Не запускается AVP. Вероятно заражение.

При очередной перезагрузке компьютера, перестал загружаться AVP.
Переименовать avp.exe не удается. Нет доступа. Так-же не запускается regedit.
Восстанавливал, удалял и устанавливал AVP. Ничего. avz.exe тож запускается только после переименования.

Сделал все по [URL="http://forum.kaspersky.com/index.php?showtopic=82540"]Правилам лечения[/URL]

Вот лог:
[ATTACH]133849[/ATTACH]

Вот то, что было изображено во время проверки.
[ATTACH]133850[/ATTACH]

Вот протокол AVZ
[ATTACH]133851[/ATTACH]

Помогите пожалуйста.

Да, параллельно. Не так существенно, но все-же.
После установки KAV 2009 компьютер при выключении/перезагрузке не выключеется/перегружается, а выпадает в синий экран. При удалении KAV 2009, все возвращается на свои места. Как побороть?

Закройте все программы.
Выполните в AVPTool скрипт:
[code]
begin
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
QuarantineFile('C:\WINDOWS\system32\digiwet.dll','');
BC_DeleteSvc('ethxegii');
QuarantineFile('C:\WINDOWS\system32\drivers\ethxegii.sys','');
CreateQurantineArchive('C:\quarantine.zip');
DeleteFile('C:\WINDOWS\system32\drivers\ethxegii.sys');
DeleteFile('C:\WINDOWS\system32\digiwet.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Загрузите файл C:\quarantine.zip, используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color] верху этой темы.
Сделайте новый файл исследования системы.

Что на синем экране написано?

Результат загрузки
Файл сохранён как 090525_134151_quarantine_4a1a67df713bf.zip
Размер файла 130638
MD5 696e8fd43d6255c63a67020c4448481c

Файл закачан, спасибо!

======================================

А в синий при при выключении/перезагрузке выпадает система с таким сообщением:

IRQL_NOT_LESS_OR_EQUAL

bla-bla

Technical information
xxx STOP:
0x0000000A (0x000000B0, 0x00000002, 0x00000000, 0x804EE381)

[QUOTE=AlexUseAVP;406730]
А в синий при при выключении/перезагрузке выпадает система с таким сообщением:
IRQL_NOT_LESS_OR_EQUAL
Technical information
xxx STOP:
0x0000000A (0x000000B0, 0x00000002, 0x00000000, 0x804EE381)[/QUOTE]Тут почитайте: [url]http://support.microsoft.com/?scid=kb%3Bru%3B314063&x=6&y=14[/url]
И сделайте повторные логи.

Новые файлы сбора инфо:

Лог:
[ATTACH]133936[/ATTACH]

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Антивирус и Файрвол.
- Системное восстановление.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('digiwet.dll','');
QuarantineFile('C:\WINDOWS\System32\drivers\9c25de21.sys','');
DeleteFile('C:\WINDOWS\System32\drivers\9c25de21.sys');
DeleteFile('digiwet.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Удалите [URL="http://virusinfo.info/showthread.php?t=27923"]Bonjour[/URL]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным [B]только Internet Explorer[/B]. Если он не запущен - запустите!!!
- Сделайте повторный лог
- Включите Антвирус и Файрволл
- Подключите ПК к интернету/локалке
- Закачайте карантин по ссылке [COLOR="Red"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы (Приложение 3 правил).
- Прикрепите лог к новому сообщению.

[QUOTE=Rene-gad;406734]Тут почитайте: [URL]http://support.microsoft.com/?scid=kb%3Bru%3B314063&x=6&y=14[/URL]
И сделайте повторные логи.[/QUOTE]


Почитал. Цитата:
[I]Проверка программного обеспечения независимых производителей[/I]
[I]Если в системе установлены драйверы или приложения независимых производителей, попробуйте удалить их или отменить автоматическую загрузку, чтобы проверить, не являются ли они причиной возникновения ошибки. Если проблема вызвана программным обеспечением или драйвером, сообщите об этом соответствующему производителю.[/I]

Удаляю AVP - все проходит. Вот я и сообщаю соответствующему производителю.

Мы - не производители а/вируса. Производитель живет на kaspersky.com

[QUOTE=PavelA;406754]Мы - не производители а/вируса. Производитель живет на kaspersky.com[/QUOTE]

Т.е. с синим экраном вы мне помочь не сможете?
Обращаться на Майкрософт и к Касперскому?

[QUOTE=AlexUseAVP;406761]Обращаться на Майкрософт и к Касперскому?[/QUOTE]
А Necrosoft - то тут причем? [URL="http://www.kaspersky.ru/support"]Техподдержка Касперского[/URL]. Может у Вас старый антивирус не до конца удален, может несовместимость с чем-то: [url]http://support.kaspersky.ru/kis2009/install?qid=208636021[/url]

[QUOTE=Rene-gad;406783]А Necrosoft - то тут причем? [URL="http://www.kaspersky.ru/support"]Техподдержка Касперского[/URL]. Может у Вас старый антивирус не до конца удален, может несовместимость с чем-то: [URL]http://support.kaspersky.ru/kis2009/install?qid=208636021[/URL][/QUOTE]


Забудьте. Я потерплю синий.
Слишком много менингиту.

- Удалите Bonjour
*** удалил
- Очистите темп-папки, кэш проводников и корзину.
*** очистил всеми способами
- Закройте все программы, включая Антивирус и Файрвол, Оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!!
*** файрвол был остановлен мною на днях. Закрыть антивир не могу. Он за запускается. По крайней мере не виден. Закрыл все, включая то, что в трее.
- Сделайте повторный лог
*** Вот лог [ATTACH]133978[/ATTACH]
- Включите Антвирус и Файрволл
*** антивир не запускается. Файрвол так-же. Принудительно запускаю из служб - ошибка 5. Отказано в доступе
- Подключите ПК к интернету/локалке
*** есть
- Закачайте карантин по ссылке Прислать запрошенный карантин вверху темы (Приложение 3 правил).
*** есть
- Прикрепите лог к новому сообщению.

ethxegii.sys - Backdoor.Win32.IEbooot.coq свежий, был удален.
Посмотрел логи, там видны еще кучка проблем. Кое-что поправим скриптом, но кое-что придется править руками в реестре.

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\drivers\ip6fw.sys','');
QuarantineFile('C:\temp\cportclm.sys','');
QuarantineFile('C:\WINDOWS\System32\drivers\9c25de21.sys','');
DeleteService('9c25de21');
DeleteFile('C:\WINDOWS\System32\drivers\9c25de21.sys');
ExecuteRepair(9);
ExecuteRepair(6);
ExecuteRepair(8);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам.

[QUOTE=PavelA;406799]ethxegii.sys - Backdoor.Win32.IEbooot.coq свежий, был удален.[/QUOTE]

Лучше подскажите, что делать дальше. =)
Антивир не запускается. Файрвол тож.

Переустановить антивир? А что с файрволом?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

По прежнему где-то сидит перехватчик. AVP.EXE не запкскается ни при каких условиях. AVZ.EXE запускается только после переименования.

===

Сорри, я опережаю события. :)

Карантин сделал - высылаю

Новый лог вот: [ATTACH]133981[/ATTACH]

Появилась новая "красота". Комп теперь при перезагрузке/выключении не выпадает в синий, а просто с экрана пропадает ВСЕ, остается только фоновая картинка с активной мышкой. И молчит как партизан. На три магические клавиши не реагирует.

Выполнить:
[CODE]begin
BC_DeleteSvc('Ip6Fw');
BC_DeleteSvc('Cpqarray');
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторить логи.

З.Ы. 9-я таблетка не хочет срабатывать. Обидно.. :(

Сделал. Вот лог: [ATTACH]133993[/ATTACH]

Загрузить карантин не получается.

Пишет:
===============
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен
===============

Вероятно просто без изменений.

Скачайте special avz в моей подписи. Сохраните его на диске в новой папке, логи и карантин ищите там же в соотв. подпапках.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\System32\Drivers\a6ck3cyl.SYS','');
DeleteFile('C:\WINDOWS\System32\Drivers\a6ck3cyl.SYS');
BC_ImportAll;
ExecuteSysClean;
SetAVZPMStatus(True);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте повторный логи special avz + hijackthis, как написано в правилах.

по вот этой теме надо полечить реестр: [url]http://virusinfo.info/showthread.php?t=43700[/url]
Для вот этих служб: wuauserv BITS

[QUOTE=PavelA;406842]по вот этой теме надо полечить реестр: [URL]http://virusinfo.info/showthread.php?t=43700[/URL]
Для вот этих служб: wuauserv BITS[/QUOTE]

У меня не запускается AVP, Служба файрвол, regedit.
Как реестр подправить другим путем?

AVZ - Файл - восст системы - п.17 отметить и выполнить.
После этого попробовать запустить regedit.

[QUOTE=PavelA;406857]AVZ - Файл - восст системы - п.17 отметить и выполнить.
После этого попробовать запустить regedit.[/QUOTE]

Не получилось.

Все сделал:

Выполнить скрипт:
[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\AgCPanelGermanm.exe','');
DeleteService('cportclm');
DeleteService('upnphostSamSs');
DeleteFile('C:\WINDOWS\system32\AgCPanelGermanm.exe');
DeleteFile('C:\temp\cportclm.sys');
BC_ImportDeletedList;
Executerepair(9);
Executerepair(17);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Сделать заново логи после перезагрузки.
Загрузить карантин по Правилам через [url]http://virusinfo.info/upload_virus.php?tid=46455[/url]

О чудо! Каспер после перезагрузкипродолжил установку (я его удалял и пытался установить заново). regedit - заработал.

АВП установил, обновил, проверил. Ничего.

Не уверен, что все удалено, поэтому как было указано, высылаю логи.
По моему, получилось. :094:

Да, в карантине что-то было. Отправил.

ЗЫ: вы мне скажете, когда у меня все будет в порядке? :)
Просто хочу знать, когда можно будет говорить огромное СПАСИБО! (оно конечно в стакане не булькает, но все равно приятно)

Да еще, Вы мне не подскажете, как теперь запустить файрвол (и надо ли)?
Запускаю службу через администрирование. Пишет:

Ошибка 5. Отказано в доступе.

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 2 минуты[/I][/B][/color][/size]
[QUOTE=AlexUseAVP;406905]Ошибка 5. Отказано в доступе.[/QUOTE]

Проблему поборол сам.
Файрвол (кстать слетала не только эта служба) стал запускаться после установки заплаток:
[URL]http://www.microsoft.com/rus/technet/security/bulletin/MS08-067.mspx[/URL]
[URL]http://www.microsoft.com/rus/technet/security/bulletin/MS08-068.mspx[/URL]
[URL]http://www.microsoft.com/rus/technet/security/bulletin/MS09-001.mspx[/URL]

Это для WinXP_SP3
(может кому пригодится)

Я теряюсь, куда обратиться с вопросом...
Может быть Вы сможете помочь. После вышеуказанных манипуляций у меня начал периодически слетать интернет. Самопроизвольно. Локальные хосты пингуются, внешние нет. Потом появляется опять инет. И так с периодичностью 5-10 мин. Постоянно.
Грешил на Каспера. Удалил. Ничего не поменялось.
Возможно вирус успел поковыряться в настройках политик, работы сетей, подсетей.
Подскажите, как восстановиться? Или посоветуйте утилиту, которая бы реанимировала настройки...

ЗЫ: при заражении, у меня блокировались а/вирусы, файрвол вот, начала сетка слетать. Похоже на Кидо.
Хотя, вероятно его уже нет. Т.к. КидоКиллер с Каспера скачал, проверил - чисто уже.

[size="1"][color="#666686"][B][I]Добавлено через 56 минут[/I][/B][/color][/size]

Подскажите мне хоть, возможно ли (встречалось ли такое), чтоб вирус перенастроил службы таким образом, чтоб с некоторой периодичностью вылетали подсети?

В логах ничего подозрительного не видно.

Попробуйте применить вот эту утилиту:
[url]http://www.veldhuizen.speedxs.nl/winsockxpfix.exe[/url]
(запустить и нажать [B]Fix[/B]; когда отработает, будет перезагрузка).
После этого надо будет заново ввести настройки сетевых подключений.

Еще раз [COLOR="Red"]БОЛЬШОЕ СПАСИБО[/COLOR]!

И за винсокспфикс спасибо. Скачал. Буду пробовать.

AgCPanelGermanm.exe_ - Backdoor.Win32.Inject.apu свежий по терминологии ЛК

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\agcpanelgermanm.exe - [B]Backdoor.Win32.Inject.apu[/B] ( DrWEB: BackDoor.IRC.Nite.18 )[*] c:\windows\system32\drivers\ethxegii.sys - [B]Backdoor.Win32.IEbooot.coq[/B] ( DrWEB: Trojan.Spambot.4438, BitDefender: Trojan.Rlsloupa.A )[/LIST][/LIST]