Printable View
У меня проблема, делаю в поиске какой нибудь запрос, выходит естественно страница с сылками на этот запрос, я нажимаю на ссылку и меня постоянно перенаправляет совершенно на другие не нужные мне страницы, точно знаю, что сидит какой-то вирус winhelp32.exe (может есть и другие вирусы) но удалить его из реестра никак не могу, не в безопасном режиме не в обычном и еще пропали программы из автозагрузки, также сбиваются настройки в windows.
Отключите восстановление системы, как написано в правилах.
Потом скачайте [url=http://rapidshare.com/files/133061044/IceSword122en.zip.html]IceSword[/url].
Запустите его, внизу слева выберите меню File.
Появится аналог проводника. Найдите в нем файл C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys и если есть - сначала скопируйте его куда хотите при помощи Copy to..., чтобы прислать нам, а потом удалите с помощью force delete (нажмите по нему правой кнопкой мыши и выберите force delete, на запрос подтверждения ответьте "да").
Затем [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-1229272821-1757981266-725345543-1003\Dc4.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\System32\Drivers\Siq11.sys','');
QuarantineFile('srv.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\Siq11.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1229272821-1757981266-725345543-1003\Dc4.exe');
DelBHO('7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Siq11');
BC_DeleteSvc('VIDEO');
BC_DeleteSvc('ClipSrvRpcLocator');
BC_DeleteSvc('ClipSrvDcomLaunch');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] + скопированный Вами файл (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=27737[/url] ).
AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и исправить. Данную операцию повторить для категории "Настройки и твики браузера".
Очистите временные папки и кеш браузера.
Лучше деинсталлируйте программы:
XoftSpySE (и уберите его из заданий планировщика)
Malwarebytes' Anti-Malware
Сделайте новые логи.
Выполнил скрипты в AVZ, прислал файлы VIDEO.sys и карантин, вообщем сделал все, что вы написали.
Новые логи
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное востановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O20 - AppInit_DLLs: vmmreg32.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин [COLOR="Red"][B]по красной ссылке[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.
Подскажите пожалуйста я не понял, куда мне надо ввести эту строку
O20 - AppInit_DLLs: vmmreg32.dll
Никуда - ее нужно пофиксить. Что это значит Вы узнаете, нажав на ссылку [COLOR="Blue"][U]-Пофиксите-[/U][/COLOR] в моем предыдущем сообщении.
Пофиксил, скрипт выполнил, карантин отослал
вот логи
Почистим реестр:
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Если у Вас есть папка [B]webmin[/B], которая находится в C:\WINDOWS\SYSTEM32\
то попробуйте ее удалить и посмотрите, не восстановится ли она.
Сделайте новые логи.
Скрипт выполнил. Папка webmin есть она пустая, но не удаляется пишет, что является системной папкой windows и необходима для правильной работы windows.
Логи добавить не могу нет места, уже все забито. куда их можно выложить.
Предыдущие логи удалите через Мой кабинет - Вложения.
Папку webmin попробуйте удалить в IceSword с помощью force delete и посмотрите, не восстановится ли она.
Папка webmin восстанавливается снова, такая же папка у меня на другом windows на этом же компе только с двумя файлами внутри.
Вот логи
Больше ничего зловредного в логах не видно.
Удалим мусор:
[url=http://virusinfo.info/showthread.php?t=4491]Пофиксите в HijackThis[/url]:
[code]O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - (no file)[/code]
Сделайте новый лог HijackThis
Что касается папки, похоже, что ее восстанавливает система, а вот почему - я постараюсь выяснить.
[QUOTE=kps;265235]Что касается папки, похоже, что ее восстанавливает система, а вот почему - я постараюсь выяснить.[/QUOTE]
Если не ошибаюсь, то тогда [b]webmin[/b] - это служба, которую надо сначала удалить.
[code]sc delete webmin[/code]
в командной строке должно быть достаточно в принципе. Если после удаления папка осталась, то тогда можно будет её удалить.
Paul
Пофиксил
Если в internet explorer вроде все в порядке, то в firefox по прежнему перенаправляет на другие страницы
[QUOTE=ashler;265246]Пофиксил
Если в internet explorer вроде все в порядке, то в firefox по прежнему перенаправляет на другие страницы[/QUOTE]
Какие add-ons и plugins у вас установленны в Firefox'e?
Paul
[QUOTE=p2u;265236]Если не ошибаюсь, то тогда [b]webmin[/b] - это служба, которую надо сначала удалить.
[code]sc delete webmin[/code]
в командной строке должно быть достаточно в принципе. Если после удаления папка осталась, то тогда можно будет её удалить.
[/QUOTE]
В логах AVZ такой службы не видно. По поводу папки - возможно, что дело в атрибутах...
[B]ashler[/B]
Попробуйте такой скрипт в AVZ:
[code]begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteFile('attrib', '-R -H -S "'+'C:\WINDOWS\SYSTEM32\webmin"', 0, 3000, true);
DeleteFileMask('C:\WINDOWS\SYSTEM32\webmin', '*.*', true);
DeleteDirectory('C:\WINDOWS\SYSTEM32\webmin');
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/code]
После перезагрузки посмотрите, осталась ли эта папка webmin и если осталась, то попробуйте снова удалить. О результатах сообщите.
[quote=p2u;265263]Какие add-ons и plugins у вас установленны в Firefox'e?
Paul[/quote]
fireshot. gmail notifer,ietab, image show hide, text marker, translate bar, яндекс бар
[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]
Скрипт выполнил, после перезагрузки папка осталась, попробовал удалить программой IceSword122en, папка сначала удалилась после перезагрузки появилась снова.
[QUOTE=ashler;265294]
папка сначала удалилась после перезагрузки появилась снова.[/QUOTE]Это не хорошо>:(. Сделайте пожалуйста новые логи. Предварительно запустите msconfig, поубирайте все с автозапуска и остановите все не-виндовс службы.
VIDEO.bkp, VIDEO.sys, video.sys_ - Rootkit.Win32.Agent.cbs,
vmmreg32.bkp, vmmreg32.dll - Trojan-PSW.Win32.Agent.kkq
Это ужасно :(
Новые логи
Ваши логи можно на выставку ставить - ну ровным счетом ничего плохого.:)
Скачайте отсюда:[url]http://www.gmer.net/gmer.zip[/url] отключите АдАваре и Антивирус, запустите поиск руткитов, сохраните лог и подвесьте его к следующему сообщению
Ваши логи можно на выставку вирусов ставить - ну ровным счетом ничего хорошего.:) Может так?:? :)
логи
Ну Вы еще пессимистичнее настроены, чем я :D Ничего подозрительного и в логе гмера.
Давйте еще один скрипт
[CODE]begin
executerepair(6);
executerepair(9);
executerepair(11);
executerepair(17);
rebootwindows(true);
end.
[/CODE]
Потом понаблюдаете пару дней.
Если что-то подозрительное заметите - логи в этот топик.
Подумайте в выходные насчет установки Сервис Пака 3- давно пора было бы ...:>
Спасибки, посмотрим, но в браузере firefox продолжает пересылать на другие страницы
Пункт 2 правил (полная проверка свежим CureIt!) выполнялся? Если нет - выполните.
[QUOTE=ashler;265343] в браузере firefox продолжает пересылать на другие страницы[/QUOTE]А Вы кэш файрфокса чистили хоть раз? ;)
[quote=kps;265353]Пункт 2 правил (полная проверка свежим CureIt!) выполнялся? Если нет - выполните.[/quote]
Выполнял
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
[quote=Rene-gad;265369]А Вы кэш файрфокса чистили хоть раз? ;)[/quote]
Каждый день, после того как посижу в интернете всегда очищаю, даже иногда по несколько раз, не вирус а полтергейст какой-то.
[QUOTE=ashler;265399]Каждый день, после того как посижу в интернете всегда очищаю.[/QUOTE] А кукисы?
AVPTool делали полную проверку? Ссылка в подписи у [B]Rene-gad[/B].
[quote=Rene-gad;265403]А кукисы?[/quote]
Я ССleaner чищу и кукисы тоже
[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]
[quote=kps;265408]AVPTool делали полную проверку?[/quote]
Нет,но завтра обязательно сделаю, правда чего-то уже не верится в успешный исход, сейчас к сожалению ухожу.
@ [b]ashler[/b]:
Вякие тулбары (Yandex, Google, и пр.) я удалил бы из Firefox'a. Если вы этого не хотите, то по крайне мере проверяйте их настройки. Часто в них (в Yahoo, к примеру) стоят параметры о том, что они при поиске будут выводить 'Favorites' из собственных баз.
Но вы ответили только на вопрос про add-ons. А с plug-ins как у вас? Наберите [b]about:plugins[/b] в адресную строку. Там полный список будет + все компоненты этих plug-ins и точное их местонахождение.
Paul
[quote=p2u;265422]@ [B]ashler[/B]:
Вякие тулбары (Yandex, Google, и пр.) я удалил бы из Firefox'a. Если вы этого не хотите, то по крайне мере проверяйте их настройки. Часто в них (в Yahoo, к примеру) стоят параметры о том, что они при поиске будут выводить 'Favorites' из собственных баз.
Но вы ответили только на вопрос про add-ons. А с plug-ins как у вас? Наберите [B]about:plugins[/B] в адресную строку. Там полный список будет + все компоненты этих plug-ins и точное их местонахождение.
Paul[/quote]
IE Tab Plug-in, Mozilla Default Plug-in, Adobe Acrobat, LizardTech DjVu, Mozilla ActiveX control and plugin support, Shockwave Flash, Java(TM) Platform SE 6 U3, Microsoft® DRM, Windows Media Player Plug-in Dynamic Link Library.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\video.sys - [B]Rootkit.Win32.Agent.cbs[/B] (DrWEB: Trojan.NtRootKit.1388)[*] c:\\windows\\system32\\vmmreg32.dll - [B]Trojan-PSW.Win32.Agent.kkq[/B] (DrWEB: Trojan.Siggen.172)[*] c:\\windows\\system32\\webmin\\video.bkp - [B]Rootkit.Win32.Agent.cbs[/B] (DrWEB: Trojan.NtRootKit.1388)[*] c:\\windows\\system32\\webmin\\vmmreg32.bkp - [B]Trojan-PSW.Win32.Agent.kkq[/B] (DrWEB: Trojan.Siggen.172)[*] \\video.sys - [B]Rootkit.Win32.Agent.cbs[/B] (DrWEB: Trojan.NtRootKit.1388)[/LIST][/LIST]