Что ж я подхватил...

Printable View

14.11.2008, 11:32
DenODen

Что ж я подхватил...

Добрый день. Нуждаюсь в советах,очень.
Предыстория: ничего подозрительного не загружал давненько и в интернете на " минные поля " не хожу.
Сегодня почему-то не загрузился " Windows One Care " ( он-лайн пакет с антивирем). Решив переустановить - обнаружил что загрузка начинается - и через 5-7 сек вырубается. Далее ,Ad-Aware работает, но его " сторож - контрололер " не стартует , плюс перестал обновления делать баз.
При попытке запустить " HijackThis " от Trend Micro - не запускается - ну прям как будто кто-то не позволяет запуститься определенным прогам...
Решил запустить " Safe Mode " - так снова - начало запускаться - потом " хлоп" и надпись "...execute script vax347b.sys "
Поиски в сети показали что это частичка от Алкоголя 120%. Но я его давно не пользую... Рекомендации были разные - в общем снес Алкоголь...
Ничего не изменилось - но вентиляторы компа воют как бешенные - а активности никакой нигде не вижу, блин... Только кривая загрузки процессора скачет все время: 5%-35%-12%-57%-31%...
Ради интереса попробовал систему вернуть на несколько дней назад - пыхтело -пыхтело и выдало что это не представляется возможным...
Стоит WinXP-Pro. Все обновления своевременно ставятся...
Хоть на что-нить это похоже?
Вся работа встала...блин...
14.11.2008, 11:59
Bratez

AVZ тоже не запускается? Попробуйте переименовать [B]avz.exe [/B]в [B]777.pif[/B].
[QUOTE]вентиляторы компа воют как бешенные [/QUOTE]
Смазать подшипники, почистить все от пыли, обеспечить нормальную циркуляцию воздуха.
14.11.2008, 13:49
DenODen

[QUOTE=Bratez;309549]AVZ тоже не запускается? Попробуйте переименовать [B]avz.exe [/B]в [B]777.pif[/B].

Смазать подшипники, почистить все от пыли, обеспечить нормальную циркуляцию воздуха.[/QUOTE]

Blin...i klava perestala pycckiy perekluchat...
Pereimenovat ne polychaetsia - klikau na ikonky - i vse visnet...
Ventilatori vout potomy chto na maksimyme rabotaut -
Ydalos zapystit Hijak This.
Pitalsia zapystit antivir ESET - pishet " ...Program Files\Eset\nod32.exe is not a valid Win32 application." Pochemy?
Voobshe neponiatnoe - processor postoianno pokazivaen zagryzennost...:-(
14.11.2008, 13:55
Гриша

Скачать AVZ [url]http://depositfiles.com/en/files/6501498[/url] и сделать логи...
14.11.2008, 14:16
DenODen

Vot logi Hijak This
Interestno nabludat - kogda otkrivau folder c etoi progoi - tam 2 ikonki : "HijackThis" i vtoraia " HijackThis_exe_1 "
Nak pervaia ikonka crazy 3 paza meniat ciniy cbet - migaet. Tochno chto-to ee kontroliryet
14.11.2008, 14:23
DenODen

AVZ " nechto " daze ne daet razarxivirovat - rybit...
14.11.2008, 15:01
Гриша

AVZ качали по моей ссылке?
14.11.2008, 16:52
Bratez

[QUOTE]Ventilatori vout potomy chto na maksimyme rabotaut -[/QUOTE]
Правильно. А [B]почему [/B]они на максимуме работают? Потому что кулера процессора и видеокарты забиты пылью и/или они гоняют по кругу один и тот же теплый воздух (например системник в тесном отсеке стола, придвинут к стенке, завален сверху бумагами и т.п...)

Что касается вирусов, попробуйте сделать как написано тут:
[url]http://virusinfo.info/showthread.php?t=15927[/url]
(способ 1).
16.11.2008, 12:52
DenODen

/////////

[quote=Bratez;309677]Правильно. А [B]почему [/B]они на максимуме работают? Потому что кулера процессора и видеокарты забиты пылью и/или они гоняют по кругу один и тот же теплый воздух (например системник в тесном отсеке стола, придвинут к стенке, завален сверху бумагами и т.п...)

Что касается вирусов, попробуйте сделать как написано тут:
[URL]http://virusinfo.info/showthread.php?t=15927[/URL]
(способ 1).[/quote]
Не, у меня все чисто - аж сверкает . Просто в " подполье" какая-то зараза нагружает проц - поэтому и греется оный , что и вызывает кулеры на максимум крутить.

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

[quote=Гриша;309629]AVZ качали по моей ссылке?[/quote]
Закачал...пол-дня проверяет все... медленно аж жуть...
Как проверит - с результатками проверки что делать?
И еще - там пишется что старые базы, а как обновить?
И последнее - прочитал пост " [URL="http://virusinfo.info/showthread.php?t=33923"]Подцепил трояна (winfilse)[/URL] ". Все как у меня ...Абсолютно! Тоже не запускается ничего кроме " эврики". А остальные при попытке запуска - также пишет что это не Win32 сопоставимое...
И почему-то изменилась иконка на програмке мониторинга Ad-Aware.
Это все новости - хороших мало...
Спасибо за помощь!

[size="1"][color="#666686"][B][I]Добавлено через 42 минуты[/I][/B][/color][/size]

Красной строкой написано в результатах проверки : Process Masking detected 1544 c:\winnt\system32\drivers\winfilse.exe
Причем папка дпайверов - невидимая.
17.11.2008, 01:31
DenODen

В чем моя ошибка? Что я делаю не так?

[quote=Гриша;309610]Скачать AVZ [URL]http://depositfiles.com/en/files/6501498[/URL] и сделать логи...[/quote]

Добрый день.
Скачал evrika.pif - запустилось без проблем.
Больше суток проверялось - и на 69% исчезло окно программы. Но в процессах было видно что проверка продолжается " где-то". Потом и это исчезло. Сегодня воскресение - третий раз запустил проверку - 59% проверилось - окно программы исчезает. Продолжение процесса видно, но и оно в скором времени перестает. Что я не так запускаю? Вымотал меня этот" невидимка" плюс вся учеба встала - все ж в компе. Если возможно - подскажите что делаю не так. Привила перечитал не один раз - но чтобы отослать логи , нодо мне хотя бы знать где они есть. Если они есть вообще - так как ни разу из трех проверок не видел окна по окончании проверок.
17.11.2008, 02:33
pig

Это вы всё третий скрипт мучаете? Попробуйте второй. Или в безопасном режиме - я что-то не понял, получается в него войти или нет, но если получается, сделайте логи хотя бы так.
17.11.2008, 06:50
DenODen

Третий скрипт?...

[quote=pig;310366]Это вы всё третий скрипт мучаете? Попробуйте второй. Или в безопасном режиме - я что-то не понял, получается в него войти или нет, но если получается, сделайте логи хотя бы так.[/quote]

Немного не понял - что имеется в виду под третьим скриптом?
Безопасный режим рубится через 2-3 секунды после запуска, и снова запускается обычный.
17.11.2008, 10:04
Гриша

Сделайте только 2 стандартный скрипт...
18.11.2008, 08:14
DenODen

Ужастно быть бестолковым ... на старости лет...

[quote=Гриша;310417]Сделайте только 2 стандартный скрипт...[/quote]
Я вчера снова сморозил горбатого - послал не то и не туда. Сегодня 2 скрипт прикрепляю к этому сообщению.
Приношу искренние извенения за кучу недоразумений созданных мною.
Спасибо.
18.11.2008, 08:35
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
QuarantineFile('C:\Program Files\Qwest\Quickcare\bin\sprtcmd.exe','');
end.[/CODE]

Пришлите карантин...
18.11.2008, 09:04
DenODen

[quote=Гриша;310809][URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[code]begin
ClearQuarantine;
QuarantineFile('C:\Program Files\Qwest\Quickcare\bin\sprtcmd.exe','');
end.[/code]

Пришлите карантин...[/quote]
Отослал.
18.11.2008, 09:08
Гриша

Не похоже это на 2 стандартный скрипт :) Нужен лог virusinfo_syscheck

У вас Bagle, но по этому логу некоторые файлы не видны...
18.11.2008, 09:18
DenODen

[quote=Гриша;310825]Не похоже это на 2 стандартный скрипт :) Нужен лог virusinfo_syscheck

У вас Bagle, но по этому логу некоторые файлы не видны...[/quote]

Счас запущу , и перешлю.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

К слову, если можно - DrWeb on-line описал этого врага как "
winfilse.exe infected with Trojan.Packed.650 " , Касперский - " winfilse.exe - infected by Trojan-Downloader.Win32.Bagle.afy "
А AVZ нарисовал " MD5 hash: 9A462896C43FDA83EFC9DF5691573BE8 "
18.11.2008, 09:21
DenODen

Отсылаю лог.
18.11.2008, 09:27
Гриша

Выполните скрипт [B]2 раза[/B]!

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('%System32%\drivers\srosa.sys','');
QuarantineFile('%System32%\drivers\hldrrr.exe','');
QuarantineFile('%System32%\wintems.exe','');
QuarantineFile('%System32%\drivers\mdelk.exe','');
QuarantineFile('%System32%\mdelk.exe','');
QuarantineFile('c:\winnt\system32\drivers\winfilse.exe','');
DeleteFile('c:\winnt\system32\drivers\winfilse.exe');
DeleteFile('%System32%\drivers\hldrrr.exe');
DeleteFile('%System32%\drivers\srosa.sys');
DeleteFile('%System32%\wintems.exe');
DeleteFile('%System32%\drivers\mdelk.exe');
DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end;
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end;
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!');
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
18.11.2008, 09:45
DenODen

Пришлите карантин по правилам и повторите логи...[/quote]

Карантин отослал, вот логи. Ничего не перепутал сейчас? :O

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=DenODen;310847]Пришлите карантин по правилам и повторите логи...[/quote]

Карантин отослал, вот логи. Ничего не перепутал сейчас? :O[/quote]
только вот логи не цепляются к сообщению...
18.11.2008, 09:45
Гриша

Удалите старые логи через "Мой кабинет"=>"Управление вложениями"
18.11.2008, 09:58
DenODen

Логи

Вроде дошло...вроде не жираф...:(
18.11.2008, 09:59
DenODen

Все вентиляторы наконец-то угомонились... тишина такая...
Знать бы откуда " зверь " вломился...
18.11.2008, 10:02
Гриша

AVZ запускать с параметром:lang=ru, сделайте все логи как полагается...
18.11.2008, 10:47
DenODen

Тупой...ещё тупее - это про меня

[quote=Гриша;310857]AVZ запускать с параметром:lang=ru, сделайте все логи как полагается...[/quote]
Завтра наклею на лоб табличку - тупой...
Ну не работает соображаловка насчет " AVZ запускать с параметром:lang=ru " ... Все настройки пересмотрел - точно что это не в настройках... Замучил я тут всех... Но я понял что надо сделать скрипт 2 и 3 - вместе или по очереди? HijackThis уже сделал...
18.11.2008, 10:52
Гриша

Ладно сделайте скрипт 3 потом 2.

P.S. запустить AVZ с параметром lang=ru, это значит зайти в "Пуск", выбрать меню "Выполнить", нажать "Обзор" найти AVZ.exe, выбрать его, дописать параметр и надавить "Ок" :)

[CODE]"путь к программе" lang=ru[/CODE]
18.11.2008, 12:12
DenODen

Вложений: 2

[quote=Гриша;310885]Ладно сделайте скрипт 3 потом 2.

P.S. запустить AVZ с параметром lang=ru, это значит зайти в "Пуск", выбрать меню "Выполнить", нажать "Обзор" найти AVZ.exe, выбрать его, дописать параметр и надавить "Ок" :)

[code]"путь к программе" lang=ru[/code][/quote]

- Наконец-то логи " родили "...
Про " русификацию " AVZ-ика лучше промолчу...решил что благоразумнее и дальше юзать инглиш... что и юзал всегда...
Буду ожидать анализа от " доктора"...:(
А вот HijackThis ...не запустился...написалось " Windows cannot access the specified device , patch or file. You may not have the apropriate permissions to access the item. " Ругается, и несколько программ также ругнулись так... Мож перезапустить комп...
18.11.2008, 12:17
Гриша

Восстановление отключить,выполнить скрипт:

[CODE]begin
ClearQuarantine;
ExecuteRepair(10);
RebootWindows(true);
end.[/CODE]

Сделайте полную проверку CureIT в Safe Mode, в логах чисто...
18.11.2008, 13:06
DenODen

Эпилог

[quote=Гриша;310924]Восстановление отключить,выполнить скрипт:

[code]begin
ClearQuarantine;
ExecuteRepair(10);
RebootWindows(true);
end.[/code]

Сделайте полную проверку CureIT в Safe Mode, в логах чисто...[/quote]
Скрипт провел, в Safe mode DrWeb пошухерил и ничего не нашел - везде нули...
Выходит, смертушка не поживилась компом?
Значит самое время идти на рыбалку за антивирем...
У меня стоит от интернет провайдера ( " Qwest " ) он-лайт пакет безопасности Microsoft Windows OneCare Live . Теперь не знаю - ставить ли обратно его или другое че подбирать... Как зверь залез - непонятно. Стреляет ли снаряд в обну и ту же воронку дважды?
В любом случае - искренняя благодарность за помощь и потраченное время, и за терпение ...
18.11.2008, 13:10
Гриша

Зверь ушел, вспомните не качали ли вы в последнее время какой-нибудь кряк, кейген или еще что-то вам не знакомое?
18.11.2008, 13:20
DenODen

[quote=Гриша;310949]Зверь ушел, вспомните не качали ли вы в последнее время какой-нибудь кряк, кейген или еще что-то вам не знакомое?[/quote]
Единственное что в последние пару недель добавилось - " осликом " мультфильмы детям тянул. Ни проги, ни кряки, ни кейгены уже давно не касался. Единственное - могло ли на Одноклассниках чего попасть? но я не открываю ничего подозрительного никогда. Да и этот пакет защиты от мелкомягких всегда включен был... Даже и не знаю на что подумать... Ухудшения не сразу врубились - а так плавненько, скорость плозоватая сталв, то ещё что -то не шибко работало. А когда кулеры завыли без остановки - я и " прозрел" ...
21.11.2008, 05:32
DenODen

Не прошло и пол-года...

[quote=Гриша;310949]Зверь ушел, вспомните не качали ли вы в последнее время какой-нибудь кряк, кейген или еще что-то вам не знакомое?[/quote]

Не прошло и пол-года...
Понадобилось мне тут по учебе вернуться к своим пособиям, скачанным(!!!) тем же осликом. Это зип-архив. Наученный последней " дракой " , сначала запустил антивирь PC Tools, на всяк случай. Разумеется, ничего . Потом обновил базу Ad-Aware SE и прощупал им. Тоже промолчал. Открыл зип-папку , и еще не кликнув ни на один файл в зипе, я сразу услышал знакомое вытье вентилятора компа - плюс" Zone - Alarm Pro " выдал новость : что-то из этого архива требует немедленного соединения с И-нетом. Посмотрев имя этого файла , требовавшего доспут - я " повеселел мрачно" : старый знакомый winfilse.exe... Выдернул питание компа... С дрожью включил снова через некоторое время - попыхтел - повозникал комп мельканием монитора - и вроде успокоился: вытья нет, процессор не загружен ничем - активности никакой... Но, как и в прошлый раз , чистильщики , антивирь и Zone Alarm на попытку запустить их - сообщение что это не является Win32 совместимым приложением... Старая песня - переустановлю счас все, и снова заработает. Вопрос - как вам переслать этот ZIP со зверем внутри?
21.11.2008, 10:06
Гриша

Поставить пароль "virus" и загрузить по ссылке вверху страницы...
21.11.2008, 13:15
DenODen

Послал зип

[quote=Гриша;312342]Поставить пароль "virus" и загрузить по ссылке вверху страницы...[/quote]
Послал зип со зверьём унутри. А сегодня запустил этот проверяльщик - " Windows Malicious Software Removal Tool " , и он мне сообщил что нашел Bagel и удалил его.
Файл, что я отослал вам , просто в корзину удалить? Иль, может, кому из недругов предложить...( плохая шутка...)
21.11.2008, 13:31
Гриша

Удалить...
22.02.2009, 01:27
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]76[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\program files\\lavasoft\\ad-aware se plus\\ad-watch.exe - [B]Trojan-Downloader.Win32.Bagle.afy[/B] (DrWEB: Trojan.Packed.650)[*] c:\\winnt\\system32\\drivers\\srosa.sys - [B]Trojan-Downloader.Win32.Bagle.afl[/B] (DrWEB: Win32.HLLM.Beagle.247)[*] c:\\winnt\\system32\\drivers\\winfilse.exe - [B]Trojan-Downloader.Win32.Bagle.afy[/B] (DrWEB: Trojan.Packed.650)[*] \\run.exe - [B]Trojan-Downloader.Win32.Bagle.afy[/B] (DrWEB: Trojan.Packed.650)[*] \\2008-11-17\\bcqr00001.dta - [B]Trojan-Downloader.Win32.Bagle.afl[/B] (DrWEB: Win32.HLLM.Beagle.247)[*] \\2008-11-17\\bcqr00002.dta - [B]Trojan-Downloader.Win32.Bagle.afl[/B] (DrWEB: Win32.HLLM.Beagle.247)[*] \\2008-11-17\\bcqr00011.dta - [B]Trojan-Downloader.Win32.Bagle.afy[/B] (DrWEB: Trojan.Packed.650)[*] \\2008-11-17\\bcqr00012.dta - [B]Trojan-Downloader.Win32.Bagle.afy[/B] (DrWEB: Trojan.Packed.650)[/LIST][/LIST]