-
Вложений: 3
Букет из троянов!
Здравствуйте!
Следующая проблема. Компьютер не хотел работать, то есть Win XP загружался, но ни одно из приложений не запускалось, а на рабочий стол выводилось сообщение о наличии вирусного ПО и необходимости установки антивируса и чистки компьютера. На данном компьютере стоит второй XP, и из него я в безопасном режиме, при помощи CureIT смог почистить больную систему. В итоге приложения стали запускаться, но только от имени. При попытке восстановления параметров запуска .exe, .com, .pif файлов через восстановление настроек системы в AVZ выдаётся следующее сообщение: "failed to create key .exe." Сообщение с рабочего стола не исчезло. Прошу посмотреть логи.
Заранее благодарен.:)
-
[b]Отключите службу восстановления системы[/b] (см. Правила).
Отключите антивирус.
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SearchRootkit(true, false);
SetAVZGuardStatus(True);
SetServiceStart('Google Online Services', 4);
DeleteService('Google Online Services');
QuarantineFile('C:\WINDOWS\system32\blphc9vej0e5nc.scr','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\System32\drivers\Qvb16.sys','');
QuarantineFile('C:\WINDOWS\system32\Beep.sys','');
QuarantineFile('C:\WINDOWS\system32\gwin32.dll','');
BC_DeleteFile('C:\WINDOWS\system32\gwin32.dll');
BC_DeleteFile('C:\WINDOWS\system32\Beep.sys');
BC_DeleteFile('C:\WINDOWS\System32\drivers\Qvb16.sys');
DelWinlogonNotifyByFileName('kdjvl.exe');
BC_DeleteFile('C:\WINDOWS\system32\ntos.exe');
BC_DeleteFile('C:\WINDOWS\system32\blphc9vej0e5nc.scr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите то, что попадет в карантин так, как написано в приложении 3 Правил, используя ссылку:
[url]http://virusinfo.info/upload_virus.php?tid=24728[/url]
При создании архива карантина отключите антивирус.
Обновите базы AVZ.
Сделайте новые логи и приложите их к вашей теме.
-
Я не могу отключить восстановление системы: не могу открыть "Свойства", система пишет "приложение не найдено."
[size="1"][color="#666686"][B][I]Добавлено через 11 минут[/I][/B][/color][/size]
карантин закачала, сейчас логи сделаю
-
Вложений: 1
[quote=ghostil]Я не могу отключить восстановление системы: не могу открыть "Свойства", система пишет "приложение не найдено."[/quote]
А если приложенный архив распаковать в папку C:\WINDOWS\system32?
-
Вложений: 3
Вот новые логи. Сейчас попробую распаковать приложенный архив.:)
-
при попытке скачать/открыть архив выдаётся сообщение, что узел не найден.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
В дополнении ко всем неприятностям при нажатии на кнопку отправки сообщений появляется сообщение о невозможности выполнения данного сценария. В момент перезагрузки системы после написанного Вами скрипта вылетел синий "экран смерти". Перезагрузил компьютер, больше этот экран не появлялся.
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
Точнее, выводится сообщение не о невомозжности выполнения сценария, а об ошибке выполнения сценария
[size="1"][color="#666686"][B][I]Добавлено через 1 час 17 минут[/I][/B][/color][/size]
не подскажете, как дела обстоят с компьютером?=)
-
[quote=ghostil]при попытке скачать/открыть архив выдаётся сообщение, что узел не найден.[/quote]
Через другой компьютер не можете скачать?
В папке C:\WINDOWS\system32\dllcache есть файл sysdm.cpl? Если есть, скопируйте в C:\WINDOWS\system32 и попробуйте отключить службу восстановления системы.
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
Запустите AVZ.
Выполните скрипт через меню Файл:
[code]
begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\services.exe','');
SetServiceStart('Qvb16', 4);
DeleteService('Qvb16');
DeleteFile('C:\WINDOWS\system32\gwin32.dll');
DeleteFile('C:\Documents and Settings\Администратор\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\System32\drivers\Qvb16.sys');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
DeleteFile('C:\WINDOWS\services.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите то, что попадет в карантин.
-
-
[url=http://virusinfo.info/showpost.php?p=64376&postcount=1]Пофиксте[/url] в HijackThis следующие строки:
[quote]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\services.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: Aero skin - {FFFFFFFF-85A3-452b-B7A8-759AD9B42162} - gwin32.dll (file missing)
O2 - BHO: Microsoft copyright - {FFFFFFFF-BBBB-4146-86FD-A722E8AB3489} - sockins32.dll (file missing)
O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
O4 - HKLM\..\Run: [lphc9vej0e5nc] C:\WINDOWS\system32\lphc9vej0e5nc.exe
O4 - HKLM\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKLM\..\Run: [winlogon] C:\Documents and Settings\Администратор\svchost.exe
O4 - HKLM\..\Run: [C:\WINDOWS\system32\kdjvl.exe] C:\WINDOWS\system32\kdjvl.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\Администратор\svchost.exe
O4 - HKUS\S-1-5-21-789336058-602609370-725345543-500\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe (User '?')
O4 - HKUS\S-1-5-21-789336058-602609370-725345543-500\..\Run: [winlogon] C:\Documents and Settings\Администратор\svchost.exe (User '?')
O17 - HKLM\System\CCS\Services\Tcpip\..\{A478CEF4-BC11-4E7E-87E9-2FEFF106B3E9}: NameServer = 85.255.115.61,85.255.112.113
O17 - HKLM\System\CCS\Services\Tcpip\..\{E9018952-C005-45B8-929F-641F1B4A7680}: NameServer = 85.255.115.61,85.255.112.113
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.61 85.255.112.113
O21 - SSODL: WebProxy - {66186F05-BBBB-4a39-864F-72D84615C679} - sockins32.dll (file missing)
[/quote]
У вас DNS сервер украинский почему то...
Перезагрузите компьютер.
Сделайте новые логи начиная с 10-го пункта Правил и приложите их к вашей теме.
-
с восстановлением не получается, говорит, что не может найти приложение с C:\Windows\System32\dllcache\rundll32.exe. Скопировал его с другой систем, всё равно, не запускает
-
Видимо, трояны систему основательно повредили. :(
Хотелось бы посмотреть на файл C:\WINDOWS\services.exe, он в карантин не попал?
Возможно, поможет установка SP3 на Windows, но сначала сделайте то, что написал выше.
-
SP3 вряд ли смогу установить, сейчас сделаю, указанное выше и посмотрю карантин!
[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]
У меня в карантин ничего не попало. Сейчас буду фиксить.
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
Ошибочка вышла. Сейчас просмотрел вчерашний карантин (сегодня повторно выполнял указанный вами скрипт, и в карантин ничего не попало), и в нём оказался указанный вами файл, C:\WINDOWS\services.exe. Я этот карантин закачал. Посмотрите его, пожалуйста.
-
Вложений: 2
Выкладываю новые логи. Посмотрите их, пожалуйста!:)
-
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксить[/URL]
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\drivers\services.exe,C:\WINDOWS\system32\ntos.exe,
O2 - BHO: Aero skin - {FFFFFFFF-85A3-452b-B7A8-759AD9B42162} - gwin32.dll (file missing)
O2 - BHO: Microsoft copyright - {FFFFFFFF-BBBB-4146-86FD-A722E8AB3489} - sockins32.dll (file missing)
O4 - HKLM\..\Run: [runservices] C:\WINDOWS\services.exe
O4 - HKLM\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKLM\..\Run: [winlogon] C:\Documents and Settings\Администратор\svchost.exe
O4 - HKLM\..\Run: [C:\WINDOWS\system32\kdjvl.exe] C:\WINDOWS\system32\kdjvl.exe
O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\Администратор\svchost.exe
O4 - HKUS\S-1-5-21-789336058-602609370-725345543-500\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe (User '?')
O4 - HKUS\S-1-5-21-789336058-602609370-725345543-500\..\Run: [winlogon] C:\Documents and Settings\Администратор\svchost.exe (User '?')
O17 - HKLM\System\CCS\Services\Tcpip\..\{A478CEF4-BC11-4E7E-87E9-2FEFF106B3E9}: NameServer = 85.255.115.61,85.255.112.113
O17 - HKLM\System\CCS\Services\Tcpip\..\{E9018952-C005-45B8-929F-641F1B4A7680}: NameServer = 85.255.115.61,85.255.112.113
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.61 85.255.112.113
O21 - SSODL: WebProxy - {66186F05-BBBB-4a39-864F-72D84615C679} - sockins32.dll (file missing)[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Qvb16');
DeleteService('Google Online Services');
DeleteFile('C:\Documents and Settings\Администратор\ie_updates3r.exe');
DeleteFile('C:\WINDOWS\System32\drivers\Qvb16.sys');
DeleteFile('C:\WINDOWS\system32\blphc9vej0e5nc.scr');
DeleteFile('C:\WINDOWS\services.exe ');
DeleteFile('C:\WINDOWS\system32\kdjvl.exe ');
DeleteFile('C:\Documents and Settings\Администратор\svchost.exe ');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('kdjvl.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('Qvb16 ');
BC_DeleteSvc('Google Online Services ');
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6 );
ExecuteRepair(8 );
RebootWindows(true);
end.[/CODE]
Повторите эти же логи...
-
-
Вложений: 2
-
Все на месте,куритом пробовали чистить?
-
Куритом чистил, а вот потом, как раз, уже вам написал, поскольку трояны не исчезли. Помимо этого, после чистки куритом перестали запускаться .exe файлы (запускаю их только от имени). Когда попытался исправить это с помощью АВЗ через восстановление системы. Была выведена ошибка "Failed to create key .exe".
-
Система конкретно повреждена,SP3 накатывали?
-
Да у меня нет SP3. А скачать с официального сайта Microsoft нет возможности. =(
[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]
без установки SP3 система полноценно функционировать не будет?
-
Видимо нет,все слишком побито:(
-
C:\WINDOWS\services.exe это Trojan.Spambot.3379 или Trojan.Win32.Agent.rqq
[quote=ghostil]Да у меня нет SP3. А скачать с официального сайта Microsoft нет возможности.[/quote]
В таком случае, могу только посоветовать вот это:
[url]http://support.microsoft.com/kb/315341/ru[/url]
см. [b]Способ 2. Восстановление Windows XP при загрузке компьютера с компакт-диска Windows XP[/b]
-
Это молчание говорит о том, что выхода нет?=)
[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]
спасибо, попробую!=)
-
У меня возник вопрос в процессе восстановления Windows XP: вслывает окно с просьбой выбрать программу, которая запустит файл rundll32.exe. Не подскажете, как можно обойти это запрос?
-
Если вы запускаете восстановления загрузившись с CD диска, то такого окна не должно быть.
-
[QUOTE=ghostil;242692]Да у меня нет SP3. А скачать с официального сайта Microsoft нет возможности. =(
[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]
без установки SP3 система полноценно функционировать не будет?[/QUOTE]
Вот Вам ссылка прямая. Скачивайте и ставьте, скачивается без проблем любым манагером закачек. (Если конечно дело в том что Вы не знали где скачать, если же дело в объеме трафика то тогда это другой вопрос!) файл весит 303 мб.
[url]http://download.windowsupdate.com/msdownload/update/software/svpk/2008/04/windowsxp-kb936929-sp3-x86-rus_850cda9f57033a17d046a56d422547ea80dcaf61.exe[/url]
-
Так у меня следующая ситуация произошла. Сначала он с CD запустился, пошло обновление. Потом перезагрузка. Затем я загружаюсь с жёсткого диска и он начинает процесс установки Windows! И, соответственно, возникает это сообщение.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Jolly Rojer, спасибо за ссылку, но у меня, к сожалению не безлимитка, поэтому и не могу скачать SP3. :-)
[size="1"][color="#666686"][B][I]Добавлено через 18 минут[/I][/B][/color][/size]
то есть не обновление, а восстановление. Прошу прощения за путаницу.
-
выбирайте программу C:\WINDOWS\system32\cmd.exe
Запустится черное окно. В нем напишите [b]regedit[/b] и нажмите Enter.
В древовидной структуре слева перейдете в "папочку"
HKEY_CLASSES_ROOT\exefile\shell\open\command
Сделайте двойной щелчек на [b](По умолчанию)[/b] и измените в открывшемся окошке значение:
C:\WINDOWS\system32\drivers\services.exe "%1" %*
на
"%1" %*
Нажмите ОК.
Перезагрузите компьютер.
-
Сейчас постараюсь сделать!!!
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 18 минут[/I][/B][/color][/size]
С горем пополам я провёл восстановление системы, в итоге некоторые .exe-файлы стали запускаться такие, как IE. Когда стал изменять данные в реестре, то было выведено сообщение о невозможности изменения, объясняя это тем, что "" недопустимы.
[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]
в общем, буду я ставить новую систему! Спасибо за помощь!=)
-
Итог лечения
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\services.exe - [B]Trojan.Win32.Agent.rqq[/B] (DrWEB: Trojan.Packed.573)[*] c:\\windows\\system32\\drivers\\qvb16.sys - [B]Trojan-Downloader.Win32.Mutant.aim[/B] (DrWEB: Trojan.DownLoader.63903)[*] c:\\windows\\system32\\gwin32.dll - [B]Backdoor.Win32.Agent.idx[/B] (DrWEB: BackDoor.Siggen.24)[/LIST][/LIST]
Page generated in 0.01326 seconds with 10 queries