Win32.HLLW.Autoruner.5555

Printable View

30.01.2009, 22:35
Д.М.

Вложений: 3

Win32.HLLW.Autoruner.5555

Здравствуйте, прошу о помощи, так как мои средства борьбы иссякли: сканировал NOD 32 и Dr. Web с последними базами, плюс вебовский Cureit. Не помогло. Сейчас стоит Dr. Web, систематически выдающий сообщение Win32.HLLW.Autoruner.5555. Жму удалить - без возражений исчезает, но ненадолго. При сканировании системы этот вирус не обнаруживает (хотя раньше видел его), но находит Trojan.Blackmailer.origin. На практике после определенного периода работы перестает загружаться ярлык запуска интернета и отключается брэндмауэр (во всяком случае через панель управления его состояние посмотреть не могу, пишет, что служба брэндмауэра не запущена). Может вся эта вода окажется полезной в решении моей проблемы. Надеюсь, жду....
30.01.2009, 22:43
Зайцев Олег

Базы AVZ следует обновить и повториь логи. Кроме того, на ПК есть расшаренные папки ?
30.01.2009, 22:43
V_Bond

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{95289393-33EA-4F8D-B952-483415B9C955}');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll','');
QuarantineFile('avi32.dll','');
DeleteFile('avi32.dll');
DeleteFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
ExecuteRepair(11);
ExecuteRepair(17);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
30.01.2009, 23:34
Д.М.

Вложений: 2

За логи простите, вот новые, расшаренные папки на ПК есть, еще по поводу сети... Вместе, с отказом ярлыка инета, отключается соответственоо и сам интернет, а еще мой файлобменник FlylinkDC++ сильно теряет скорость! Все это не сразу, а после какого-то периода работы.
30.01.2009, 23:50
Aleksandra

Скачайте [URL="http://www.gmer.net/gmer.zip"]Gmer.[/URL] Запустите программу. После автоматической экспресс-проверки, отметьте галочкой все жесткие диски и нажмите на кнопку "Scan". После окончания проверки сохраните его лог (нажмите на кнопку Save) под каким хотите именем, например Gmer.log и прикрепите лог сюда.
31.01.2009, 00:05
Д.М.

Вложений: 1

Вот, что получилось...
31.01.2009, 00:27
Aleksandra

[quote=Д.М.;342005]Вот, что получилось...[/quote]
Очень хорошо. Минуточку подождите...

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[code]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('kxolounz');
DelBHO('{95289393-33EA-4F8D-B952-483415B9C955}');
QuarantineFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll','');
QuarantineFile('C:\WINDOWS\system32\rbbib.dll','');
DeleteFile('C:\Documents and Settings\Пользователь\Application Data\Microsoft\Internet Explorer\qipsearchbar.dll');
DeleteFile('C:\WINDOWS\system32\drivers\jmeoqn.sys');
DeleteFile('C:\WINDOWS\system32\rbbib.dll');
RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\kxolounz','Description');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\kxolounz');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_DeleteSvc('abp470n5');
BC_DeleteSvc('kxolounz');
BC_Activate;
RebootWindows(true);
end.[/code]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/showthread.php?t=1235"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=38622[/URL]

3. Повторите лог Gmer.
31.01.2009, 00:48
Д.М.

Вложений: 1

Досадно, карантин выслал с именем "virus1", а не так как диктуют правила. Могу переслать, если надо.
31.01.2009, 00:56
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[code]begin
DeleteService('kxolounz');
RegKeyParamDel('HKLM','SYSTEM\CurrentControlSet\Services\kxolounz','Description');
RegKeyDel('HKLM','SYSTEM\CurrentControlSet\Services\kxolounz');
BC_DeleteSvc('kxolounz');
BC_Activate;
RebootWindows(true);
end.[/code]После выполнения скрипта компьютер перезагрузится!

3. Повторите лог Gmer.
31.01.2009, 01:13
Д.М.

Вложений: 1

Сделал
31.01.2009, 01:16
Гриша

Пролечитесь [url]http://www.kaspersky.ru/support/wks6mp3/error?qid=208636215[/url] и повторите лог gmer...
31.01.2009, 01:25
Aleksandra

Очень хорошо! Минуточку подождите...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

1. В regedit дайте "Полный доступ" администратору на эти ветки

[quote]HKLM\SYSTEM\CurrentControlSet\Services\kxolounz
HKLM\SYSTEM\ControlSet003\Services\kxolounz[/quote]обновите содержимое по F5 и удалите все ключи, которые ссылаются на kxolounz...

Тоже самое на

[quote]HKLM\SYSTEM\ControlSet001\Services\fdqtce[/quote]обновите содержимое по F5 и удалите все ключи, которые ссылаются на fdqtce...

2. Повторите лог Gmer.
31.01.2009, 01:41
Д.М.

Вложений: 1

[quote=Гриша;342034]Пролечитесь [URL]http://www.kaspersky.ru/support/wks6mp3/error?qid=208636215[/URL] и повторите лог gmer...[/quote]
При сканировании с помощью утилиты выдавал ошибку открытия какого-то файла, подумал и продолжил. Вот лог...
31.01.2009, 01:43
Д.М.

[quote=Aleksandra;342035]Очень хорошо! Минуточку подождите...

[SIZE=1][COLOR=#666686][B][I]Добавлено через 7 минут[/I][/B][/COLOR][/SIZE]

1. В regedit дайте "Полный доступ" администратору на эти ветки

обновите содержимое по F5 и удалите все ключи, которые ссылаются на kxolounz...

Тоже самое на

обновите содержимое по F5 и удалите все ключи, которые ссылаются на fdqtce...

2. Повторите лог Gmer.[/quote]
Александра, спасибо большое, только я тут забуксую, к своему стыду, не знаю как это делать
31.01.2009, 01:47
Aleksandra

Удалите ключи реестра в regedit.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[quote=Д.М.;342042]Александра, спасибо большое, только я тут забуксую, к своему стыду, не знаю как это делать[/quote]
Пуск, выполнить regedit. Ищите ключи и если что непонятно спрашивайте. Ничего сложного нет.
31.01.2009, 01:54
Д.М.

[quote=Aleksandra;342043]Удалите ключи реестра в regedit.

[SIZE=1][COLOR=#666686][B][I]Добавлено через 3 минуты[/I][/B][/COLOR][/SIZE]

Пуск, выполнить regedit. Ищите ключи и если что непонятно спрашивайте. Ничего сложного нет.[/quote]
Я нашел в реестре папки с названием kxolounz, их удалять?
31.01.2009, 01:59
Aleksandra

По ней правой кнопкой мыши на Разрешения... Дайте полный доступ и удаляйте.
31.01.2009, 02:06
Д.М.

Попробовал все три, не получилось пишет ошибка при удалении раздела, доступ давал
31.01.2009, 02:19
Aleksandra

Вложений: 1

Делали так?
31.01.2009, 02:33
Д.М.

Делал так, но учетная запись у меня system, а не владелец-создатель. А когда галочку ставил напротив полного доступа, автоматически ставилась галочка напротив чтения, во как
31.01.2009, 03:13
pig

[QUOTE=Д.М.;342055]Делал так, но учетная запись у меня system, а не владелец-создатель.[/QUOTE]
SYSTEM - это система, а не вы. Добавьте туда себя и дайте себе любимому полный доступ.

[QUOTE=Д.М.;342055]А когда галочку ставил напротив полного доступа, автоматически ставилась галочка напротив чтения, во как[/QUOTE]
Ну так на то он и полный, чтение тоже включает.
31.01.2009, 03:55
Aleksandra

Это для примера. Нам нужно дать полный доступ Администратору на эту ветку. Щелкните Дополнительно...

[size="1"][color="#666686"][B][I]Добавлено через 37 минут[/I][/B][/color][/size]

Пойдем другим путем.

1. Скачайте [URL="http://rapidshare.com/files/133061044/IceSword122en.zip.html"]IceSword.[/URL] Запустите, слева внизу нажмите Registry, затем найдите ветки:

[quote]HKLM\SYSTEM\CurrentControlSet\Services\kxolounz
HKLM\SYSTEM\ControlSet003\Services\kxolounz [/quote]и удалите все ключи с kxolounz...

Тоже самое на

[quote]HKLM\SYSTEM\ControlSet001\Services\fdqtce[/quote]2. Повторите лог Gmer.
31.01.2009, 09:35
Д.М.

Вложений: 1

Добрый день. Не знаю ключи это или ветки, но я удалил три папочки:
HKLM\SYSTEM\CurrentControlSet\Services\kxolounz
HKLM\SYSTEM\ControlSet003\Services\kxolounz HKLM\SYSTEM\ControlSet001\Services\fdqtce
31.01.2009, 09:49
Aleksandra

Теперь чисто. А с помощью чего удалось сделать?

[COLOR=Red]1. Нужно обязательно поставить заплатки на систему![/COLOR]
2. Повторить логи по [URL="http://virusinfo.info/showthread.php?t=1235"]правилам[/URL] для контроля.
31.01.2009, 09:52
Д.М.

С помощью IceSword122en, администартора и создателя-владельца добавлял, доступ открывал, но удалить не получалось. А какие мне нужно поставить заплатки и где их взять?
31.01.2009, 10:09
Aleksandra

Прочитайте тему [url]http://virusinfo.info/showthread.php?t=37191[/url] там сказано.
31.01.2009, 16:44
Д.М.

Вложений: 3

Я обновил Windows, сделал логи, посмотрите пожалуйста
31.01.2009, 18:41
Д.М.

Вложений: 1

Вдруг пригодится
01.02.2009, 00:36
Гриша

В логах чисто, установите SP3+all updates...
02.02.2009, 00:36
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]