У меня тоже Win32.HLLW.Autoruner.5555 [Backdoor.Win32.VB.azp, , Net-Worm.Win32.Kido.ih ]

Printable View

12.01.2009, 11:42
Tatka7

Вложений: 3

У меня тоже Win32.HLLW.Autoruner.5555 [Backdoor.Win32.VB.azp, , Net-Worm.Win32.Kido.ih ]

Dr.Web находит в C:\windows\system32 - 01.tmp, 02.tmp, 03tmp (иногда их больше) с Win32.HLLW.Autoruner.5555.Не лечит.Удаляет.Потом просит перезагрузку системы.А если перезагрузку отложить, компьютер виснет минут через 5.После перезагрузки он снова находит эти файлы (от одного появившегося заново до пяти), сколько б ни удаляла.AZV вообще их не видит.А ещё не могу зайти на сайты антивирусных программ и др. аналогичных.Скачивание утилит практически невозможно, только с 10-го раза (и то не факт).Помогите, пожалуйста :(
12.01.2009, 13:15
Гриша

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\ADMIN\svchost.exe','');
DeleteService('bwjeu');
QuarantineFile('C:\WINDOWS\system32\03C1.tmp','');
DeleteFile('C:\WINDOWS\TEMP\mc21.tmp');
DeleteFile('C:\WINDOWS\system32\03C1.tmp');
QuarantineFile('C:\WINDOWS\system32\htlrirwr.dll',' ');
DeleteFile('C:\Documents and Settings\All Users\Application Data\ADMIN\svchost.exe');
DeleteFile('C:\WINDOWS\system32\htlrirwr.dll');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('bwjeu');
BC_Activate;
SetAVZPMStatus(true );
RebootWindows(true);
end.[/CODE]

Пришлите карантин по правилам и повторите логи...
12.01.2009, 14:44
Tatka7

Вложений: 3

карантин отослала.Вот логи
13.01.2009, 11:28
Гриша

Установите апдейты на винду, в логах чисто...
13.01.2009, 11:32
Tatka7

а в каких действиях заключается данная процедура?
13.01.2009, 11:35
Гриша

Установить обновления через Windows Update...
13.01.2009, 11:39
Tatka7

Так у меня стоит автоматическое обновление.Но так как в компе что то паразитирует, я не могу ни антивирус обновить , ни что либо ещё
13.01.2009, 11:41
Гриша

У вас червь который блокирует и автоматическое обновление и сервера антивирусов... вот эту заплатку нужно установить
[url]http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx[/url]
13.01.2009, 11:44
Tatka7

А вы представляете...., по этой ссылке тоже не заходит

[size="1"][color="#666686"][B][I]Добавлено через 30 секунд[/I][/B][/color][/size]

Он не только антивирусные сервы блокирует, а все подряд видимо

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Я даже зайти на них не могу
13.01.2009, 11:46
Гриша

Представляю, это скачать можете [url]http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/[/url]
13.01.2009, 11:48
Tatka7

Туда тоже не заходит
13.01.2009, 11:49
Гриша

Значит скачайте заплатку и утилиту с компьютера друга, отключите сеть, установите заплатку, проверьте утилитой и повторите логи...
13.01.2009, 12:36
Tatka7

Попросила скачать.Говорят, первая ссылка не работает
13.01.2009, 12:39
Гриша

Качайте сами, я выложил [url]http://virusinfo.info/showpost.php?p=333137&postcount=9[/url]
13.01.2009, 12:58
Tatka7

"невозможно найти удалённый сервер"...Снова тоже самое
13.01.2009, 12:59
Гриша

[url]http://depositfiles.com/files/cqw776r9j[/url]
13.01.2009, 14:40
Tatka7

Отличненько.Спасибо

[size="1"][color="#666686"][B][I]Добавлено через 1 час 38 минут[/I][/B][/color][/size]

При установке заплатки: "программа установки обнаружила, что версия уже установленного пакета обновления выше,чем данное обновление.Устанавливать обновление не нужно."
Как поступить в таком случае?
13.01.2009, 14:53
Гриша

Сделайте стандартный скрипт 3 с установленным AVZPM...
13.01.2009, 16:26
Tatka7

теперь выложить все 3 лога или только этот один? (выполнение 3-го скипта)
13.01.2009, 21:12
Гриша

Все давайте...
13.01.2009, 22:56
Tatka7

Вложений: 3

Вот:
14.01.2009, 11:14
Tatka7

А ещё, не подскажите...У меня теперь карт ридер пересиал работать.Карту вставляю-не мигает, и пропали в "Мой компьютер" значки его разъёмов

[size="1"][color="#666686"][B][I]Добавлено через 10 часов 52 минуты[/I][/B][/color][/size]

Теперь AVPTool ещё и троянов нашёл :( Удалил вроде

[size="1"][color="#666686"][B][I]Добавлено через 1 час 23 минуты[/I][/B][/color][/size]

Поставила НОД, он обновляется с серва в кольце НН. Теперь образуются не 01.temp и тд, а в той же system32 - htlrirwr.dll две штуки.При удалении пишет, что один удалёт, тк в нём было только тело вируса, а второй занят каким-то процесом, и удаление будет произведено после перезагрузки. А после перезагрузки они заново оба там объявляются
14.01.2009, 11:16
Гриша

Делайте еще раз логи, такое ощущение что ваша сборка не содержит нужного патча а устанавливать отказывается...
14.01.2009, 11:52
Tatka7

Пока выполнялся скрипт, НОД выдал следущее: 14.01.2009 11:49:06 Защита файловой системы в режиме реального времени файл C:\DOCUME~1\User\LOCALS~1\Temp\avz_4012_raw.tmp модифицированный Win32/Conficker.AE червь очищен удалением - изолирован NT AUTHORITY\SYSTEM Событие произошло в новом файле, созданном следующим приложением: E:\Progr\avz4\avz.exe.
14.01.2009, 12:07
Tatka7

Вложений: 3

Логи
14.01.2009, 12:09
Tatka7

Про сборку не знаю...Скачала с "зеркала".Обновила.
14.01.2009, 12:13
Гриша

Отключите восстановление...

[URL="http://virusinfo.info/showthread.php?t=7239"]AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\htlrirwr.dll');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

2. Скачайте эту программу [url]http://depositfiles.com/files/q3owth16l[/url] и закройте порты

3. Включите Windows firewall

4. Повторите логи...
14.01.2009, 12:24
Tatka7

Что есть "закройте порты" ?
14.01.2009, 12:30
Гриша

Программу запустите и везде где желтое и красное надо сделать зеленым, нажав кнопочки :)
14.01.2009, 12:45
Tatka7

а под Windows firewall имеется в виду Windows брандмауэр?Или нет?
14.01.2009, 12:45
Гриша

Да он самый...
14.01.2009, 13:31
Tatka7

Вложений: 3

Всё сделала.Только в wwdc около пункта NetBIOS will be DISABLED after he next REBOOT желтый треугольник остаётся
14.01.2009, 13:40
Гриша

Как сейчас дела?
14.01.2009, 14:32
Tatka7

Даже не знаю как сказать... сайты открываются, обновление идёт.Это отлично.
А вот то,что комп при включении мин 20 в себя приходил раза 3, потом панель задач висла ещё на столько же, интернет подключался, а страницы ни одна не открывались.Щас вот только получилось.Хотела уже с телефона писать.А пвнель задач так и виснет при включении минут на 10, а потом снова
14.01.2009, 15:01
Гриша

Очистите временные папки, кеш браузера...

Я сделал все для вас, что мог :)
14.01.2009, 15:16
Tatka7

Пасиба большое!
22.02.2009, 09:57
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\all users\\application data\\admin\\svchost.exe - [B]Backdoor.Win32.VB.azp[/B] (DrWEB: Trojan.KeyLogger.3267)[*] c:\\windows\\system32\\htlrirwr.dll - [B]Net-Worm.Win32.Kido.ih[/B] (DrWEB: Win32.HLLW.Shadow.based)[/LIST][/LIST]