Вирус Win32/Agent.NDP в оперативной памяти [Backdoor.Win32.Hijack.al, Backdoor.Win32.Hijack.ai ]

Printable View

11.01.2009, 20:54
mooncat

Вложений: 3

Вирус Win32/Agent.NDP в оперативной памяти [Backdoor.Win32.Hijack.al, Backdoor.Win32.Hijack.ai ]

Помогите мне, пожалуйста! При сканировании антивирусом NOD32 появляется сообщение: "вирус Win32/Agent.NDP найден в оперативной памяти. Никакое действие не может быть предпринято при проникновении в память. Инфекция системной памяти происходит из файла C:/WINDOWS/explorer.exe". Также при включении компьютера я иногда не могу зайти ни в какую папку и интернет. При попытке входа в интернет выплывает сообщение: "Microsoft VisualC++Runtime Library. Runtime Error! Program: C:/Program Files/Internet Explorer/explorer.exe". И после нескольких попыток перезагрузки ничего не помогает. Тогда приходится выключить компьютер и через несколько минут опять включить, тогда все начинает работать. Одна надежда на вас! Помогите!
11.01.2009, 21:03
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\wsnpoem\video.dll');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}');
QuarantineFile('wmzyeys32.dll','');
QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\services.exe','');
QuarantineFile('C:\WINDOWS\system32\cssrss.exe','');
QuarantineFile('C:\WINDOWS\services.exe','');
DeleteService('ati8xexx');
DeleteService('ati6msxx');
DeleteService('ati2gmxx');
DeleteService('ati1jpxx');
DeleteService('ati1flxx');
DeleteService('ati7qwxx');
DeleteService('bEvtSvcE');
QuarantineFile('bEvtSvcE.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ati7qwxx.sys','');
QuarantineFile('C:\WINDOWS\system32\wmzyeys32.dll','');
QuarantineFile('C:\WINDOWS\system32\wmzyeys.dll','');
QuarantineFile('c:\windows\explorer.exe','');
QuarantineFile('c:\temp\ega291.tmp','');
DeleteFile('c:\temp\ega291.tmp');
DeleteFile('C:\WINDOWS\system32\wmzyeys.dll');
DeleteFile('C:\WINDOWS\system32\wmzyeys32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\ati7qwxx.sys');
DeleteFile('bEvtSvcE.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati7qwxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati1flxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati1jpxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati2gmxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati6msxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati8xexx.sys');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\cssrss.exe');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('wmzyeys32.dll');
DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
SetAVZPMStatus(true);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
12.01.2009, 10:14
mooncat

Спасибо! Извините, я чайник в этих делах. А скрипт выполнить в AVZ? В обычном режиме? Повторить логи - это заново проделать ту же операцию после выполнения скриптов? Я когда делала действия согласно Правил, то у меня карантин оказался пустой, это нормально?
12.01.2009, 12:52
V_Bond

1 Да в обычном режиме
2 да проделать заново
3 ничего страшного
13.01.2009, 00:20
mooncat

Вложений: 3

Я карантин Вам выслала, логи повторила. Что делать дальше?
13.01.2009, 00:28
mooncat

После выполненного скрипта система полностью зависла, ярлыки исчезли, пришлось перезагрузить компьютер. Это нормально? И еще один вопрос: я выслала карантин после выполненного скрипта, потом создала логи и выслала их Вам, после этого нужно ли выслать Вам еще раз карантин?
13.01.2009, 08:16
Гриша

Скачать этот AVZ [url]http://depositfiles.com/files/5k0qihqas[/url]

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{6D7B211A-88EA-490c-BAB9-3600D8D7C503}');
TerminateProcessByName('c:\temp\dfm2d2.tmp');
DeleteFile('c:\temp\dfm2d2.tmp');
DeleteFile('C:\WINDOWS\system32\wmzyeys.dll');
DeleteFile('C:\WINDOWS\system32\wmzyeys32.dll');
DeleteFile('C:\WINDOWS\system32\Drivers\ati7qwxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati1flxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati1jpxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati2gmxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati6msxx.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ati8xexx.sys');
DeleteFile('C:\WINDOWS\system32\config\systemprofile\svchost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
DeleteFile('C:\WINDOWS\services.exe');
DeleteFile('C:\WINDOWS\system32\cssrss.exe');
DeleteFile('C:\WINDOWS\system32\ntos.exe');
DeleteFile('wmzyeys32.dll');
DeleteFile('C:\Program Files\ConnectionServices\ConnectionServices.dll');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('C:\Temp\144715090exe');
DeleteFile('C:\Temp\1588292234exe');
DeleteFile('C:\Temp\420703592exe');
DeleteFile('C:\Temp\73487854exe');
DeleteFile('C:\WINDOWS\system32\wmzyeys.bak');
DeleteFile('C:\WINDOWS\system32\wmzyeys32.bak');
DeleteService('ati8xexx');
DeleteService('ati6msxx');
DeleteService('ati2gmxx');
DeleteService('ati1jpxx');
DeleteService('ati1flxx');
DeleteService('ati7qwxx');
DeleteFileMask('%tmp% ','*.* ',true);
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ati8xexx');
BC_DeleteSvc('ati6msxx');
BC_DeleteSvc('ati2gmxx');
BC_DeleteSvc('ati1jpxx');
BC_DeleteSvc('ati1flxx');
BC_DeleteSvc('ati7qwxx');
BC_DeleteSvc('FCI');
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Повторите логи....
13.01.2009, 21:10
mooncat

Я не смогла открыть этот AVZ, выскочило сообщение: "Внимание: Потенциально опасное содержимое блокировано." Поэтому не смогла выполнить логи. Помогите мне, пожалуйста!!!
13.01.2009, 21:12
Гриша

От кого сообщение такое выскочило?
13.01.2009, 21:32
mooncat

Да просто выскочило сообщение без заголовка, без опознавательных знаков и единственная кнопка "ОК".
13.01.2009, 21:48
V_Bond

потенциально опасный нод отключен ?
13.01.2009, 22:09
mooncat

Нет, он был включен, я боюсь его отключать, система тогда станет совсем беззащитной. У меня еще возникли сомнения на счет этой програмки со странным названием monk.pif. Вы думаете не стоит боятся? Почему НОД может не захотеть открыть эту програмку?
13.01.2009, 22:15
Гриша

Если мы говорим в морг значит в морг, это AVZ полиморфная для сложных случаев, отключите Нод и выполните все что указано...
14.01.2009, 00:36
mooncat

Вложений: 3

Все, все, больше не спорю:rolleyes:. Я выполнила все, что указано выше. Высылаю логи.
14.01.2009, 17:16
mooncat

Ну что, что-то очень серъезное? Меня еще можно вылечить вручную или придется все-таки вызывать компьютерщика?
14.01.2009, 17:21
Гриша

Вы молодец, что все правильно сделали, у нас просто эпидемия, физически не успеваем, сорри...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('wmzyeys.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]

Повторите пункт 2 диагностики...
15.01.2009, 19:29
mooncat

Вложений: 1

Спасибо, что уделяете всем достаточно внимания! Вот выполнила скрипт и высылаю лог с пункта 2 диагностики. После выполнения скрипта компьютер начал сам перезагружатся, это нормально?
15.01.2009, 20:33
V_Bond

[QUOTE=mooncat;334573]После выполнения скрипта компьютер начал сам перезагружатся, это нормально?[/QUOTE]
после всех скриптов которые вам предлагались он [B]должен [/B] перегружаться .... просто вы ему не давали это сделать ...
в логе ничего зловредного ...
15.01.2009, 20:47
mooncat

Но у меня по прежнему при проверке НОДом выскакивает "вирус Win32/Agent.NDP найден в оперативной памяти. Никакое действие не может быть предпринято при проникновении в память. Нажмите Пропустить, чтобы продолжить и впоследствии запустить очистку всех локальных дисков. Инфeкция cиcтeмнoй пaмяти пpoиcxoдит из фaйлa C:\WINDOWS\Explorer.EXE."
15.01.2009, 21:37
V_Bond

[url]http://virusinfo.info/showthread.php?t=15927[/url]
15.01.2009, 23:04
mooncat

Я так поняла, что антивирус нужно переустановить? У меня даже на здоровом компьютере установлен НОД. А какой более-менее нормальный антивирус Вы посоветуете установить?
15.01.2009, 23:06
Гриша

Мы просили не установить антивирус, а сделать проверку CureIT...
15.01.2009, 23:14
mooncat

Спасибо за совет! Завтра и попробую :smile:.
19.01.2009, 11:52
mooncat

Спасибо вам большое за помощь [B]V_Bond[/B] и [B]Гриша[/B] и за понимание!!!! С вашей помощью я вылечила свой компьютер!!! Уррра!
22.02.2009, 09:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\temp\\ega291.tmp - [B]Backdoor.Win32.Hijack.ai[/B] (DrWEB: Trojan.Inject.5416)[*] c:\\windows\\explorer.exe - [B]Trojan.Win32.Patched.el[/B] (DrWEB: Win32.Zapinit.1)[*] c:\\windows\\system32\\svchost.exe:ext.exe:$data - [B]Trojan.Win32.Crypt.aka[/B] (DrWEB: Trojan.Inject.5419)[*] c:\\windows\\system32\\wmzyeys.dll - [B]Backdoor.Win32.Hijack.ai[/B] (DrWEB: Trojan.Inject.5416)[*] c:\\windows\\system32\\wmzyeys32.dll - [B]Backdoor.Win32.Hijack.ai[/B] (DrWEB: Trojan.Inject.5416)[/LIST][/LIST]