Помогите узнать,найти и удалить вирус

Проблема такова: деспетчер задач и регистр заблокирован, вирус заблокировал NOD32, а также блокирует разовые антивирусы. Также при запуске безопасного режыма идет комп на перезагрузку. запускал куреит из CD диска показал что заражены все екзешники но он их изличил якобы. Ну ето не все тепер еще клиент банк не запускаеться. Прошу помогите уже вторую ночь не сплю.

[QUOTE=siniypank;264883]Прошу помогите уже вторую ночь не сплю.[/QUOTE]а надо было всего лишь [URL="http://virusinfo.info/showthread.php?t=1235"]прочитать и выполнить[/URL] :)

щяс исправлюсь прикреплю логи

вот AVZ свежый
[COLOR="Red"]moderated:::Не постите и не прикрепляйте никакие другие файлы, логи, кроме логов [B]HijackThis[/B] и AVZ ([B]virusinfo_syscure.zip[/B] ,[B]virusinfo_syscheck.zip[/B]),
если Вас об этом не просили.[/COLOR]

HijackThis лог

Заканчиваем флудить, выполняем правила.
Советую Вам лечь и выспаться, а то дела не будет :)

Пытаюсь не флудить, лечь спать не могу хочу уйти в отпуск, вроде щя делаю правильно

Помогите плиз

[size="1"][color="#666686"][B][I]Добавлено через 33 секунды[/I][/B][/color][/size]

Пожалуйста не игнорируйте меня

[QUOTE=siniypank;264912]вроде щя делаю правильно[/QUOTE]нет. Карантин вместо лога. Базы АВЗ не обновили


Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('UPSMON_Service');
DelBHO('{07B18EA1-A523-4961-B6BB-170DE4475CCA}');
DelBHO('{00A6FAF1-072E-44cf-8957-5838F569A31D}');
QuarantineFile('C:\WINDOWS\system32\sysuser\sys2.dll','');
QuarantineFile('C:\DOCUME~1\НАТАША\LOCALS~1\Temp\wincruyxd.exe','');
QuarantineFile('C:\DOCUME~1\НАТАША\LOCALS~1\Temp\winobrm.exe','');
DeleteFile('C:\DOCUME~1\НАТАША\LOCALS~1\Temp\wincruyxd.exe');
DeleteFile('C:\DOCUME~1\НАТАША\LOCALS~1\Temp\winobrm.exe');
DeleteFile('C:\Program Files\MyWebSearch\SrchAstt\2.bin\MWSSRCAS.DLL');
DeleteFile('C:\Program Files\MyWebSearch\bar\2.bin\MWSBAR.DLL');
DeleteFile('C:\PROGRA~1\MYWEBS~1\bar\2.bin\MWSBAR.DLL');
DeleteFile('C:\PROGRA~1\MYWEBS~1\bar\2.bin\mwsoemon.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху страницы.
- Прикрепите логи к новому сообщению.

буду стараться быть внимательным до правил

Посмотрите пожалуйста правильно ли я сейчас зделал?:O

[QUOTE=siniypank;265284]Посмотрите пожалуйста правильно ли я сейчас зделал?:O[/QUOTE]старайтесь и далее делать точно так, как написано :).

Скачайте [URL="http://virusinfo.info/showthread.php?t=17228"]IceSword [/URL], поищите и удалите через опцию force delete файлы:
[CODE]C:\WINDOWS\system32\Drivers\Winxl48.sys
C:\WINDOWS\system32\WinCtrl32.dll
[/CODE]
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - HKUS\S-1-5-21-842925246-1708537768-1343024091-1003\..\Run: [iexplorer] C:\WINDOWS\iexplorer.exe --system (User '?')
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{36DBC179-A19F-48F2-B16A-6A3E19B42A87}');
DeleteService('Winxl48');
DeleteService('Ovy58');
DeleteService('asc3360pr');
DeleteService('Winyf82');
DeleteService('Winxe85');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxl48.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\jlqoin.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Ovy58.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winyf82.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Winxe85.sys','');
QuarantineFile('c:\windows\system32\net1.dll','');
QuarantineFile('C:\WINDOWS\system32\Drivers\Winxl48.sys','');
QuarantineFile('C:\WINDOWS\iexplorer.exe','');
QuarantineFile('C:\WINDOWS\services.exe','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\qvbe.exe','');
DeleteFile('F:\qvbe.exe');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\iexplorer.exe');
DeleteFile('C:\WINDOWS\system32\Drivers\Winxl48.sys');
DeleteFile('c:\windows\system32\net1.dll');
DeleteFile('C:\WINDOWS\System32\Drivers\Winxe85.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Winyf82.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Ovy58.sys');
DeleteFile('C:\WINDOWS\system32\drivers\jlqoin.sys');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху страницы.
- Прикрепите логи к новому сообщению.

Вот следующие

Плиз!

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

Ну пожалуста:sos::sos::sos::sos:

[QUOTE=siniypank;265363]Плиз!Ну пожалуста:sos::sos::sos::sos:[/QUOTE]Вы торопитесь? надо было правила с самого начала выполнять.

[B]Подключите драйв F[/B] - это флешка или что?
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]F3 - REG:win.ini: load=DTMONX.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O10 - Broken Internet access because of LSP provider 'c:\windows\system32\mswsoco.dll' missing
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyDel('HKLM','SOFTWARE\Microsoft\Code Store Database\Distribution Units\{33331111-1111-1111-1111-615111193427}');
QuarantineFile('C:\WINDOWS\system32\mswsoco.dll','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\vtopg.cmd','');
DeleteFile('F:\vtopg.cmd');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\mswsoco.dll');
BC_ImportDeletedList;
ExecuteSysClean;
executerepair(7);
executerepair(14);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху страницы.
- Прикрепите логи к новому сообщению.

извените пожалуста был сонный та усталый + хотел в отпуск. Драйв F - да ето флешка мне просто надоело ездить по городу туда, сюда вот и взял на свое рабочее место

[QUOTE=siniypank;265379] Драйв F - да ето флешка [/QUOTE]ОК, вставляем и делаем скрипт и т.д. :)

когда перенашу флеху на свой комп для того что бы сбросить логи проверяю куреитом

[QUOTE=siniypank;265390]когда перенашу флеху на свой комп для того что бы сбросить логи проверяю куреитом[/QUOTE]На флешке зверье сидит >:(

Следующие гости

Ну да конечно они сразу же теже самые и заражаються Sector 5

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Но я их сразу куреитом мочу на своем чтобы мой не трогали

[size="1"][color="#666686"][B][I]Добавлено через 47 секунд[/I][/B][/color][/size]

Nod 32 все ровно их не лечит

[size="1"][color="#666686"][B][I]Добавлено через 10 часов 44 минуты[/I][/B][/color][/size]

Неужели я безнадежный

[QUOTE=siniypank;265414]
Но я их сразу куреитом мочу на своем чтобы мой не трогали...
Неужели я безнадежный[/QUOTE]
А кто Вам виноват, что Вы не слушаетесь - опять флешку не вставили, опять звери кругом. Найдите себе чистую флешку и работайте с ней. Скажете, когда найдете.

она была чистая и есть чистая только я ее вставляю в заражонный комп она сразу цепляет [URL="http://virusinfo.info/showthread.php?t=27632"]win32.sector.5[/URL] даже вплоть отфарматированую. С помощью флешки я запускаю AVZ и записываю вашы кода. Такчто извените она не являеться рознощиком. AVZ запускаеться из под флешки.:hmm:

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

И я Вас слушаюсь, даже не пытаюсь делать нааборот это не в моих интересах. Флешка всегда при проведении кодов и сбора логов включена

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Я уже ее фарматнул:D

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

AVZ переименовал в Winrar, для того чтобы мог запускаться на зараженном

[B]Подключите драйв F[/B]
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('asc3360pr');
QuarantineFile('C:\WINDOWS\system32\drivers\jlqoin.sys','');
QuarantineFile('c:\windows\system32\services.exe','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\erth.exe','');
DeleteFile('F:\erth.exe');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\drivers\jlqoin.sys');
BC_ImportAll;
ExecuteSysClean;
executerepair(9);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху страницы.
- Прикрепите логи к новому сообщению.[/QUOTE]

Я извеняюсь но нверное в скрипте не хватает в конце end.?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Да еще после перезагрузки он проводит иногда сам проверку диска песледних два дня

[QUOTE=siniypank;265488]Я извеняюсь но нверное в скрипте не хватает в конце end.?[/QUOTE]
Вы правы - добавил :)
[QUOTE=siniypank;265488]
Да еще после перезагрузки он проводит иногда сам проверку диска песледних два дня[/QUOTE]Нужно будет сделать chkdisk с исправлением ошибок.

Флешка стояла отформатированной, тоесть пуста, но потом после выполнения скрипта и перезагрузки там на флешке оказался файл osypp.exe зараженный Win32.Sector.5. Вот следующие логи

мне как сейчас chkdisk делать?

[QUOTE=siniypank;265506]мне как сейчас chkdisk делать?[/QUOTE]успеем еще ;)
Сейчас Скачайте [URL="http://virusinfo.info/showthread.php?t=17228"]IceSword [/URL], поищите и удалите через опцию force delete файлы:
[CODE]C:\WINDOWS\system32\DRIVERS\beeper.sys
C:\WINDOWS\system32\drivers\jlqoin.sys
[/CODE]
Потом скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Beep');
DeleteService('asc3360pr');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\beeper.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\jlqoin.sys','');
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\osypp.exe','');
DeleteFile('F:\osypp.exe');
DeleteFile('F:\autorun.inf');
DeleteFile('C:\WINDOWS\system32\drivers\jlqoin.sys');
DeleteFile('C:\WINDOWS\system32\DRIVERS\beeper.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Beep');
BC_DeleteSvc('asc3360pr');
BC_Activate;
RebootWindows(true);
end.[/CODE]
Потом новые логи.

C:\WINDOWS\system32\drivers\jlqoin.sys - токого нету в списке ????:cheesy:

[QUOTE=siniypank;265519]C:\WINDOWS\system32\drivers\jlqoin.sys - токого нету в списке ????:cheesy:[/QUOTE]Бог с ним. Делайте все остальное.

Вот что вышло

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\autorun.inf','');
QuarantineFile('F:\ipyixv.exe','');
DeleteFile('F:\autorun.inf');
DeleteFile('F:\ipyixv.exe');
executerepair(9);
executerepair(11);
executerepair(17);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('F:\autorun.inf');
BC_DeleteFile('F:\ipyixv.exe');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху страницы.
- Прикрепите логи к новому сообщению.

C:\WINDOWS\system32\drivers\jlqoin.sys - это драйвер файлового вируса (того самого Сектор, о котором Вы писали выше). Его на диске нет, он в памяти.
AVZ Вам против этого вируса совсем не поможет.

Аккуратно выполните пункт 1 отсюда: [url]http://virusinfo.info/showthread.php?t=15927[/url]
О результатах сообщите.

[QUOTE=kps;265542]Его на диске нет, он в памяти.[/QUOTE]Ну кто-то же его туда грузит или грузил ;)

Проблема в том что [URL="http://virusinfo.info/showthread.php?t=9279"]Safe Mode[/URL] не запускаеться, разве что загрузить комп из под Live CD

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

CureIT проверял из под стандартного режима выдает до хрена Win32.Sector.5 и все, скачивал прогу самую последнюю

[QUOTE=Rene-gad;265544]Ну кто-то же его туда грузит или грузил ;)[/QUOTE]

Конечно грузит. Я имел ввиду, что драйвера файлового вируса на диске нет, он в памяти, а вот сам файловый вирус (зараженные файлы) на диске есть (наверно все или почти все экзешники заражены), вот зараженные файлы и грузят его в память...

[QUOTE=siniypank;265548]CureIT проверял из под стандартного режима выдает до хрена Win32.Sector.5 и все, скачивал прогу самую последнюю[/QUOTE]

Есть возможность выполнить пункт 2 отсюда: [url]http://virusinfo.info/showthread.php?t=15927[/url] (на чистой системе проверка CureIt!) ?

По просьбе Rene-gad я выложу логи и сразу займусь лечением винта из под Live CD

Логи по просьбе Rene-gad

Лучше сначала пролечите, загрузившись с Live CD, а потом выложите логи.