Printable View
Первый раз попал под более менее серьезный вирус (который мне мешает ) Промучался 3 часа прочитав все правила, установив все программы и сделав логи. Надеюсь сделал все правильно. Пожалуиста помогите, на компьютере где вирус даже интернет експлорер глючит, приходится с другого комьютера писать эту тему. Очень надеюсь на помощь. Спасибо!
пофиксите ...
[code]
F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\WINDOWS\system32\oembios.exe,
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\WINDOWS\temp\SetTheme.exe','');
QuarantineFile('D:\WINDOWS\temp\C.exe','');
QuarantineFile('D:\WINDOWS\system32\oembios.exe','');
QuarantineFile('D:\WINDOWS\system32\lphc988j0ev0a.exe','');
QuarantineFile('D:\WINDOWS\system32\drivers\svchost.exe','');
DeleteService('1qgqnvnuqnq.sys');
QuarantineFile('D:\WINDOWS\system32\drivers\1qgqnvnuqnq.sys','');
QuarantineFile('d:\windows\system32\drivers\svchost.exe','');
DeleteFile('d:\windows\system32\drivers\svchost.exe');
DeleteFile('D:\WINDOWS\system32\drivers\1qgqnvnuqnq.sys');
DeleteFile('D:\WINDOWS\system32\blphc988j0ev0a.scr');
DeleteFile('D:\WINDOWS\system32\drivers\svchost.exe');
DeleteFile('D:\WINDOWS\system32\lphc988j0ev0a.exe');
DeleteFile('D:\WINDOWS\system32\oembios.exe');
DeleteFile('D:\WINDOWS\temp\C.exe');
DeleteFile('C:\autorun.inf');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(5);
ExecuteRepair(6);
ExecuteRepair(8);
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил ...
повторите логи ...
Я не знаю, то ли это изза сайта, то ли изза вируса (который я вроде бы вылечил). Но часто при переходе между страницами virusinfo.info возникают 2 ошибки:
Ошибка компрессии (что-то в типе содержимого)
Подключение к серверу сброшено
Изза них я не могу отправить карантин, но сейчас попробую выложить логи, сделанные после действий сказанных вами.
Попробовал и логи выложить- не получается. вот ошибка:
Соединение было сброшено
Во время загрузки страницы соединение с сервером было сброшено.
* Возможно, сайт временно недоступен или перегружен запросами. Подождите некоторое время и попробуйте снова.
* Если вы не можете загрузить ни одну страницу – проверьте настройки соединения с Интернетом.
* Если ваш компьютер или сеть защищены межсетевым экраном или прокси-сервером – убедитесь, что Firefox разрешён выход в Интернет.
Попробую еще сделать это завтра с другого компьютера, надеюсь что эта ошибка возникает не изза вируса.
Если логи не получится вложить, тогда можно их поместить в один архив и загрузить на файлообменник, например ifolder.ru. Нам тут ссылку дайте.
Видимо все таки чтото с компьютером, на котором был вирус. Не только этот сайт глючит, но и айфолдер сбрасывает подключение, сейчас с другого компьютера выкладываю логи, и карантин (не совсем понял что это, но через программу AVZ выделил галочками несколько вирусов).
Еще кстати вопрос, включать ли мне теперь восстановление системы на дисках? Логи выложил, карантин отправил.
надеюсь вы ничего китайского не устанавливали ?
тогда пофиксите ...
[code]
O4 - HKUS\S-1-5-19\..\RunOnce: [wmp] D:\WINDOWS\temp\wmp\XPLODE.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [9] D:\WINDOWS\temp\C.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [wmp] D:\WINDOWS\temp\wmp\XPLODE.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\RunOnce: [wmp] D:\WINDOWS\temp\wmp\XPLODE.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [wmp] D:\WINDOWS\temp\wmp\XPLODE.EXE (User 'Default user')
O9 - Extra button: ·¬ЗС»ЁФ° - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://www.tomatolei.com (file missing)
O9 - Extra 'Tools' menuitem: ·¬ЗС»ЁФ° - {6096E38F-5AC1-4391-8EC4-75DFA92FB32F} - http://www.tomatolei.com (file missing)
[/code]
выполните скрипт ...
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\temp\SetTheme.exe');
DeleteFile('D:\WINDOWS\temp\wmp\XPLODE.EXE');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи ....
Эмм.. У меня вообще стоит китайская xp, которая мне нужна для работы. Я с ноутбука сносил висту и ее ставил. Следует ли мне выполнять вышенаписанные действия?
тогда не стоит .... просто удивило наличие китайской утилиты ....
[URL="http://www.majorgeeks.com/downloadget.php?id=5199&file=15&evp=0d36c3ec48c6373fd5daac78f0c6a417"]скачайте [/URL]сделайте лог кернел моде ....
И что делать в итоге? Скрипт выполнять? Интернет до сих пор глючит, соединение сбрасывается, ошибки, только с другого компьютера могу чтото выкладывать.
скрипт не выполнять ... делать лог ...
Вот логи.
ой только что увидел ваше редактированное сообщение. Нужно чтото скачать... придется вечером разбираться, так как надо убегать.
[size="1"][color="#666686"][B][I]Добавлено через 6 часов 25 минут[/I][/B][/color][/size]
При попытке запустить вышенаписанную вами программу пишет: Unicode systems are not supported.
[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]
что же мне делать тогда...? помогите плз
[url]http://www.gmer.net/index.php[/url] скачайте и сделайте лог ...
[SIZE=2]Блин... Чувствую проблема совсем серьезная, для начала:
Не смог скачать программу, то подключение сброшено, то просто ссылка вроде как нерабочая.
Скачал ее с другого компа без проблем по той же ссылке.
Перенес на зараженный компьютер.
При запуске gmer.exe пишет:
Warning !!!
Loaded GMER's driver version is incompatible with the currently running GMER application. You need to stop the driver with the command ''net stop gmer'' or restart your computer.
Затем программма запускается и возникает еще ошибка:
D:WINDOWS\system32\config\sistem:"и иероглифы, не все я знаю к сожалению".
После нажатия окей, нажимаю в программе scan, вылезает опять та же ошибка, причем после нажатия окей она так выскакивает еще 2 раза, а потом другая ошибка:
D:\Documents and Settings\Administrator\ntuser.dat:"и опять те же иероглифы".
Затем появляется надпись:
GMER hasn't found any system modification.
[/SIZE]
страшного ничего не написано ... просто GMER написал что не обнаружено никаких изменений системы ...
откуда у вас эта сборка windows ?
Сборку купил в китае, точнее купил 6 штук разных дисков, из них только этот заработал нормально. Так как 2 диска вообще не запустились, у других был вообще какойто не нормальный дистрибутив, а мне нужно было с помощью программы nlite вшивать в него дрова для SATA. Этот отлично установился и проблем пока не было.
покупался сразу с сп3 ?
Да
[size="1"][color="#666686"][B][I]Добавлено через 1 час 0 минут[/I][/B][/color][/size]
так что же мне делать? Глючат программы и интернет. Раньше такого не было.
пуск - выполнить sfc /scannow
что в вашем понимании "глючат" ? если есть ошибки коды давайте ...
Глючат это ошибка компрессии и соединение сброшено. Ваш сайт глючит при логине и при попытке выложить какой нибудь файл, так же глючат и другие сайты при попытке закачки чего либо. Я не знаю что это за команда sfc /scannow
Сделал как вы просили, комп запросил диск установочный, вставил пошел какойто процесс.
[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]
Так... Процесс дошел до конца и пропал. Все.
попробуйте другой браузер ....
Так у меня еще и фаерфокс тоже самое выдает. Сейчас попробую анинсталить его и еще раз установить. А что, в последних логах никаких проблем не обнаружилось?
[size="1"][color="#666686"][B][I]Добавлено через 38 секунд[/I][/B][/color][/size]
А кстати, мне включать восстановление системы на дисках или нет?
[size="1"][color="#666686"][B][I]Добавлено через 28 минут[/I][/B][/color][/size]
Так включать мне восстановление системы на дисках или нет?
Помимо ошибок которые я вам сказал (интернет), у меня еще и не скачиваются вообще никакие файлы. Скачивается файлик который весит килобайт 50 примерно, иногда 70. Можно считать что на компьютере нету интернета вообще, могу только страницы просматривать. И то- не все.
[QUOTE=1nfest;275179]Так включать мне восстановление системы на дисках или нет?[/QUOTE]
Не торопитесь. Ещё не всё доломали ;)
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SetAVZPMStatus(true);
RebootWindows(false);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи по правилам.
HKEY_CLASSES_ROOT\PROTOCOLS\Name-Space Handler - экспортируйте и приложите ...
Сейчас буду делать логи.
Internet Explorer вообще не запускается. Точнее запускается и комп виснет. Делать логи без него?
Еще я не понял что это такое:
HKEY_CLASSES_ROOT\PROTOCOLS\Name-Space Handler - экспортируйте и приложите ...
[QUOTE=1nfest;275800]
Еще я не понял что это такое:
HKEY_CLASSES_ROOT\PROTOCOLS\Name-Space Handler - экспортируйте и приложите ...[/QUOTE]Запустите редактор реестра (Пуск/Выполнить... regedit + ВВОД), пройтите в эту ветку реестра, Файл/Экспорт.. Сохраните на диске, запакуйте в архив, прикрепите к сообщению.
Если IE не запускается, делайте логи без него.
Вообщем вот что я сделал. Я еще раз проверился с Dr.web Cure (вроде так он называется). Он нашел 16 вирусов еще. Все почистил, после этого перестал запускаться internet explorer. Я включил системное восстановление, перезагрузил комп. Снова проверил диски через эту программу. Вирусов не нашлось, но internet explorer/firefox стали работать отлично. Сделал я все логи, даже первый раз выкладываю их с ''зараженного'', а может уже и нет, компьютера. Проверьте их, все ли впорядке? (помоему уже все наладилось). Спасибо.
Отключите восстановление системы, как написано в правилах.
Скопируйте в IceSword (ссылка и как копировать написано здесь: [url]http://virusinfo.info/showthread.php?t=17109[/url]) файл 'D:\WINDOWS\system32\drivers\tdssserv.sys'
Потом [url=http://virusinfo.info/showthread.php?t=7239]выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\temp\SetTheme.exe','');
QuarantineFile('D:\WINDOWS\temp\wmp\XPLODE.EXE','');
QuarantineFile('%system32%\drivers\tdssserv.sys','');
DeleteFile('%system32%\drivers\tdssserv.sys');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Пришлите скопированный Вами в IceSword файл в архиве с парлем virus а также карантин согласно приложению №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url] (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=28910[/url] ).
AVZ => File => Troubleshooting wizard - надо исправить проблему >> Internet Explorer - automatic queries of ActiveX operating elements are allowed
Очистите временные папки и кеш браузера.
Сделайте новые логи.
Вот этот сайт Вам знаком:
tomatolei.com ?
Сайт не знаком, но мой установочный диск xp китайский, и на нем этот сайт написан.
Сорри, я думал, Вы карантин прикрепили :) Вот этот файл.
Не понял за что сорри). Но это не карантин, это то что вы просили выше. Я только не понял какой скрипт делать, ваш или rene-gad'a? В Iceword я файл уже скопировал.
Сделайте мой, включая остальные инструкции из сообщения.
А скопированный в IceSword файлик ждем здесь: [url]http://virusinfo.info/upload_virus.php?tid=28910[/url] :)
Мучался мучался, так и не смог пароль на него сделать, у меня все на китайском, не могу в программе пароль найти. Надеюсь без него можно обойтись.
[size="1"][color="#666686"][B][I]Добавлено через 36 секунд[/I][/B][/color][/size]
Выложил его.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\windows\\system32\\drivers\\svchost.exe - [B]Trojan-Downloader.Win32.Small.aces[/B] (DrWEB: Trojan.DownLoader.59802)[*] d:\\windows\\system32\\lphc988j0ev0a.exe - [B]Backdoor.Win32.Agent.qcd[/B] (DrWEB: Trojan.Packed.619)[/LIST][/LIST]