Подозрение на вирус - отключилась функция автозагрузки

Printable View

Показывать 40 сообщений этой темы на одной странице

17.12.2008, 19:41
PEPPER

Подозрение на вирус - отключилась функция автозагрузки

Здравствуйте. После внезапной перезагрузки компьютера перестала функционировать ф-я автозагрузки windows, программы, которые раньше загружались сразу не загружаются (utorrent,icq) при этом если в их настройках ставить загружать с windows ничего не меняется. Плюс к этому в поисковике когда открываю страницу открывает какие то левые сайты. Заранее спасибо.
17.12.2008, 19:52
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('D:\WINDOWS\system32\drivers\klmc.sys','');
QuarantineFile('D:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('D:\WINDOWS\System32\drivers\vmi386.sys','');
QuarantineFile('D:\WINDOWS\System32\vmmreg32.dll','');
QuarantineFile('D:\WINDOWS\system32\tdll.dll','');
QuarantineFile('d:\windows\system32\winhelp32.exe','');
DeleteFile('d:\windows\system32\winhelp32.exe');
DeleteFile('D:\WINDOWS\system32\tdll.dll');
DeleteFile('D:\WINDOWS\System32\vmmreg32.dll');
DeleteFile('D:\WINDOWS\System32\drivers\vmi386.sys');
DeleteFile('D:\WINDOWS\SYSTEM32\VIDEO.sys');
BC_ImportALL;
BC_DeleteSvc('VIDEO');
BC_Activate;
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Загрузите карантин согласно приложению №3 правил.

AVZ => Файл => Мастер поиска и устранения проблем. Категория проблемы - поставьте "Системные проблемы", степень опасности - "Все проблемы". Нажмите "Пуск". Всё найденное следует пометить и пофиксить. Данную операцию повторить для категории "Настройки и твики браузера".

Повторите логи.
17.12.2008, 20:26
PEPPER

Карантин выслал.
17.12.2008, 20:41
light59

[quote=PEPPER;323363]Карантин выслал.[/quote]
Повторите логи по правилам
17.12.2008, 21:09
PEPPER

Выполнено. Изменений с автозагрузкой нет.
17.12.2008, 21:20
light59

Выполните скрипт в AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('D:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('D:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('D:\WINDOWS\SYSTEM32\VIDEO.sys','');
DeleteFile('D:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('D:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('D:\WINDOWS\system32\vmmreg32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.
[/code]
Логи повторите.
17.12.2008, 21:58
PEPPER

Все повторил. Nod32 по прежнему не загружается на старте.
17.12.2008, 22:09
light59

tdll.dll - Trojan.Win32.Inject.lmo,
vmi386.sys - Trojan.Win32.Pakes.mfj

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis[/URL]
[code]
O20 - AppInit_DLLs: vmmreg32.dll
O20 - Winlogon Notify: ctlsys - D:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - D:\WINDOWS\
[/code]
В AVZ выполнить скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Выполните пункты 2 и 3 раздела "Диагностика" правил.
17.12.2008, 22:41
PEPPER

Все выполнено.
17.12.2008, 22:44
light59

По логам ничего подозрительного. Жалобы есть?
17.12.2008, 22:46
PEPPER

Антивирус nod32 так и не загружается при старте системы. как и админитсратор безопасности (могу ошибиться как называется. щит показывающий защиту системы) можно ли как нибудь где то увидеть что включено а автозагрузку системы. я так понимаю она почистилась конкретно.
17.12.2008, 22:49
light59

пуск-> выполнить -> msconfig
Закладка "Автозагрузка"
17.12.2008, 22:54
PEPPER

Да так и есть пропало. я так понимаю там добавить нельзя просто?
17.12.2008, 23:17
Макcим

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните[/URL] скрипт в AVZ[CODE]begin
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
RebootWindows(true);
end.[/CODE]
17.12.2008, 23:28
PEPPER

Ничего не изменилось.
17.12.2008, 23:39
Макcим

AVZ - Сервис - Менеджер автозапуска В верху будет кнопочка "Сохранить протокол". Прикрепите его к своему сообщению.

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Попробуйте ещё такой скрипт[CODE]begin
SearchRootkit(true, true);
ExecuteRepair(6);
RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end.[/CODE]
17.12.2008, 23:41
PEPPER

Выполнено.
17.12.2008, 23:42
Макcим

Заработала автозагрузка?
17.12.2008, 23:43
PEPPER

Заархивировал протокол.
17.12.2008, 23:43
Макcим

Скрипт выполнили?
17.12.2008, 23:54
PEPPER

После выполнения скрипта все без изменений.
17.12.2008, 23:55
Макcим

Я говорю о скрипте в 16-посте. Его выполняли?
18.12.2008, 00:08
PEPPER

Да-да. Именно он. Без изменений.
18.12.2008, 12:53
Rene-gad

Скачайте [URL="http://virusinfo.info/showthread.php?t=17109"]IceSword [/URL], поищите и скопируйте файлы:
[CODE]c:\windows\system32\winhelp32.exe
C:\WINDOWS\system32\vmmreg32.dll
C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys
C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp
C:\WINDOWS\SYSTEM32\VIDEO.sys
C:\WINDOWS\SYSTEM32\VIDEO.bkp
C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp
C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe
[/CODE]
файлы удалите их с помощью [URL="http://virusinfo.info/showthread.php?t=17228"]force delete[/URL]
Если Вы какие-то файлы не обнаружите - переходите к следующему шагу.

Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\winhelp32.exe');
DeleteService('VIDEO');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.bkp','');
QuarantineFile('C:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('C:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('c:\windows\system32\winhelp32.exe','');
DeleteFile('c:\windows\system32\winhelp32.exe');
DeleteFile('C:\WINDOWS\system32\vmmreg32.dll');
DeleteFile('C:\WINDOWS\SYSTEM32\drivers\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('C:\WINDOWS\SYSTEM32\VIDEO.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\vmmreg32.bkp');
DeleteFile('C:\WINDOWS\SYSTEM32\webmin\winhelp32.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Startup', '%USERPROFILE%\Главное меню\Программы\Автозагрузка');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders', 'Common Startup', '%ALLUSERSPROFILE%\Главное меню\Программы\Автозагрузка');
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи по правилам.
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
18.12.2008, 19:20
PEPPER

Один нюанс. Системный диск D. В коде я так понимаю все под C. Код все равно актуален?
18.12.2008, 19:31
PavelA

Да, скорее всего это все надо выполнять для "D".
18.12.2008, 20:22
PEPPER

Карантин прикрепил. Сделал и для С и для D. Логи прицепил. Изменений пока нет.
18.12.2008, 20:49
Rene-gad

-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O4 - Global Startup: nod32.lnk = ?
[/CODE]
Кто это Вам lnk в автозагрузку поставил? Сами небось? :wink_3: Накатайте НОД по новой. Лучше, если есть при удалении опция Устранение ошибок в установке.
18.12.2008, 21:31
PEPPER

Верно. сам пытался автозагрузку применить. видимо поэтому и получилось так криво То есть надо переустановить.

[size="1"][color="#666686"][B][I]Добавлено через 34 минуты[/I][/B][/color][/size]

При деинсталляции возникает ошибка нет доступа к сетевой папке с адресом как раз в автозагрузку. удаления прекращяется. есть ли способ очистить компьютер от нода чтобы установить заново.
18.12.2008, 22:32
PavelA

Есть скорее всего. Правильная деинсталляция на сайте НОД, если есть.
Сорри, не могу посмотреть.
18.12.2008, 23:09
Макcим

[QUOTE=PEPPER;323802]есть ли способ очистить компьютер от нода чтобы установить заново.[/QUOTE][url]http://training.eset.com/kb/index.php?option=com_kb&Itemid=29&page=articles&articleid=558[/url]
22.12.2008, 20:47
PEPPER

Проблему с автозагрузкой решил с помощью редактирования реестра. Проблему с неудалением нода (ошибка 1606 также) в приниципе переустнавиливать не пришлось после того как автозагрузка заработала. видимо вирус подкорректировал реестр.
Однако сейчас заметил что проблемы появились опять он же? Не могли бы вы проверить логи.
22.12.2008, 21:51
light59

В AVZ скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('VIDEO', 4);
SetServiceStart('vmi386', 4);
DeleteService('VIDEO');
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
TerminateProcessByName('d:\windows\system32\winhelp32.exe');
QuarantineFile('D:\WINDOWS\system32\msupdt.exe','');
QuarantineFile('D:\WINDOWS\system32\vmmreg32.dll','');
QuarantineFile('D:\WINDOWS\SYSTEM32\VIDEO.sys','');
QuarantineFile('D:\WINDOWS\SYSTEM32\winhelp32.exe','');
QuarantineFile('D:\WINDOWS\System32\drivers\vmi386.sys','');
QuarantineFile('D:\WINDOWS\system32\c0067EC4.mat','');
QuarantineFile('D:\WINDOWS\system32\tdll.dll','');
QuarantineFile('D:\WINDOWS\System32\vmmreg32.dll','');
QuarantineFile('d:\windows\system32\winhelp32.exe','');
DeleteFile('d:\windows\system32\winhelp32.exe');
DeleteFile('D:\WINDOWS\System32\vmmreg32.dll');
DeleteFile('D:\WINDOWS\system32\tdll.dll');
DeleteFile('D:\WINDOWS\system32\c0067EC4.mat');
DeleteFile('D:\WINDOWS\System32\drivers\vmi386.sys');
DeleteFile('D:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('D:\WINDOWS\SYSTEM32\VIDEO.sys');
BC_DeleteFile('D:\WINDOWS\SYSTEM32\VIDEO.sys');
DeleteFile('D:\WINDOWS\system32\msupdt.exe');
DeleteFile('sys32.dll');
DeleteFile('D:\WINDOWS\system32\vmmreg32.dll');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('VIDEO');
BC_Activate;
RebootWindows(true);
end.
[/code]
Пришлите карантин по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=35867"]http://virusinfo.info/upload_virus.php?tid=35867[/URL]
Ну и логи повторно сделайте......
Опять тоже самое. Мде. Куда заходили последние разы? Что открывали вспомните?

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Чтобы не быть нашим постоянный клиентом, то ознакомьтесь с этим [URL="http://virusinfo.info/showthread.php?t=30339"]http://virusinfo.info/showthread.php?t=30339[/URL]. На всякий пожарный) . Но в любом случае можете обращаться за помощью)

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

Пофиксите ещё вот это
[code]
Platform: Windows XP SP2 (WinNT 5.01.2600)
[/code]
Пора уже [URL="http://www.microsoft.com/downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL] на Windows устанавливать (может потребоваться активация).
22.12.2008, 22:09
PEPPER

Карантин выслал. новые логи прилагаются.
22.12.2008, 22:15
light59

Пофиксите в hiJakthis
[code]
O20 - AppInit_DLLs: vmmreg32.dll
O20 - Winlogon Notify: c0067EC4 - c0067EC4.mat (file missing)
O20 - Winlogon Notify: ctlsys - D:\WINDOWS\
O20 - Winlogon Notify: sys32 - D:\WINDOWS\
[/code]
В AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{7C6E1044-DBF1-EDB3-57BB-D40A130EA5BD}');
DeleteFile('D:\WINDOWS\SYSTEM32\winhelp32.exe');
DeleteFile('D:\WINDOWS\system32\c0067EC4.mat');
DeleteFile('D:\WINDOWS\system32\vmmreg32.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
выполните пункты 2 и 3 разедела "диагностика" правил

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

НОД32 не тащит.. не справился :(
22.12.2008, 22:34
PEPPER

Выполнено.
22.12.2008, 22:40
light59

В AVZ
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
clearquarantine;
QuarantineFile('D:\WINDOWS\system32\mmctl.sys','');
DeleteFile('D:\WINDOWS\system32\mmctl.sys');
DeleteService('mmctl');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Пришлите карантин по правилам по ссылке [URL="http://virusinfo.info/upload_virus.php?tid=35867"]http://virusinfo.info/upload_virus.php?tid=35867[/URL].
Повторите 2й стандартный скрипт и, думаю, больше ничего зловредоного не будет :)
22.12.2008, 22:58
PEPPER

Сделано.
22.12.2008, 23:01
light59

Хорошо. А теперь почитайте эту темку [URL="http://virusinfo.info/showthread.php?t=30339"]http://virusinfo.info/showthread.php?t=30339[/URL].:rolleyes:
В логах чисто :smile:
22.12.2008, 23:23
PEPPER

Огромное спасибо всем за оперативную помощь.

Показывать 40 сообщений этой темы на одной странице