вирусы, не читает флэшки, программы не запускаются, переустановка невозможна

Printable View

16.04.2009, 20:06
valuy

Вложений: 3

вирусы, не читает флэшки, программы не запускаются, переустановка невозможна

Уважаемые хелперы, помогите, пожалуйста! компьютер подвергся вирусной атаке, после чего в мозиле стали регулярно всплывать окна с порнографией, казино и др. ; перестали запускаться многие программы (неро, тотал коммандер и др.); система не распознает флэшки; невозможно переустановить виндоуз, запуститься с виндоуз РЕ; антивирус не запускается(сообщается, что обнаружена ошибка и приложение будет закрыто); зайти на сайт д-ра веба или Ваш сайт тоже не получается (сообщается, что мозила не может обнаружить сайт). Все попытки пролечиться в безопасном режиме с помощью куреит и AVZ ни к чему не приводят, - все проблемы остаются без изменений. Я осуществил в строгой последовательности все Ваши рекомендации, результаты высылаю. Помогите, пожалуйста![PHP][/PHP]
16.04.2009, 22:35
Aleksandra

[QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/QUOTE]
Пришлите нам файл avz.exe в архиве с паролем "virus" по красной ссылке вверху темы, у вас файловый вирус...
16.04.2009, 23:15
valuy

файловы вирус

Извините, но я не понял: мне нужно найти файл avz.exe, поместить его в архив с паролем "вирус" и послать Вам? А на какой адрес послать? На какую красную ссылку? И где мне искать файл avz.exe? Есть только антивирусная утилита avz, - это оно?
16.04.2009, 23:20
Aleksandra

[QUOTE=valuy;388586]Извините, но я не понял: мне нужно найти файл avz.exe, поместить его в архив с паролем "вирус" и послать Вам?[/QUOTE]
Да.

[QUOTE=valuy;388586]А на какой адрес послать? На какую красную ссылку?[/QUOTE]
Вверху темы есть ссылка.
16.04.2009, 23:40
valuy

Спасибо! Вроде отправил.
17.04.2009, 00:06
Aleksandra

У Вас вирус [COLOR=Black][B]Virus.Win32.Virut.ce.[/B][/COLOR]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Лечитесь так [url]http://virusinfo.info/showpost.php?p=368475&postcount=35[/url]

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

После завершения работы сканера, прикрепите сюда лог работы программы c:\vba32.rpt, а также сделайте полный комплект логов по правилам.
17.04.2009, 00:11
valuy

А где скачать Vba32Check.exe?
17.04.2009, 00:15
Aleksandra

Ссылка у меня в подписи.

[B][COLOR=Red]Скачивать, распаковывать и записывать на болванку только на чистой машине! Восстановление системы обязательно отключить![/COLOR][/B]
17.04.2009, 00:23
valuy

Это файл или архив? Что именно скачивать vba32 AntiRootkit (это зип архив) или Vba32 (файл exe)?
17.04.2009, 00:35
Aleksandra

[url]ftp://vba.ok.by/vba/Vba32Check.exe[/url]

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Еще альтернативная ссылка [url]ftp://anti-virus.by/pub/Vba32Check.exe[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE=valuy;388611]Это файл или архив?[/QUOTE]
Самораспаковывающийся архив.
17.04.2009, 01:16
valuy

Извините за вопрос, а инет надо выключать во время сканирования вба?

[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]

Я извлек архив на рабочий стол.

[size="1"][color="#666686"][B][I]Добавлено через 16 минут[/I][/B][/color][/size]

А где потом искать лог работы программы? Дело в том, что на диске С и в папках программы я файл с расширением rpt не нашел:(
17.04.2009, 01:34
Aleksandra

[QUOTE=valuy;388621]Я извлек архив на рабочий стол.:([/QUOTE]
Вы скачивали программу на зараженной машине и извлекли ее на рабочий стол? Если так, то Вы очень непонятливый.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Зараженную машину выключите до тех пор, пока не будет готов диск со сканером.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[COLOR=Red]Еще раз все внимательно прочитайте и пройдите по ссылке[/COLOR] [url]http://virusinfo.info/showpost.php?p=368475&postcount=35[/url]

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Если опять что-то не поняли, то лучше спрашивайте.
17.04.2009, 01:37
valuy

Нет, ни в коем случае! У меня есть не зараженная машина (мас), с которой я Вам и отправляю все сообщения и с которой я закачал программу (на зараженном компе Ваш сайт блокируется, как и большинство программ тоже, поэтому ничего записать нельзя). Просто я не могу ничего понять в работе сканера: при запуске с диска меня попросила система указать место для извлечения, я указал рабочий стол; в самой же программе вба много непонятных файлов, я запустил некоторые с экзе расширением, но где искать лог файл работы программы сканера я не могу понять:(
17.04.2009, 01:49
Aleksandra

Приношу Вам свои извинения! Антивирус VBA32 не знает этого вируса. Сканер не удаляйте, он еще может пригодиться. Его можно обновлять.

Придется использовать CureIt от Dr.Web. Лечитесь так [url]http://virusinfo.info/showthread.php?t=15927[/url]
17.04.2009, 02:43
valuy

Значит задача "После завершения работы сканера, прикрепите сюда лог работы программы c:\vba32.rpt, а также сделайте полный комплект логов по правилам." снимается и я лечусь куреитом по правилам вирусинфо?

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

Хочу также дополнить для более точного диагноза, что попытка запустить комп с Dr.Web LiveCD ни к чему не приводит, компьютер не запускается (виндоуз сообщает об ошибке)

Уважаемые хэлперы, помогите! Лечение куреитом не помогает (скачал свежий куреит на не зараженном компе, записал на болванку, выполнил все рекомендации, кроме отправки вирусного файла в лабораторию д-ра вэба, ибо куреит зараженные файлы сказывает, что исцелил или удалил), записать на болванку livecd нет смысл, т.к. комп все равно не загружается с диска :( Что делать? Вба не знает даже такого вируса!
17.04.2009, 23:43
Rene-gad

[QUOTE=valuy;388650]Лечение куреитом не помогает[/QUOTE]Попробуйте AVPTool. Что Вы еще можете предложить? И почему невозможно переустановить Виндовс - я так и не понял, сорри...
18.04.2009, 00:05
valuy

Я сделал изменения в биос о загрузке с CD-roma, но при попытке начать загрузку комп "виснит", в левом верхнем углу мигает курсор, а после нажатия enter появляется сообщение: "не удается запустить windows из-за испорченного или отсутствующего файла <windows root>\system32\hal.dll Установите заново копию указанного выше файла"
18.04.2009, 19:19
Aleksandra

[QUOTE=valuy;388650]Что делать? Вба не знает даже такого вируса![/QUOTE]
Уже знает (детектит как [B]Virus.Win32.Virut.X5[/B]) и лечит.

1. Vba32Check.exe разархивируйте на диск.

2. Обновите базы сканера (в папке Vba32Check\vba32w найдите файл update.bat и запустите его).

3. После обновления всю папку Vba32Check запишите на болванку.

[COLOR=Red]Все это делать на здоровой машине![/COLOR]

На зараженной машине вставьте диск со сканером:

4. Пуск -> Выполнить -> cmd

5. Перейдите на cd-диск командой имя диска и двоеточие. (у меня будет так e:).

6. Перейдите в папку сканера cd Vba32Check\vba32w

7. Наберите vba32w.exe /mr=2/as=2/bt-/af/rw/sfx/ar/ha=2/fc/fd/ic/nc/r="c:\vba32.rpt"/qi+"c:\ainfected"/qs+"c:\asuspicted" *:

и нажмите Enter.

8. После проверки прикрепите лог работы программы (файл c:\vba32.rpt) и сделайте полный комплект логов по правилам.
18.04.2009, 20:05
valuy

Уважаемая Alexandra! Ничего не получается :( Записать и разархивировать диск, с учетом обновления баз невозможно! У меня есть только мас и зараженный комп. Мне очень подозрительно действия вба, ибо кроме 5-и часов проверки в зависнутом режиме никакого эффекта не наблюдается :(
18.04.2009, 21:16
Aleksandra

[QUOTE=valuy;389377]Записать и разархивировать диск, с учетом обновления баз невозможно![/QUOTE]
Нужно найти возможность проделать то, что я Вам написала.
19.04.2009, 00:12
valuy

Вложений: 3

Ясно :(

Уважаемая Aleksandra! Ничего не получается :( Мне было написано, что
" vba32w.exe" не является внутренней или внешней командой, исполняемой программой или пакетным файлом :((

Все равно это бестолку все. Нужно хоть как-нибудь хотя бы восстановить мне загрузку с диска6 чтобы я смог нормально пролечиться с помощью LiveCD, чего-либо еще или хотя бы переустановить Винду. Думается, что это более реально, чем всякие там заморочки типа:
"Наберите vba32w.exe /mr=2/as=2/...." Извините, но подобная абракадабра мне совершенно не понятна :(

В последнее время поражение моего компьютера стало натолько угрожающим, что уже проверка свежим куреитом (скаченном на незараженным компом и закаченным на болванку) в безопасном режиме ничего не дает (вирусов не найдено). Все проблемы остаются те же, а вирусов не обнаружено ;(

Ура! Вроде бы получилось запустить Vba по Вашей инструкции! Вы уж простите ворчание пациента недовольного:) Уже стоко троянов нашлось! Ни конца нет, ни краю проверке...

Уважаемые хэлперы, помогите! После проведения указанной выше проверки вообще что-либо перестало работать: интернет не запускается, все программы тоже, компьютер периодически самопроизвольно перезагружается, флэшки не видит:( ПОМОГИТЕ!!!

Вот логи, что мне удалось сделать в результате проверки и закачать на болванку в первые минуты работы компа (дальше комп перезагружается или перестает видеть программы "недостаточно системных ресурсов для завершения операции").

И еще vba.rpt
22.04.2009, 17:36
Rene-gad

ThunMail - это у Вас Thunderbird?

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('sni51ae');
StopService('rmh71f1');
StopService('rmh3fc9');
StopService('restore');
StopService('qlg0094');
StopService('oje4d4a');
StopService('ids50b4');
StopService('f358c916');
StopService('eto7fb8');
StopService('bqldec9');
StopService('bqlcd35');
StopService('apkc49c');
QuarantineFile('c:\winxp\system32\userinit.exe','');
QuarantineFile('C:\WINXP\System32\drivers\sni51ae.sys','');
QuarantineFile('C:\WINXP\System32\drivers\rmh71f1.sys','');
QuarantineFile('C:\WINXP\System32\drivers\rmh3fc9.sys','');
QuarantineFile('C:\WINXP\System32\drivers\qlg0094.sys','');
QuarantineFile('C:\WINXP\System32\drivers\oje4d4a.sys','');
QuarantineFile('C:\WINXP\System32\drivers\ids50b4.sys','');
QuarantineFile('C:\WINXP\System32\drivers\f358c916.sys','');
QuarantineFile('C:\WINXP\System32\drivers\eto7fb8.sys','');
QuarantineFile('C:\WINXP\System32\drivers\d3dc553.sys','');
QuarantineFile('C:\WINXP\System32\drivers\bqldec9.sys','');
QuarantineFile('C:\WINXP\System32\drivers\bqlcd35.sys','');
QuarantineFile('C:\WINXP\System32\drivers\apkc49c.sys','');
QuarantineFile('c:\program Files\ThunMail\testabd.exe','');
QuarantineFile('c:\progra~1\ThunMail\testabd.dll','');
QuarantineFile('C:\Documents and Settings\валентин\reader_s.exe','');
DeleteService('sni51ae');
DeleteService('rmh71f1');
DeleteService('rmh3fc9');
DeleteService('restore');
DeleteService('qlg0094');
DeleteService('oje4d4a');
DeleteService('ids50b4');
DeleteService('f358c916');
DeleteService('eto7fb8');
DeleteService('bqldec9');
DeleteService('bqlcd35');
DeleteService('apkc49c');
DeleteFile('C:\WINXP\System32\drivers\sni51ae.sys');
DeleteFile('C:\WINXP\System32\drivers\rmh71f1.sys');
DeleteFile('C:\WINXP\System32\drivers\rmh3fc9.sys');
DeleteFile('C:\WINXP\system32\drivers\restore.sys');
DeleteFile('C:\WINXP\System32\drivers\qlg0094.sys');
DeleteFile('C:\WINXP\System32\drivers\oje4d4a.sys');
DeleteFile('C:\WINXP\System32\drivers\ids50b4.sys');
DeleteFile('C:\WINXP\System32\drivers\f358c916.sys');
DeleteFile('C:\WINXP\System32\drivers\eto7fb8.sys');
DeleteFile('C:\WINXP\System32\drivers\d3dc553.sys');
DeleteFile('C:\WINXP\System32\drivers\bqldec9.sys');
DeleteFile('C:\WINXP\System32\drivers\bqlcd35.sys');
DeleteFile('C:\WINXP\System32\drivers\apkc49c.sys');
DeleteFile('c:\program Files\ThunMail\testabd.exe');
DeleteFile('C:\Program Files\AskBarDis\bar\bin\askBar.dll');
DeleteFile('c:\progra~1\ThunMail\testabd.dll');
DeleteFile('C:\Documents and Settings\валентин\reader_s.exe');
DelBHO('{3041d03e-fd4b-44e0-b742-2d9b88305f98}');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('sni51ae');
BC_DeleteSvc('rmh71f1');
BC_DeleteSvc('rmh3fc9');
BC_DeleteSvc('restore');
BC_DeleteSvc('qlg0094');
BC_DeleteSvc('oje4d4a');
BC_DeleteSvc('ids50b4');
BC_DeleteSvc('f358c916');
BC_DeleteSvc('eto7fb8');
BC_DeleteSvc('bqldec9');
BC_DeleteSvc('bqlcd35');
BC_DeleteSvc('apkc49c');
executerepair(1);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
23.04.2009, 01:25
valuy

Вложений: 3

Проделал проверку строго по указанному Вами плану. Результаты высылаю. Хочу заметить, что при выключенном интернете скорость работы антивирусаи др. операций моего компа заметно возросла. В тоже время после проверки так же не работает интернет и не запускаются многие программы. Хорошо еще, что у меня пока есть возможность закатать на болванку результаты проверки (через неро старт смарт, а экспресс и др. е работают), есть роутер и МАС, а то совсем кисло было бы :)
24.04.2009, 20:03
Rene-gad

Меня не покидает чувство, что с Вами я возвращаюсь в годы моей молодости: ОпенОффис - 1я версия, базы АВЗ - годичной давности....Обновите вручную, если интернет не работает: [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url] скачать и распаковать в папку ..\\avz\base\

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('d3dc553');
QuarantineFile('C:\WINXP\System32\drivers\d3dc553.sys','');
DeleteFile('C:\WINXP\System32\drivers\d3dc553.sys');
DeleteService('d3dc553');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('3dc553');
executerepair(2);
executerepair(3);
executerepair(4);
executerepair(5);
executerepair(6);
executerepair(8);
executerepair(9);
executerepair(11);
executerepair(16);
executerepair(17);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
24.04.2009, 23:56
valuy

Да, да :) Я пользуюсь опенофис орг :) У меня есть, конечно, последний ворд, но я предпочитаю старые, проверенные временем программы и игры! Спасибо, что ответили, а то я уж совсем отчаялся и подумал, что я безнадежный...
25.04.2009, 00:20
Rene-gad

[QUOTE=valuy;392558] Я пользуюсь опенофис орг :)[/QUOTE] Я тоже, но версией [SIZE="4"]3[/SIZE]. Старые версии софта ни что иное, как открытые ворота для инфекции.
И логи в студию, плиз.
29.04.2009, 20:15
valuy

Вложений: 3

Извините за столь долгое молчание. Наконец высылаю логи. Компьютер по-прежнему "глючит", нужно целое искусство, чтобы его хотя бы включить нормально.
29.04.2009, 20:30
Rene-gad

[QUOTE]Internet Explorer v6.00 SP3 (6.00.2900.5512)
Kaspersky Anti-Virus 7.0
OpenOffice.org 1.1.2[/QUOTE]
Софт обновить, в противном случае я не вижу смысла, помогать Вам...

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.
-[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL]
[CODE]O9 - Extra button: SmartShopper - Compare product prices - {3CC3D8FE-F0E0-4dd1-A69A-8C56BCC7BEBF} - C:\Program Files\Smart-Shopper\Bin\2.5.1\Smrt-Shpr.dll
O9 - Extra button: SmartShopper - Compare travel rates - {3CC3D8FE-F0E0-4dd1-A69A-8C56BCC7BEC0} - C:\Program Files\Smart-Shopper\Bin\2.5.1\Smrt-Shpr.dll
[/CODE]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINXP\system32\dllcache\ndis.sys','');
QuarantineFile('C:\WINXP\system32\drivers\ovfsthjiapepjiuovpdsxsbnxmamwfvvhvenik.sys','');
QuarantineFile('c:\winxp\system32\userinit.exe','');
DeleteFile('C:\WINXP\system32\drivers\ovfsthjiapepjiuovpdsxsbnxmamwfvvhvenik.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:

- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторные логи
[b]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log [/b]
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите логи к новому сообщению.
30.04.2009, 02:45
valuy

Вложений: 4

Все проделал в точности, как Вы и сказали. В папке программы HiJackThis появилась папка backups, которую я зазиповал. Результаты высылаю. Я удалю офисорг и другие старые программы, тем более, что у меня есть новый Офис. Интернет у меня также не работает: при включенном антивирусе пишется, что ресурсов не хватает для завершения операции, а при выключенном антивирусе, заявляется, что Firefox не может отобразить страницу, т.е. не находит ничего, как-будто нет интернета :( Программы по прежнему не запускаются.
01.05.2009, 02:45
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]56[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \avz.exe - [B]Virus.Win32.Virut.ce[/B] ( DrWEB: Win32.Virut.56, BitDefender: Win32.Virtob.Gen.12 )[*] c:\ainfected\c\ainfected\c\winxp\system32\drivers\ndis.sys - [B]Virus.Win32.Protector.a[/B] ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )[*] c:\ainfected\c\documents and settings\администратор.a6961b7626dd4ef\doctorweb\quarantine\kuku.exe - [B]Trojan.Win32.VB.npm[/B] ( DrWEB: archive: Trojan.DownLoad.35111, BitDefender: Trojan.Generic.1623261 )[*] c:\ainfected\c\documents and settings\администратор.a6961b7626dd4ef\doctorweb\quarantine\vrt3a.tmp - [B]Packed.Win32.Koblu.b[/B] ( DrWEB: archive: Trojan.DownLoad.33859, BitDefender: Trojan.Refpron.S )[*] c:\ainfected\c\winxp\system32\dpcxool64.sys - [B]Trojan.Win32.VB.npm[/B] ( DrWEB: Trojan.Click.25855 )[*] c:\documents and settings\администратор.a6961b7626dd4ef\doctorweb\quarantine\kuku.exe - [B]Trojan.Win32.VB.npm[/B] ( DrWEB: archive: Trojan.DownLoad.35111, BitDefender: Trojan.Generic.1623261 )[*] c:\winxp\system32\dllcache\ndis.sys - [B]Virus.Win32.Protector.a[/B] ( DrWEB: Trojan.NtRootKit.2670, BitDefender: Trojan.Kobcka.HN )[*] c:\winxp\system32\drivers\ovfsthjiapepjiuovpdsxsbnxmamwfvvhvenik.sys - [B]Trojan.Win32.Tdss.zks[/B] ( DrWEB: BackDoor.Tdss.115 )[/LIST][/LIST]