT][/COLOR][/B]
[COLOR=black]Посмотрите, есть ли ключи реестра:[/COLOR]
[COLOR=black]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servic es\srosa [/COLOR][B][COLOR=blue][FONT=Verdana]Удалила[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]![/FONT][/COLOR][/B]
[COLOR=black]HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\s [/COLOR][COLOR=black]rosa[/COLOR][B][COLOR=blue][FONT=Verdana]Удалила[/FONT][/COLOR][/B][B][COLOR=blue][FONT=Verdana]![/FONT][/COLOR][/B]
[COLOR=black]Папку в System32\drivers\down что то там тоже[/COLOR][B][COLOR=blue][FONT=Verdana] удалила[/FONT][/COLOR][/B][COLOR=black] - там были одни экзешники[/COLOR]
[COLOR=black]Теперь ситуация:[/COLOR]
[COLOR=black]1. Безопасный режим пока не заработал - перестал даже вылетать в перезагрузку, просто зависает.[/COLOR]
[COLOR=black]2. Заработал Симанте и сразу начал чичтить и помещать в карантин следующие вирусы:[/COLOR]
[COLOR=black]Hacktool.Rootkit [/COLOR][COLOR=black][URL]http://securityresponse.symantec.com/security_response/writeup.jsp?docid=2002-011710-0057-99[/URL][/COLOR]
[COLOR=black]Trojan Horse [URL]http://securityresponse.symantec.com/security_response/writeup.jsp?docid=2004-021914-2822-99[/URL][/COLOR]
[COLOR=black]3. ЗАработал AVZ[/COLOR]
[COLOR=black]Логи теперь:[/COLOR]
1.[url=http://virusinfo.info/showthread.php?t=7239]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/url]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\winio.sys','');
QuarantineFile('ldr64.dll','');
QuarantineFile('C:\WINDOWS\System32\service.exe','');
DeleteFile('ldr64.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(10);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно [b]приложения 3 [url=http://virusinfo.info/showthread.php?t=1235]правил [/url][/b].
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=21993[/url]
2.Пофиксить в HijackThis следующие строчки ( [url]http://virusinfo.info/showthread.php?t=4491[/url] )
[CODE]O20 - Winlogon Notify: ldr64 - ldr64.dll (file missing) [/CODE]
После прогона скрипата заработал Безопасный режим :),
однако рабочий стол и мои Setings загружаются очень долго.
Файл карантина послала.
winio.sys
Вредоносный код в файле не обнаружен.
Присылаю логи еще раз
Скачайте и проверьте компьютер самой свежей версией [url=http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/]AVPTool[/url], на случай, если от червя что-нибудь завалялось.
[quote=Гриша;219605]winio.sys
Вредоносный код в файле не обнаружен.[/quote]
Почему-то в прошлый раз у меня не отобразилось в карантине еще два файла! Теперь они там есть и я их посылаю!
Спасибо!
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
[quote=kps;219610]Скачайте и проверьте компьютер самой свежей версией [URL="http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/"]AVPTool[/URL], на случай, если от червя что-нибудь завалялось.[/quote]
Буду пытаться, хотя, честно говоря, уже не верю, что поможет!:)
Просто процесс будет очень долгий
Почему же не верите, Вы уже удалили активные файлы одного из самых трудноудаляемых червей, а это большое достижение.
После проверки AVPTool, выполните такой [url=http://virusinfo.info/showthread.php?t=7239]скрипт в AVZ[/url]:
[code]begin
DeleteFile('C:\WINDOWS\System32\service.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('WSCM');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи, начиная с пункта 10 правил.
Сделано! При загрузке Виндов, после логотипа Windows на черном фоне долго горит черный экран, загрузка Settings и рабочего стола производится дого, правда это, может можно исправить обновив систему поверх старой, пока не пробовала.
Вот логи:
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
QuarantineFile('D:\Games\crack\showcase.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин.
[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O20 - Winlogon Notify: ldr64 - C:\WINDOWS\ [/code]
По поводу долгой загрузки - зайдите в
Пуск - Выполнить - напишите msconfig - ok - на закладке "Автозапуск" уберите птички со всего ненужного Вам для автозагрузки при старте Windows, сохраните изменения и перезагрузите компьютер.
Все сделала, карантин отправила.
Спасибо!
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
DeleteFile('D:\Games\crack\showcase.exe ');
RebootWindows(false);
end.[/CODE]
Повторите последний лог.
Точнее НОВЫЕ, а то "последние" звучит фатально.
Чисто,жалобы есть?
Только загружается система долго в самом начале: аосле логотипа Windows на черном фоне очень долго горит черный экран (каждый раз ёкает сердце, что не загрузится), потом долго грузятся настройки и Десктоп. А так вроде все нормально.
Еще появился какой то процесс в памяти csrss.exe - везде пишут, что это червь, однако ни одна программа - ни Доктор, ни Касперский, ни Семантек его как вирус не определяет. И этот и некоторые процессы не отображаются в HiJackThis, зато видны в IceSword. Короче, уже ничего не понимаю...
csrss.exe - в какой папке?
Сделайте новые логи.
[quote=kps;220819]csrss.exe - в какой папке?
Сделайте новые логи.[/quote]
Видела его в папке C:\WINDOWS\system32
Этот процесс отображается в системном трее, и IceSword, но его нет в других логах
Огромное спасибо!
в логах ничего подозрительного ...
Все система умерла, просто компьютер не загрузился и все. Пришлось заново переустанавливать систему. :(
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]