Проявился Win32.HLLW.Autoruner.5555 (он же Kido)

Printable View

15.04.2009, 02:17
Vadyanoi

Вложений: 3

Проявился Win32.HLLW.Autoruner.5555 (он же Kido)

Здравствуйте! Опять возникла проблема с вирусом, и теперь уже точно знаю к кому обращаться (...и всем, кстати рекомендую).
Вчера вечером во время работы в Инете, обратил внимание, что исходящий траффик превосходит входящий, сразу понял, что "попался". И точно жена призналась, что письмо открывала с вложением , якобы с сайта "Жди меня". Антивирус не стоял... Загрузил CureIt!, 24 часа сканировал, я думал сил не хватит... понял что "5555- Kido" добрался до меня. Всё сделал, как написано в правилах. Была только одна проблема, в Avz до обновления баз была абракадабра в меню написана, потом всё нормализовалось.
Высылаю логи, и с нетерпением жду ответа. Заранее, благодарю.
15.04.2009, 05:40
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('L:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe','');
DeleteFile('L:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Virtual Memory Protector');
BC_Activate;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/showthread.php?t=1235"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=43856[/URL]

3. Повторите логи.

4. Сделайте лог Gmer [url]http://virusinfo.info/showthread.php?t=40118[/url]
16.04.2009, 02:36
Vadyanoi

Вложений: 4

Спасибо за ответ. Скрипт выполнил, карантин тоже отправил. Вот требуемые логи. Жду дальнейших указаний...
16.04.2009, 05:17
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\helper.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/showthread.php?t=1235"]правил.[/URL]
Загружать по ссылке: [url]http://virusinfo.info/upload_virus.php?tid=43856[/url]

3. Повторите лог [B]virusinfo_syscheck.[/B]
16.04.2009, 22:09
Vadyanoi

Вложений: 1

Здравствуйте, карантин вроде бы отправил, (наверное на ту же тему, в ссылке не отобразилась).
Скрипт выполнил, единственное отключил Dr. Web (самозащиту), который установлен, но не заметил, что работает Guard, он опять выловил вирус "5555", отключил его. Теперь не знаю, может повторить все шаги с выключенным Guardом?
С нетерпением ожидаю у компа ответа.
16.04.2009, 22:25
Aleksandra

Ничего зловредного в логах нет.
16.04.2009, 23:28
Vadyanoi

Получается, что можно работать?
Подскажите, пожалуйста, такой вопрос , если комп у меня подключен к домашней сети локальной (около 2000 пользователей), достаточно ли установленного теперь Dr. Weba, и по Вашему мнению необходимо ли устанавливать Firewall? Если Да - то какой порекомендуете?
Спасибо за помощь (реальную и толковую).
22.04.2009, 00:14
Vadyanoi

Ну вот, не стал писать во время и сразу после праздников... Только мне ответили, что комп чист. Сразу отключил сетевой кабель, сделал образ диска "С" Акронисом, на всякий случай пока комп чист...и! вновь, эти 5555 вылезли на диске "С"... хорошо хоть Web его ловит, периодически эта ситуация повторяется. Значит не так уж хорошо и полечился, хотя вроде всё, как в правилах делал?(
Подскажите что делать вновь?
22.04.2009, 02:16
pig

Логи, наверное.
24.04.2009, 23:22
Vadyanoi

Вложений: 3

Было много работы, поэтому долго не мог прислать логи. За это время, комп раз в час полтора находит вирус в 2 папках и Dr. Web без проблем его удаляет. Сейчас делал логи без входа в локальную сеть, Инет включал по беспарольнику...
Надеюсь на помощь. Заранее благодарю.
24.04.2009, 23:36
Aleksandra

Сделайте лог Gmer [url]http://virusinfo.info/showthread.php?t=40118[/url]
25.04.2009, 22:57
Vadyanoi

Вложений: 1

Высылаю лог. Очень хочется скорее решить проблему, потому что по беспарольному доступу скорость, ну просто ужасная, а сеть ещё не включал, во время создания логов.
26.04.2009, 00:41
Vadyanoi

Дополнение: во время работы в Инете сегодня раза три комп зависал при открытии страницы. Ctrl Alt Delete не помогали, приходилось перезагружать комп на системном блоке. Это вирусная активность?
26.04.2009, 23:16
Vadyanoi

Читал, что в случае суточного отсутствия ответа, желательно повторить сообщение, может его просто не заметили.
И вот... вновь жду помощи...
26.04.2009, 23:39
Aleksandra

В логе Gmer чисто.

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ExecuteAVUpdate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]Повторите логи...
28.04.2009, 16:53
Vadyanoi

Вложений: 3

Скрипт выполнил. Выкладываю логи.
Пока работаю по беспарольному инету без сети вроде проблем нет. Вирус не выскакивает и пока комп не зависал...
28.04.2009, 19:48
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\drivers\OURRVORQ.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('OURRVORQ');
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Повторите лог [B]virusinfo_syscheck.[/B]
28.04.2009, 23:40
Vadyanoi

Вложений: 1

Высылаю необходимый лог. Заранее благодарю за помощь.
28.04.2009, 23:55
Aleksandra

Ничего зловредного в логах нет. Что с проблемами?
29.04.2009, 00:34
Vadyanoi

Вроде бы после выполнения логов и скриптов Internet Explorer больше не зависал так, что ни туда, ни сюда. Правда, и в Инете я специально долго не сидел, сейчас конечно сделаю образ диска Акронисом.
Вот только хотел бы действительно выслушать совет, по файерволу. Дело в том, что никогда им не пользовался, думаю какой ставить. Понимаю, что вероятнее всего проблема в домашней локальной сети, где очень много пользователей, уже две недели в ней не был, но надо кабель подключить, ибо там скорость Инета значительно выше, да и файлообменник необходим.
Надеюсь на совет, спасибо за помощь в лечении.
30.04.2009, 00:34
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]