Открываються непонятные китайские сайы, нет доступа к реестру и т.д.

Printable View

03.06.2008, 19:14
ABAHC

Вложений: 2

Открываються непонятные китайские сайы, нет доступа к реестру и т.д.

Здравствуйте у меня что то не ладное твориться с компьютером. Я уже писал что не мог запустить AVZ (можо удалить ту тему)
Так вот. Сделал я проверку ДрВеб и АВЗ при запуске Hijackthis у меня после того как на верху напишет Scan complete прокрамма подвисает и пишет нет ответа. Поэтому лог не отправляю.
Проблема в следующем, у меня не запускаеться KIS, не могу редактировать реестр, нет доступа к диспечеру задач, и постоянно открываються окна типо этого
причем там все на китайском и при выходе как то странно он пишет (Вы действительно хотите выйти) подскажите что делать?
03.06.2008, 19:56
PavelA

у меня получился вот такой скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\pagefile.pif','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('C:\WINDOWS\system32\blastclnnn.exe','');
QuarantineFile('C:\WINDOWS\system32\com\netcfg.dll','');
QuarantineFile('c:\windows\system32\com\smss.exe','');
QuarantineFile('c:\windows\system32\scvhost.exe','');
QuarantineFile('c:\windows\system32\com\lsass.exe','');
QuarantineFile('QB2.HTML','');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\scvhost.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\blastclnnn.exe');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

М.б. что-то пропустил.
После него прислать ВЕСЬ карантин. Сделать новые логи.
03.06.2008, 20:05
kps

У Вас Xorer.
После скрипта из второго поста выпоните еще такой в AVZ:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\AntiTool.exe','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('C:\pagefile.pif','');
QuarantineFile('C:\WINDOWS\system32\amvo0.dll','');
QuarantineFile('C:\WINDOWS\occache\IpixX.ocx','');
QuarantineFile('C:\WINDOWS\system32\blastclnnn.exe','');
QuarantineFile('C:\WINDOWS\system32\ltdic1tn.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\npf.sys','');
QuarantineFile('C:\WINDOWS\system32\dnsq.dll','');
QuarantineFile('C:\WINDOWS\system32\com\netcfg.dll','');
QuarantineFile('c:\windows\system32\com\smss.exe','');
QuarantineFile('c:\windows\system32\scvhost.exe','');
QuarantineFile('c:\windows\system32\com\lsass.exe','');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\com\netcfg.000');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\WINDOWS\system32\ltdic1tn.dll');
DeleteFile('C:\WINDOWS\system32\blastclnnn.exe');
DeleteFile('c:\windows\system32\scvhost.exe');
DeleteFile('C:\WINDOWS\system32\amvo0.dll');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\NetApi00.sys');
DeleteFile('C:\NetApi00.sys');
DeleteFile('D:\autorun.inf');
DeleteFile('d:\pagefile.pif');
DeleteFile('C:\WINDOWS\system32\AntiTool.exe');
DeleteFileMask('c:\', 'lsass.exe.*', false);
DeleteFileMask('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(11);
ExecuteRepair(16);
ExecuteRepair(17);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится. Пришлите карантин.
Сделайте новые логи.
03.06.2008, 23:14
ABAHC

Вложений: 2

Все сделал как сказали - заметил что теперь при запуске винды появляеться надпись не возможно найти файл SCVHOST.exe вроде так )
Выслал карантин как и написано с поролем
04.06.2008, 01:25
Bratez

Выполните скрипт в безопасном режиме:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\com\lsass.exe');
DeleteFile('C:\WINDOWS\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\WINDOWS\system32\blastclnnn.exe');
DeleteFile('C:\WINDOWS\Tasks\At1.job');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Обновите базы AVZ и сделайте новые логи (все 3).
04.06.2008, 08:21
ABAHC

У меня не загружается безопасный режим (никакой) при выборе безопасного режима появляется черный экран с мигающем курсором, внизу экрана надпись Press Esc to cancel load SPTV.sys пробывал нажимать - выбрасывает и начинается загрузка в обычном режиме - не нажимаю - появляется экран типо впрошлый раз из-за отключения электроэнергии и т.д. был выполнен некоректный выход или что то типо этого - вообщем не получаеться у меня в безопасный режим войти. Что делать?
04.06.2008, 11:24
Bratez

Ну сделайте в обычном, и далее по тексту.
04.06.2008, 12:42
ABAHC

Вложений: 2

Сделал HiJackthis так же гличит (
Высылаю вам 2 лога с АВЗ какой 3 лог я не понял
04.06.2008, 12:56
Bratez

Ничего не изменилось. Попробуйте восстановить запук безопасного режима с помощью AVZ - Файл - Восстановление системы - п.10 - Выполнить. Если не поможет, ищите загрузочный CD с поддержкой NTFS, загружайтесь и удаляйте файлы, упомянутые в моем скрипте.

3-й лог имелся ввиду HijackThis.
04.06.2008, 13:00
kps

Напишите подробно, какие у Вас буквы для всех жестких дисков и сменных носителей, я тогда составлю скрипт.
04.06.2008, 13:48
PavelA

То,что попало в карантин:
[CODE]amvo0.dll - Trojan-PSW.Win32.OnLineGames.pmo,
AntiTool.exed - Worm.Win32.AutoRun.dck,
dnsq.dll - Trojan-PSW.Win32.Agent.acp,
netcfg.dll - Virus.Win32.Xorer.ee,
pagefile.pif - Virus.Win32.Xorer.fb,
smss.exe - Virus.Win32.Xorer.dt[/CODE]
04.06.2008, 15:48
ABAHC

Локальный диск C:, Локальный диск D:, Диск 3,5 (A:), DVD-RW (E:), Съемный диск (F:)
04.06.2008, 16:09
kps

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\wpcap.dll','');
QuarantineFile('C:\WINDOWS\system32\packet.dll','');
QuarantineFile('C:\WINDOWS\system32\com\NetApi00.sys','');
QuarantineFile('C:\037589.log','');
QuarantineFile('F:\NetApi00.sys','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\pagefile.pif','');
QuarantineFile('C:\WINDOWS\System32\drivers\alg.exe','');
DeleteFile('C:\WINDOWS\system32\wpcap.dll');
DeleteFile('C:\WINDOWS\system32\packet.dll');
DeleteFile('C:\WINDOWS\system32\com\NetApi00.sys');
DeleteFile('c:\windows\system32\com\lsass.exe');
DeleteFile('c:\windows\system32\com\smss.exe');
DeleteFile('C:\WINDOWS\system32\com\netcfg.dll');
DeleteFile('C:\WINDOWS\system32\com\netcfg.000');
DeleteFile('C:\WINDOWS\system32\dnsq.dll');
DeleteFile('C:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\NetApi00.sys');
DeleteFile('C:\NetApi00.sys');
DeleteFile('D:\autorun.inf');
DeleteFile('d:\pagefile.pif');
DeleteFile('C:\WINDOWS\System32\drivers\alg.exe');
DeleteFile('C:\037589.log');
DeleteFile('C:\WINDOWS\system32\AntiTool.exe');
DeleteFileMask('c:\', 'lsass.exe.*', false);
DeleteFileMask('c:\documents and settings\all users\Главное меню\Программы\Автозагрузка', '*.exe', false);
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_clr.log');
BC_Activate;
ExecuteRepair(6);
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url].

Очистите временные папки и кеш браузера.
Сделайте новые логи и прикрепите еще boot_clr.log из папки AVZ.
04.06.2008, 23:10
ABAHC

Вложений: 2

Выполнил
04.06.2008, 23:13
ABAHC

Вложений: 1

а вот еше, забыл)
04.06.2008, 23:14
V_Bond

лучше всего запустить проверку Cureit из-под загрузочного диска ...
или на машине с обновленным касперским сделать диск аварийного восстановления и провериться...
затем свежие логи ...
04.06.2008, 23:15
ABAHC

[quote=V_Bond;236493]лучше всего запустить проверку Cureit из-под загрузочного диска ...
или на машине с обновленным касперским сделать диск аварийного восстановления и провериться...
затем свежие логи ...[/quote]
А это как сделать?
04.06.2008, 23:17
V_Bond

у вас есть загрузочный диск ?
есть чистая машина с касперским ?
04.06.2008, 23:20
ABAHC

Машины чистой нет комп домашний - а загрузочный диск тож отсутствует.
А что у меня какой-то серьезный вирус? чем мне он грозит?
04.06.2008, 23:41
V_Bond

[QUOTE=ABAHC;236498]Машины чистой нет ...[/QUOTE]
нужно найти ... на машине с обновленным касперским сделать диск аварийного восстановления ... это лучший вариант ...
04.06.2008, 23:51
ABAHC

У меня в офисе стоит касперский, скажите как сделать этот диск на Касперском версии 6,0 вроде или 7,0 не помню
05.06.2008, 00:00
V_Bond

[URL=http://radikal.ru/F/i049.radikal.ru/0806/85/608a5ac5fa91.jpg.html][IMG]http://i049.radikal.ru/0806/85/608a5ac5fa91t.jpg[/IMG][/URL]
05.06.2008, 00:03
ABAHC

ок а потом что сделать с этим диском - сейчас кроме cureit на компе ничего нет (из антив-ов)
05.06.2008, 00:06
V_Bond

потом загрузиться с этого диска и сделать полную проверку ...
05.06.2008, 00:22
kps

[QUOTE=ABAHC;236498]А что у меня какой-то серьезный вирус? [/QUOTE]

У Вас Xorer...
22.02.2009, 05:39
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]80[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \\bcqr00001.dta - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\bcqr00002.dta - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\bcqr00003.dta - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\bcqr00004.dta - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\bcqr00005.dta - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\bcqr00006.dta - [B]Worm.Win32.AutoRun.dck[/B] (DrWEB: Win32.HLLW.Autoruner.868)[*] \\bcqr00007.dta - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[*] \\bcqr00008.dta - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[*] \\bcqr00019.dta - [B]Trojan-PSW.Win32.Agent.acp[/B] (DrWEB: Win32.HLLP.Rox.16)[*] \\bcqr00020.dta - [B]Trojan-PSW.Win32.Agent.acp[/B] (DrWEB: Win32.HLLP.Rox.16)[*] \\bcqr00027.dta - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[*] \\bcqr00028.dta - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[*] c:\\pagefile.pif - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[*] c:\\windows\\system32\\amvo0.dll - [B]Trojan-GameThief.Win32.OnLineGames.pmo[/B] (DrWEB: Trojan.PWS.Wsgame.2387)[*] c:\\windows\\system32\\antitool.exe - [B]Trojan-GameThief.Win32.OnLineGames.mix[/B] (DrWEB: Trojan.Sniff)[*] c:\\windows\\system32\\com\\lsass.exe - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[*] c:\\windows\\system32\\com\\netcfg.dll - [B]Virus.Win32.Xorer.ee[/B] (DrWEB: Win32.HLLP.Rox)[*] c:\\windows\\system32\\com\\smss.exe - [B]Virus.Win32.Xorer.dt[/B] (DrWEB: Win32.HLLP.Rox)[*] c:\\windows\\system32\\dnsq.dll - [B]Trojan-PSW.Win32.Agent.acp[/B] (DrWEB: Win32.HLLP.Rox.16)[*] c:\\windows\\system32\\drivers\\alg.exe - [B]Trojan-Downloader.Win32.Agent.mis[/B] (DrWEB: Trojan.Sniff)[*] c:\\windows\\system32\\ltdic1tn.dll - [B]Worm.Win32.AutoRun.lti[/B] (DrWEB: Win32.HLLW.Autoruner.2299)[*] c:\\037589.log - [B]Virus.Win32.Xorer.fb[/B] (DrWEB: Win32.HLLP.Rox.17)[/LIST][/LIST]