Invader + Virtumod + Antivirus 2009

В конце рабочего дня….получил уведомление о наличие нового Java-апплета и, не обращая внимание на некоторую странность – обычно «розовая чашечка», дал подтверждение на обновление. И вот тут «на дыбы встал» Каспер! Но…….ох, уж этот человеческий фактор…….Каспер получил команду … «разрешить».
Итог следующего дня: тормозит комп, трафик увеличился на порядок, установился antivirus 2009, исчезли некоторые пиктограммы, при «одинарном» щелчке на ярлыке программы на рабочем столе он меняется на «прямоугольничек с синими точками», а сама программа не запускается. При отключении от интернета (ADSL-соединение) комп так же притормаживает, но чуть «меньше».

Просмотрел Ваш форум. Прочитал правила и рекомендации и, как мог за двое суток, выполнил их.

С трудом обновив базы, проверил «с маскимальными настройками» систему Каспером. Это заняло 5 часов! Каспер «ругался» на модифицированный ПО Invader. Но, «как бы», почистил.
Потом в защищённом режиме с CD проверил Dr.Web CureIt в режиме «полная проверка». Доктор нашёл 21 вирус в system32 - Trojan.Virtumod. 449.. А вот в обычном режиме Доктор не грузится, выскакивает сообщение ИЕ про ошибку.
Ощутимых изменений в работе компа – нет!. Повторил чистку Каспером и Доктором. Результат "чистки" практически такой же. Каспер молчит, а Доктор удаляет из system32 вирусы,. А, ни производительность системы не изменилась, ни трафик не уменьшился. Зато антивир 2009 стал чаще выскакивать. - и "пугать".
Вот обновляю базу АВЗ. (с такой скоростью - это не быстро)

Не хочу прислушиваться к «умникам из ближайшего сервиса», что нужно «полный формат и переустановка системы». (хотя новый винт приобрёл, на «старом» - много ценного).
После всего прочитанного на этом форуме появилась надежда на восстановление! (Увы, логи только завтра смогу выложить).

Нужны логи...

С такой скоростью трафика не раньше 19.09 (пятница) до 12 мск.

Вот логи!

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Antivirus 2009\av2009.exe','');
QuarantineFile('C:\PROGRA~1\AVPCLO~1\avpclock.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\NVNVRRZJ.sys','');
QuarantineFile('C:\WINDOWS\system32\qfgyrb.dll','');
QuarantineFile('C:\WINDOWS\system32\hgGxyWmn.dll','');
DeleteService('NVNVRRZJ');
DelBHO('{ce050d3d-d93f-457b-8a20-ea47653bbb94}');
DelBHO('{7E853D72-626A-48EC-A868-BA8D5E23E045}');
DelBHO('{53707962-6F74-2D53-2644-206D7942484F}');
DelBHO('{2BFA9E9A-2835-4D96-9DFB-D60E8229F807}');
DeleteFile('C:\WINDOWS\system32\hgGxyWmn.dll');
DeleteFile('C:\WINDOWS\system32\qfgyrb.dll');
DeleteFile('C:\WINDOWS\system32\drivers\NVNVRRZJ.sys');
DeleteFile('C:\PROGRA~1\AVPCLO~1\avpclock.exe');
DeleteFile('C:\Program Files\Antivirus 2009\av2009.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('NVNVRRZJ');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.

Новые логи и карантин!
Исчезли в трее некоторые значки.

Выполните проверку системы CureIt в безопасном режиме. Потом повторите логи.

Увы, CureIt теперь и в безопасном режиме НЕ ЗАПУСКАЕТСЯ!:(

Ни "свежий", ни "вчерашний" не работают.
Ни с винта, ни с CD. Перепробовал по разному.

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\hgGxyWmn.dll','');
QuarantineFile('C:\WINDOWS\system32\dtopxw.dll','');
QuarantineFile('C:\WINDOWS\system32\bhrrgtpd.dll','');
QuarantineFile('C:\WINDOWS\system32\qcmumcjc.dll','');
DelBHO('{50723719-6582-43BC-A4C6-7620BC318BE1}');
DelBHO('{cf640635-980c-4d4c-a8f1-16a46fd476b0}');
DeleteFile('C:\WINDOWS\system32\qcmumcjc.dll');
DeleteFile('C:\WINDOWS\system32\bhrrgtpd.dll');
DeleteFile('C:\WINDOWS\system32\dtopxw.dll');
DeleteFile('C:\WINDOWS\system32\hgGxyWmn.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.

Логи и карантин.

Да, при входе в систему "пользователем с органиченными правами" выдается сообщение:
RunDLL :
- "Ошибка при загрузке C\windows\system32\qcmumcjc.dll - отказано в доступе"
- "Ошибка при загрузке C\windows\system32\bhrrtpd.dll - отказано в доступе"

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\Rasdd6hepksn.sys','');
QuarantineFile('Rasdd6hepksn.sys','');
DeleteService('Rasdd6hepksn');
QuarantineFile('dtopxw.dll','');
DeleteFile('dtopxw.dll');
DeleteFile('C:\WINDOWS\system32\DRIVERS\Rasdd6hepksn.sys');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Rasdd6hepksn');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
- Прикрепите логи к новому сообщению.

После предыдущего действия - Ваш пост №8 в этой ветке- трафик визуально очень заметно уменьшился. Правда, время перезагрузки системы - увеличилось.
На "свой страх и риск" попробовал запустить CureIt в защищённом режиме. Заработал! Результат работы Доктора и новые логи с карантином - завтра утром до 10 мск.

CureIt проверил в защищённом режиме. Нашёл и вылечил 5 вирусов.
4 в фалах карантина Trojan.DNS.Change.988 и Trojan.Virtumod.588
и 1 в system32 - Trojan.DNS.Change.988

Выполнил скрипт и логи, отправил какрантин

Чисто,жалобы есть?

Работает!
Трафик - в "норме".
Правда время запуска системы увеличилось. И значки в трее не восстановились.:D

[QUOTE=InDaHouse;286149]
Правда время запуска системы увеличилось. И значки в трее не восстановились.:D[/QUOTE]
Какие значки? Или вообще никаих нет?

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]
begin
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RebootWindows(true);
end.
[/CODE]
После перезагрузки проинформируйте о состоянии ПК.

О! Кроме Каспера ,"щита" и сети появились значки Nvideo и камера. Ни SaundMax, ни регулятор громкости не "вернулись".

[QUOTE=InDaHouse;286158]Ни SaundMax, ни регулятор громкости не "вернулись".[/QUOTE]Выполните это: [url]http://virusinfo.info/showthread.php?t=20712[/url]
Потом проверьте активирование значков в панели SoundMax и регулятора громкости.

При перезагрузке через таск-менеджр, значки появились. А при полной перезагрузке их опять нет (только сеть, "щит",Каспер, Nvideo и камера). Параметры "показывать" выставлены.
И "задумчивый-задумчивый" комп при загрузке какой-то.

[QUOTE=InDaHouse;286169]При перезагрузке через таск-менеджр, значки появились. А при полной перезагрузке их опять нет (только сеть, "щит",Каспер, Nvideo и камера). [/QUOTE]А подавление неактивных значков в трее у Вас включено (Пуск-Меню/Свойства)? Скриншот с трея сделайте и лог Хайджека в нормальном режиме - в студию.

Подавление отключено.

[QUOTE=InDaHouse;286179]Подавление отключено.[/QUOTE]АВЗ, Файл/Мастер поиска и устранения проблем/системные проблемы всех видов понаходить и поустранять.
Лог Хайджека - халтура. Где Вы эту допотопную версию откопали?
Поотключайте через msconfig все завтозапуски кроме Каспера (его кстати можно до 2009-й обновить, ключ от 7-ки походит), перегрузитесь.

:(
Та же история.
Вместо Nvideo, появился SondMax

Дубль 2

[B]Лог Хайджека - халтура. Где Вы эту допотопную версию откопали? [/B]

Понял, о чём Вы!

[QUOTE=InDaHouse;286191]Вместо Nvideo, появился SondMax[/QUOTE]честно - не знаю, что Вам и посоветовать еще. У Вас ИМО просто много ненужных (с моей аскетической точки зрения) всяких вещей настроено. Напр. Логитех может и без этого дурацкого Медиа-Драйвера работать. Ваще ни мышь ни клава в дополнитальных дровах на нуждаются.
Обновите Каспера да 2009, просканьте систему.

Не "дожали" Мы аспида!

:(

В работе системы что-то подозрительно "мучало".

Из под "админа", кроме "реогранизации" винта, посетил четыре сайта ( браузер - Mozzilla), гуглю, вэбмани, Ваш, ...... И решил провериться в защищенном режиме CureIt (обновлённом сегодня).

Он выловил 2 - вируса - ....Virtumod.450. (в тэмп интеренета)

????????????????

"Раньше" (до лечения) при загрузке окна "выбора пользователя" - Каспер "висел" в правом верхнем углу! Теперь его нет там,в трее он появляется "последним".

[QUOTE=InDaHouse;287396]
"Раньше" (до лечения) при загрузке окна "выбора пользователя" - Каспер "висел" в правом верхнем углу! Теперь его нет там,в трее он появляется "последним".[/QUOTE]Это нормально.

Поможешь?
Не удаётся пофиксить на ноуте.
file missing - Джэк не исправляет.
Лог Хайджека вот?

Что Вы фиксите? Если О23-й - читайте тут:[url]http://virusinfo.info/showpost.php?p=80604&postcount=2[/url]

Решил, по совету, поставить 2009 на семёрку. После рестарта теперь постоянно "окно вариантов" загрузки. Выбираю "Обычная загрузка" - опять рестарт и опять "окно". Остаётся или "безопасный" или "с последней удачной.......", в которой что-то каспер настраивает и опять рестарт и всё по кругу. Сносить "9-ку" и заново устанавливать?

[QUOTE=InDaHouse;290529]Решил, по совету, поставить 2009 на семёрку. [/QUOTE]Вообще советуют, удалить старую версию, даже почистить ПК kavremoval ом и потом ставить новую.

Снёс девятку. запустил КАV REMOVAL TOOL. Проверился Virus Removal TOOL Ничего ОНИ не нашли (ни установок каспера, ни вирусов).
Переустановить девятку не удалось. Всё то же. Вылетает в рестарт.
Замучало это. Поставил опять KAV7. Хочу всё-таки установить девятку. Как быть?

[QUOTE=InDaHouse;290728] Как быть?[/QUOTE]Сделайте лог syscheck.

Вот.
И ещё - Джек в секции 02, что-то "возмущается"

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O2 - BHO: C:\WINDOWS\system32\ksfj83nwe.dll - {C5AF49A2-94F3-42BD-F234-3604812C897D} - (no file)
[/CODE]Больше ничего плохого не видно.
Может Вам в техподдержку Касперского стоит обратиться?

Ок. Постучусь в тех.поддержку каспера.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]43[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\antivirus 2009\\av2009.exe - [B]Trojan-Downloader.Win32.FraudLoad.vcfc[/B] (DrWEB: Trojan.Fakealert.3803)[*] c:\\windows\\system32\\bhrrgtpd.dll - [B]Trojan.Win32.Monder.pnn[/B] (DrWEB: Trojan.Virtumod.468)[*] c:\\windows\\system32\\drivers\\nvnvrrzj.sys - [B]Rootkit.Win32.Agent.efa[/B] (DrWEB: Trojan.Sentinel.based)[*] c:\\windows\\system32\\dtopxw.dll - [B]not-a-virus:AdWare.Win32.SuperJuan.eem[/B] (DrWEB: Trojan.DnsChange.988)[*] c:\\windows\\system32\\hggxywmn.dll - [B]Trojan.Win32.Monder.prv[/B] (DrWEB: Trojan.Virtumod.511)[*] c:\\windows\\system32\\qcmumcjc.dll - [B]Trojan.Win32.Monder.pno[/B] (DrWEB: Trojan.Virtumod.450)[*] c:\\windows\\system32\\qfgyrb.dll - [B]Trojan.Win32.Monder.pru[/B] (DrWEB: Trojan.DnsChange.988)[/LIST][/LIST]