и у меня winhep32.exe + video.sys

Printable View

25.08.2008, 18:53
kalachinsk.info

Вложений: 3

и у меня winhep32.exe + video.sys

Вот вижу как и у многих подцепил [URL="http://virusinfo.info/showthread.php?t=28898"]winhep32.exe, vmmreg.dll, video.sys[/URL]
Избавиться никак, Dr.Web и Spyware Doctor v.6 не помогли. Скачал все проги как написано в правилах у Вас на форуме, AVZ запустить не смог (пишет: недостаточно квоты), переименовал в kal.com - не помогает. В безопасном режиме запустил и выполнил скрипты (virusinfo_syscure.zip и virusinfo_syscheck.zip). Файл hijackthis.log сформирован не в безопасном режиме. Вот высылаю и надеюсь на помощь!
25.08.2008, 19:44
V_Bond

Spyware Doctor - деинсталируйте ...
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]найдите и удалите следующие файлы - force delete
[code]
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\system32\slave.sys
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
C:\WINDOWS\SYSTEM32\winhelp32.exe
[/code]
выполните скрипт ...
[code]
begin
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
DeleteService('slave');
QuarantineFile('C:\WINDOWS\system32\slave.sys','');
DeleteService('VIDEO');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('c:\windows\system32\userinit.exe','');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\system32\slave.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
25.08.2008, 21:03
kalachinsk.info

скрипт прогнал, после перезагрузки выскочили окна о не возможности открыть файлы (которые удалили), в трее (гд часики) так же пусто!
Карантин выслал.
25.08.2008, 21:07
V_Bond

c:\windows\system32\userinit.exe - нужно заменить на чистый с другой чистой системы или дистрибутива ....
затем новые логи ....
25.08.2008, 21:53
kalachinsk.info

Вложений: 3

c:\windows\system32\userinit.exe - заменил с дистрибутива ....
вот новые логи ....
25.08.2008, 21:58
Гриша

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteService('VIDEO');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.[/CODE]

Повторите логи...
26.08.2008, 04:55
kalachinsk.info

Вложений: 3

в трее (гд часики) так же пусто!
26.08.2008, 09:19
V_Bond

пофиксите ...
[code]
O2 - BHO: myiebho - {7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD} - %SystemRoot%\system32\vmmreg32.dll (file missing)
O4 - HKLM\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\RunServices: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\RunServicesOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKCU\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKLM\..\Policies\Explorer\Run: [1] C:\WINDOWS\SYSTEM32\winhelp32.exe
O4 - HKUS\S-1-5-20\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [Windows Help Service] C:\WINDOWS\SYSTEM32\winhelp32.exe (User 'Default user')
O4 - S-1-5-20 Startup: VIDEO.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 Startup: vmmreg32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 Startup: winhelp32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 User Startup: VIDEO.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 User Startup: vmmreg32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-20 User Startup: winhelp32.bkp (User 'NETWORK SERVICE')
O4 - S-1-5-18 User Startup: VIDEO.bkp (User 'SYSTEM')
O4 - S-1-5-18 User Startup: vmmreg32.bkp (User 'SYSTEM')
O4 - S-1-5-18 User Startup: winhelp32.bkp (User 'SYSTEM')
O4 - .DEFAULT User Startup: VIDEO.bkp (User 'Default user')
O4 - .DEFAULT User Startup: vmmreg32.bkp (User 'Default user')
O4 - .DEFAULT User Startup: winhelp32.bkp (User 'Default user')
O4 - Startup: VIDEO.bkp
O4 - Startup: vmmreg32.bkp
O4 - Startup: winhelp32.bkp
O4 - User Startup: VIDEO.bkp
O4 - User Startup: vmmreg32.bkp
O4 - User Startup: winhelp32.bkp
O4 - Global Startup: VIDEO.bkp
O4 - Global Startup: vmmreg32.bkp
O4 - Global Startup: winhelp32.bkp
O4 - Global User Startup: VIDEO.bkp
O4 - Global User Startup: vmmreg32.bkp
O4 - Global User Startup: winhelp32.bkp
O18 - Filter hijack: text/html - {53B95211-7D77-11D2-9F80-00104B107C96} - (no file)
O20 - AppInit_DLLs: vmmreg32.dll
[/code]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\SRQNNUUT.sys','');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteService('VIDEO');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\system32\drivers\SRQNNUUT.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
26.08.2008, 16:50
kalachinsk.info

Вложений: 3

пофиксил, скрипь прогнал, карантин выслал, логи тоже
26.08.2008, 17:55
V_Bond

в icesword удалите C:\WINDOWS\system32\drivers\splitter.sys
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\splitter.sys','');
DeleteService('SRQNNUUT');
DeleteService('VIDEO');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\system32\drivers\SRQNNUUT.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ...
26.08.2008, 19:38
kalachinsk.info

Вложений: 3

удалил, выполнил но в трее (где часики) так же пусто!
27.08.2008, 04:05
kalachinsk.info

и что дальше?
27.08.2008, 09:28
V_Bond

в icesword удалите
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\system32\drivers\SRQNNUUT.sys
выполните скрипт ..
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\splitter.sys','');
BC_DeleteSvc('SRQNNUUT');
BC_DeleteSvc('VIDEO');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\system32\drivers\SRQNNUUT.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
насчет "часиков" - у вас ничего нет в автозагрузке откуда что-то возьмется в трее ?
повторите логи ...
28.08.2008, 19:30
kalachinsk.info

Вложений: 1

вот один лог, АВЗ не могу запустить ни в к аком режиме и как толкьо не переименовывал. Пишет "недостаточно квоты". Что делать!
28.08.2008, 21:55
Rene-gad

[QUOTE=kalachinsk.info;275958]вот один лог, АВЗ не могу запустить ни в к аком режиме и как толкьо не переименовывал. Пишет "недостаточно квоты". Что делать![/QUOTE]
Скачайте полиморфную версию: [url]http://rapidshare.com/files/116949749/pingpong.pif.html[/url] , базы обновлять не надо.
На будущее: лог Хайджека выполняется [B]последним[/B]. Без логов АВЗ его ни делать ни прикреплять не надо.
29.08.2008, 17:19
kalachinsk.info

Вложений: 3

вот логи
29.08.2008, 17:34
Rene-gad

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(9);
executerepair(1);
end.
[/CODE]

После скрипта должен запуститься нормальный АВЗ, дальше работайте с ним.

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]C:\WINDOWS\system32\WinCtrl32.dll
C:\WINDOWS\system32\WinCtrl32.bak
C:\WINDOWS\system32\WinCtrl32.dl_
C:\WINDOWS\System32\drivers\Windi27.sys
C:\WINDOWS\System32\drivers\Winmr40.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\drivers\Winmr40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Windi27.sys','');
QuarantineFile('C:\WINDOWS\system32\WinCtrl32.dll','');
QuarantineFile('C:\WINDOWS\system32\cryptlnk.dll','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winwc40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winrx38.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winqw40.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winns51.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winmr84.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winmr27.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winjo51.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\Winbh27.sys','');
DeleteService('Winwc40');
DeleteService('Winrx38');
DeleteService('Winqw40');
DeleteService('Winns51');
DeleteService('Winmr84');
DeleteService('Winmr27');
DeleteService('Winjo51');
DeleteService('Winbh27');
DeleteService('Winmr40');
DeleteService('Bonjour Service');
DeleteFile('C:\WINDOWS\system32\WinCtrl32.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Windi27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winmr40.sys');
DeleteFile('C:\Program Files\Bonjour\mDNSResponder.exe');
DeleteFile('C:\WINDOWS\system32\cryptlnk.dll');
DeleteFile('C:\WINDOWS\System32\drivers\Winbh27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winjo51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winmr27.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winmr84.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winns51.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winqw40.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winrx38.sys');
DeleteFile('C:\WINDOWS\System32\drivers\Winwc40.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Winwc40');
BC_DeleteSvc('Winrx38');
BC_DeleteSvc('Winqw40');
BC_DeleteSvc('Winns51');
BC_DeleteSvc('Winmr84');
BC_DeleteSvc('Winmr27');
BC_DeleteSvc('Winjo51');
BC_DeleteSvc('Winbh27');
BC_DeleteSvc('Winmr40');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
29.08.2008, 20:22
kalachinsk.info

Вложений: 3

извените Вы писали "Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]"

а я сразу их удалил с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
и в карантине пусто. ничего страшного? что дальше делать?
29.08.2008, 20:27
Rene-gad

[QUOTE=kalachinsk.info;276679]ничего страшного? [/QUOTE]Страшного ничего, просто хотелось бы на них посмотреть. Судьба предоставила Вам возможность реабилитироваться ;)

[URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]
C:\WINDOWS\System32\drivers\Windi27.sys
[/CODE]
Скопированные с помощью IceSword файлы сохраните в карантине (Приложение 2 правил).
Потом удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('Windi27');
QuarantineFile('C:\WINDOWS\System32\drivers\Windi27.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\Windi27.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Windi27');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
29.08.2008, 21:08
kalachinsk.info

Вложений: 3

реабилитироваться не судьба: файла C:\WINDOWS\System32\drivers\Windi27.sys не нашлось. Скрипт прогнал, логи вот.
Можно вопрос, Вы скажите когда будет конец, когда комп мой будет исцелен на 100% ????
29.08.2008, 21:55
V_Bond

пофиксите
[code]
O18 - Filter hijack: text/html - (no CLSID) - (no file)
O20 - Winlogon Notify: cryptlnk - cryptlnk.dll (file missing)
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('cryptlnk.dll','');
DeleteFile('WinCtrl32.dll');
DeleteFile('cryptlnk.dll');
ExecuteSysClean;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ....
29.08.2008, 21:58
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O18 - Filter hijack: text/html - (no CLSID) - (no file)
O20 - Winlogon Notify: WinCtrl32 - WinCtrl32.dll (file missing)
[/CODE]
Поставьте Сервис Пак 3. может потребоваться активация системы.
Больше ничего плохого не видно
[QUOTE]Можно вопрос, Вы скажите когда будет конец, когда комп мой будет исцелен на 100% ????[/QUOTE]
На 100% - после переустановки системы в чистый раздел с установкой в оффлайне всех необходимых сервис паков. Если Вам кто-то будет говорить другое - плюньте ему в глаза.
30.08.2008, 07:30
kalachinsk.info

Вложений: 3

Сервис пак 3 поищу.
А можно 2 вопроса: как профессионалы посоветуйте хороший антивирь, чтоб такая зараза не лезла?
Мне по работе нужно заходить ежедневно на сайт [URL="http://www.kalachinsk.info"][B]www.kalachinsk.info[/B][/URL] , но он по ходу зараже и является причиной моего заражения И растпространения вирусов. Можете ли Вы сделать анализ сайта и сказать источники заражения?
[B]С уважением Александр.[/B]
[B]Логи предоставляю, огромное спасибо.[/B]
30.08.2008, 13:10
V_Bond

пофиксите ...
[code]
O18 - Filter hijack: text/html - (no CLSID) - (no file)
[/code]
у вас хороший антивирус ... насчет сайта- пишите админу, если он не в состоянии навести там порядок , просто не ходите туда ...
30.08.2008, 14:57
Rene-gad

[QUOTE=kalachinsk.info;276859]Сервис пак 3 поищу.[/QUOTE]Почитайте внимательно мою подпись. Время поиска сократится раз в 10 8)
22.02.2009, 07:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\drivers\\video.sys - [B]Rootkit.Win32.Agent.cbs[/B] (DrWEB: Trojan.NtRootKit.1388)[*] c:\\windows\\system32\\userinit.exe - [B]Trojan.Win32.Pakes.jwi[/B] (DrWEB: Trojan.PWS.Lich)[*] c:\\windows\\system32\\vmmreg32.dll - [B]Trojan-PSW.Win32.Agent.kkq[/B] (DrWEB: Trojan.Siggen.172)[*] c:\\windows\\system32\\webmin\\winhelp32.exe - [B]Trojan-PSW.Win32.Agent.klo[/B] (DrWEB: Trojan.MulDrop.18333)[*] c:\\windows\\system32\\winhelp32.exe - [B]Trojan-PSW.Win32.Agent.klo[/B] (DrWEB: Trojan.MulDrop.18333)[/LIST][/LIST]