Вирус-Перехватчик, AVZ не раб(((

[COLOR=black][FONT=Verdana]Здравствуйте, прошу помочь.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Сегодня заметил сидя на yandex.ru что после ввода искомой фразы и нажатия на кнопку "Найти", браузер переходит на "левую" страницу, вместо того чтобы выдать страницу с результатом запроса от yandex.ru. После этого проверил остальные основные поисковые системы (rambler, google, и др.) и на них тоже самое... после нажатия на кнопку "Поиск" или на кнопку "Найти" в адресной строке появляется адрес вот этого сайта[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana][CODE]http://explorer.bucks.su/index.php?q=%EF%F0%E8%E2%E5%F2[/CODE][/FONT][/COLOR]
[COLOR=black][FONT=Verdana]этот сайт видимо перенаправляет на другие сайты.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]после открываются еще другие сайты, каждый раз новые, но одной тематики, знакомства или порно.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Попробовал остальные браузеры...тоже самое([/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Но тут еще не все...н[/FONT][/COLOR][COLOR=black][FONT=Verdana]е работает [B]AVZ.[/B][/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Запустил [B]AVZ[/B], обновил базы, отключил антивирус(Dr.WEB), отключил Интернет, [/FONT][/COLOR][COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Выбрал [B][FONT=Verdana]Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info[/FONT][/B][/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana][B]AVZ[/B] делает проверку, проверяет все диски, и в самом конце зависает. [/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]в протоколе последние записи [/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana][CODE] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Проверка завершена[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]9. Мастер поиска и устранения проблем[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Проверка завершена[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Просканировано файлов: 320, извлечено из архивов: 0, найдено вредоносных программ 0, подозрений - 0[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Сканирование завершено в 17.04.2009 23:31:16[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Сканирование длилось 00:00:20[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Если у Вас есть подозрение на наличие вирусов или вопросы по заподозренным объектам,[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]то Вы можете обратиться в конференцию - http://virusinfo.info[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Выполняется исследование системы[/FONT][/COLOR]
[COLOR=black][FONT=Verdana][/CODE][/FONT][/COLOR]
[COLOR=black][FONT=Verdana]и на этом месте он зависает, приходиться его убивать через диспетчера задач.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]А когда ставлю на простую проверку, то все нормально работает.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Видимо он зависает в тот самый момент когда записывает [B][FONT=Verdana]логи[/FONT][/B][/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Логов естественно нету, они не успевают появиться, т.к. он зависает.(([/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Возможно он не может их заархивировать или еще что...не пойму.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Прошу помощи. Спасибо.[/FONT][/COLOR]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]

добавил лог от [B]HijackThis[/B]

качайте avz из моей подписи и только с ним делать логи

тоже самое, зависает в том же месте.

В безопасном режиме загрузиться и сделать такой лог : [url]http://virusinfo.info/showthread.php?t=10387[/url]
Также ,можно попробовать скачать avptool [url]http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/[/url] , просканировать все диски, если что найдёт- убить. Затем в нормальном режиме тоже попытаться сделать лог [url]http://avptool.virusinfo.info/ru/AVPTool_manual.htm[/url]

[COLOR=black][FONT=Verdana]Сделал в безопасном режиме.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Пробовал и в обычном режиме, но тоже зависает.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Потом попробовал и снял галочку "Запушенные процессы", и AVZ перестал зависать, могу скинуть лог с нормального режима но без "Запушенные процессы"[/FONT][/COLOR]
[FONT=Times New Roman][SIZE=3] [/SIZE][/FONT]

а что насчёт avptool,нашёл что-нибудь?
Лог от него ?
Выполните скрипт @ avz в нормальном режиме.
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
QuarantineFile('C:\WINDOWS\fd.dll','');
QuarantineFile('C:\Documents and Settings\RWC\Рабочий стол\3612A53C9FAF8238\3612A53C9FAF8238','');
QuarantineFile('C:\WINDOWS\system32\pr2ajaqb.exe','');
QuarantineFile('C:\WINDOWS\system32\Drivers\ps7ajaqb.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\pe3ajaqb.sys','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]
Закачайте карантин по ссылке [COLOR="Red"]Прислать запрошенный карантин[/COLOR] вверху темы (Приложение 3 правил).

Я про тот лог который я получил от [B]AVZ [/B]в нормальном режиме через [B][COLOR=#0000ff]Файл/Исследование системы[/COLOR][/B] , но без галочки "Запушенные процессы", тоесть без сканирования запушенныйх процессов, а когда я ставлю галочку "Запушенные процессы" то [B]AVZ [/B]виснет.

Загрузил этот лог от [B]AVZ,[/B] без запушенныйх процессов.


Скрипт выполнил, карантин прислал.

[B]avptool[/B] скачал но еще не устанавливал, [B]dr WEB[/B] удалить перед этим?


щяс запустил [B]CureIt![/B] на проверку

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
StopService('navigator');
DeleteService('navigator');
DeleteFile('C:\WINDOWS\fd.dll');
BC_ImportDeletedList;
BC_DeleteSvc('navigator');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Попробуйте сделать логи, как написано в правилах.

cureit не имеет особово смысла использовать- у вас же и так drweb.
перед использованием avptool, достаточно отключить ваш основной антивирус на всякий случай ;)

[COLOR=black][FONT=Verdana]Вроде все стало норм, и AVZ заработал :)[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Проверьте пожалуйста логи.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Большое спасибо.[/FONT][/COLOR]

Выполните скрипт:

[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('3612A53C9FAF8238');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DeleteFile('C:\Documents and Settings\RWC\Рабочий стол\3612A53C9FAF8238\3612A53C9FAF8238');
DeleteFile('C:\Documents and Settings\RWC\Рабочий стол\прогссс\прогс6\news\игры\1210526824_herocrafthexxagonlabsv1.rar');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/code]
Повторить лог virusinfo_syscure.zip
P.S. вместо загрузки игр с троянами -заняться нужно обновлением системы и изучением инструкций: [url]http://virusinfo.info/showthread.php?t=30339[/url]

Это не игра с трояном, это игра под Windows Mobile, avz наверное ругается на нее потому что там кряк)

после выполнение скрипта и перезагрузки, вылезло окно с "Мастером нового оборудования" и в [B]диспетчере устройств[/B] появилось неизвестное устройство. Удалился какой то драйвер?

Лог ниже.

авз этим не страдает, а вот трояны в креках очень часто живут, в данном случае он ворует ваши пароли к играм :)

Восстановление системы: включено
[B]Отключить![/B]

Выполните скрипт:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DeleteFile('C:\Documents and Settings\RWC\Рабочий стол\3612A53C9FAF8238\3612A53C9FAF8238');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('3612A53C9FAF8238');
BC_Activate;
ExecuteRepair(1);
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
[B]spha.sys[/B] поискать по второму пункту правил, сомневаюсь что он на диске, но всё же поищите :)
сделайте лог gmer. ( [url]http://virusinfo.info/showthread.php?t=40118[/url] )

удалите наконец bonjour, на виндоус он вам нужен как мёртвому припарки.

[B]AVZ [/B]снова перестал работать, удалил снова этот navigator через старый [FONT=Verdana][B]скрипт[/B][/FONT], все заработало, перезагрузился, вроде не появился снова.
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana][QUOTE]удалите наконец bonjour, на виндоус он вам нужен как мёртвому припарки.[/QUOTE][/FONT][/COLOR]
[COLOR=black][FONT=Verdana]извините, что за bonjour? и где он есть?))[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[B]spha.sys- [/B]не нашел.
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]сделал лог в [B][FONT=Verdana]gmer.[/FONT][/B][/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]"Мастер нового оборудования" так все и выскакивает, и еще... после выполнения скрипта, в проводнике, в моем компьютере под DVD-ROM'ами появилось надпись [B][FONT=Verdana]веб-папки.[/FONT][/B][/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Скидываю лог [FONT=Verdana][B]gmer. [/B][/FONT]и новые логи от [B][FONT=Verdana]AVZ[/FONT][/B][/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]

интересный лог gmer, надо на всякий случай деинсталировать ваш эмулятор дисков чтобы не отвлекал.
Похоже, какой-то свежий руткит у вас :) надо скопировать нам его, чтобы иметь возможность бороться в будущем.

Собственно интересуют несколько файлов:
System32\Drivers\ah8favu2.SYS
\Device\__max++>\A2EC18DF.dll

gmer позволяет вам их скопировать?
Можно попробовать в avz поискать по второму пункту приложения правил.
Также, можно попробовать icesword, там есть поиск по диску с возможностью копирования. [url]http://rapidshare.com/files/133061044/IceSword122en.zip.html[/url]
в отличии от avz, нужно запаковать файлы в zip с паролем [B]virus[/B] самому

[code]"Мастер нового оборудования" так все и выскакивает, и еще... после выполнения скрипта, в проводнике, в моем компьютере под DVD-ROM'ами появилось надпись веб-папки.[/code]
это известный побочный эффект, исправим.
не отвлекайтесь :)


P.S. c:\program files\bonjour\mdnsresponder.exe - bonjour у вас в компьютере ;)
у себя давно удалил.

Он пропал.

щяс запустил [B]Gmer,[/B] просканировал.Красным выделилось только

[COLOR=red]Service C:\Documents and Settings\RWC\??????? ????\F5F474F8C608F9D0\F5F474F8C608F9D0 (***hidden*** ) [AUTO]F5F474F8C608F9D0[/COLOR]

искал [B]System32\Drivers\ah8favu2.SYS[/B] но его нету...сохранил новый [B]лог [/B]и сравнил со старым...и вот что.

старый лог(который я загружал вам ранее)

[CODE]---- Kernel code sections - GMER 1.0.15 ----
? [COLOR=seagreen]sppi.sys[/COLOR] Не удается найти указанный файл. !
.text USBPORT.SYS!DllUnload F715662C 5 Bytes JMP 8650B3E0
.text [COLOR=red]ah8favu2.SYS[/COLOR] F70D0386 35 Bytes [00, 00, 00, 00, 00, 00, 20, ...]
.text [COLOR=red]ah8favu2.SYS[/COLOR] F70D03AA 24 Bytes [00, 00, 00, 00, 00, 00, 00, ...]
.text [COLOR=red]ah8favu2.SYS[/COLOR] F70D03C4 3 Bytes [00, 70, 02] {ADD [EAX+0x2], DH}
.text [COLOR=red]ah8favu2.SYS[/COLOR] F70D03C9 1 Byte [2E]
.text [COLOR=red]ah8favu2.SYS[/COLOR] F70D03C9 11 Bytes [2E, 00, 00, 00, 5A, 02, 00, ...]
.text ...
? C:\Documents and Settings\RWC\Рабочий стол\F5F474F8C608F9D0\F5F474F8C608F9D0 Отказано в доступе.
---- User code sections - GMER 1.0.15 ----
[/CODE]

и

новый лог(который сделал недавно)

[CODE]
---- Kernel code sections - GMER 1.0.15 ----
? [COLOR=seagreen]spvk.sys[/COLOR] Не удается найти указанный файл. !
.text USBPORT.SYS!DllUnload F718D62C 5 Bytes JMP 865D31D8
.text [COLOR=red]axg85z8c.SYS[/COLOR] F7107386 35 Bytes [00, 00, 00, 00, 00, 00, 20, ...]
.text [COLOR=red]axg85z8c.SYS[/COLOR] F71073AA 24 Bytes [00, 00, 00, 00, 00, 00, 00, ...]
.text [COLOR=red]axg85z8c.SYS[/COLOR] F71073C4 3 Bytes [00, 70, 02] {ADD [EAX+0x2], DH}
.text [COLOR=red]axg85z8c.SYS[/COLOR] F71073C9 1 Byte [2E]
.text [COLOR=red]axg85z8c.SYS[/COLOR] F71073C9 11 Bytes [2E, 00, 00, 00, 5A, 02, 00, ...]
.text ...
---- User code sections - GMER 1.0.15 ----

[/CODE]

дак какой файл мне искать?:)

Он меняет имя...или иначе [B]ah8favu2.SYS[/B] нету.Куда он пропал?)

[B]\globalroot\Device\__max++>\A2EC18DF.dll[/B] а этого ваще нету в новом логе от [B]gmer[/B], может [B]gmer[/B] удалил его?

загружу новый лог от [B]gmer[/B]

PS: а может его теперь нету так как я снова удалил [B]navigator[/B], ведь во время сканирования [B]navigator [/B]был еще не удален, я его удалил только после..., когда начал делать логи [B]AVZ[/B]

sp??.sys - это от эмулятора дисков.
ah8favu2.SYS - тоже.
Если удалите главный драйвер эмулятора дисков C:\WINDOWS\System32\Drivers\sptd.sys, то это у Вас пропадет.

[QUOTE]то это у Вас пропадет. [/QUOTE]
что это?:)

да все-же, что делать?

[QUOTE=RWC;389852]что это?:)[/QUOTE]

Драйвера эмулятора, которые меняют имя. Если они Вам мешают или не нужны, можете удалить.

[QUOTE=RWC;389852]да все-же, что делать?[/QUOTE]

Ждать, когда вирлаб ответит по поводу файла 3612A53C9FAF8238 из карантина.

ОК!

а что был за [B]\Device\__max++>\A2EC18DF.dll[/B] ?

[CODE]C:\Documents and Settings\RWC\Рабочий стол\3612A53C9FAF8238\3612A53C9FAF8238 [/CODE]
Trojan-Downloader.Win32.Mutant.cht

пока возможности его удалить нету?

Сделайте новые логи, уже прошло некоторое время, что-то могло измениться, посмотрим.

avptool его уже знает благодаря этой теме, можно попробовать пройтись свежим avptool по дискам, а потом уж логи.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]14[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\rwc\рабочий стол\3612a53c9faf8238\3612a53c9faf8238 - [B]Trojan-Downloader.Win32.Mutant.cht[/B] ( DrWEB: Trojan.MulDrop.31200 )[*] c:\windows\fd.dll - [B]Rootkit.Win32.Small.aaw[/B][/LIST][/LIST]