Printable View
Помогите почистить ноут от вирусов.
Не работают некоторые функции в Windows
Например, не открывается "Свойства Системы", так же "Свойства Экрана"
Ноут тормозит сильно, пытался как мог почистить его сам, но до конца не вышло. Надеюсь на вашу помощь.
Спасибо.
[QUOTE]Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)[/QUOTE]Как с таким можно жить.
Немудрено, что столько срабатываний на IM-Worm.Win32.Sohanad.as
[QUOTE][COLOR="#ff0000"]Внимание !!! База поcледний раз обновлялась 08.02.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/COLOR][/QUOTE][B]Базы обновить[/B]
[QUOTE]Восстановление системы: включено[/QUOTE][B]Отключить немедленно[/B]
[QUOTE]Система загружена в режиме защиты от сбоев (SafeMode)[/QUOTE]Логи нужны из нормального режима
Вывод: логи придется переделать в нормальном режиме, с обновленными базами и отключенным восстановлением
Базы обновил.
Я не могу отключить "восстановление системы"
Через "Мой компьютер ->Свойства" не открываются.
По кнопкам win+pause тоже не реагирует.
Через консоль - sysdm.cpl тоже
Дажа если в проводнике запустить сам файл sysdm.cpl не открывается.
Как быть ?
пуск - выполнить msconfig (там кнопочка есть)
В msconfig есть кнопка, на закладке "Общие", "Запустить восстановление системы"
"Отключить восстановление системы" такой кнопки в msconfig нет.
Пуск - Выполнить - services.msc
Найдите службу восстановления.
Переведите ее в состояние Отключена + нажмите кнопку Стоп
Применить - ОК
Сделал, вот новые логи.
Пофиксить в HiJack
[code] F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\System32\oembios.exe,
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {6C3BDD12-4B6F-44F1-87CB-4D94E1ED38A5} - (no file)
O9 - Extra button: WH USD Casino - {096CADBA-B4F6-4899-AC65-5BE9C3803037} - C:\Documents and Settings\Alexandern.ALEXANDE-4ADL1R\Рабочий стол\WH USD Casino.lnk (file missing)
O9 - Extra 'Tools' menuitem: WH USD Casino - {096CADBA-B4F6-4899-AC65-5BE9C3803037} - C:\Documents and Settings\Alexandern.ALEXANDE-4ADL1R\Рабочий стол\WH USD Casino.lnk (file missing)
O9 - Extra button: WH GBP Casino - {37236812-C1A2-4529-A9CE-CFE04E3DF08A} - C:\Documents and Settings\Alexandern.ALEXANDE-4ADL1R\Рабочий стол\WH GBP Casino.lnk (file missing)
O9 - Extra 'Tools' menuitem: WH GBP Casino - {37236812-C1A2-4529-A9CE-CFE04E3DF08A} - C:\Documents and Settings\Alexandern.ALEXANDE-4ADL1R\Рабочий стол\WH GBP Casino.lnk (file missing)
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: WH USD Casino - {096CADBA-B4F6-4899-AC65-5BE9C3803037} - http://www.williamhillcasino.com (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: WH USD Casino - {096CADBA-B4F6-4899-AC65-5BE9C3803037} - http://www.williamhillcasino.com (file missing) (HKCU)
O9 - Extra button: WH GBP Casino - {37236812-C1A2-4529-A9CE-CFE04E3DF08A} - http://www.williamhillcasino.com (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: WH GBP Casino - {37236812-C1A2-4529-A9CE-CFE04E3DF08A} - http://www.williamhillcasino.com (file missing) (HKCU)
O17 - HKLM\System\CCS\Services\Tcpip\..\{09A0E2F4-B163-401B-BD82-8E5702F54913}: Name-Server = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{807D96E7-94D5-4FA9-9E57-E5D54EBD1FFB}: Name-Server = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{A578C932-2AC6-471F-87C1-1B97C3FB024E}: Name-Server = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\..\{F2160AEA-397A-4C4B-8680-B1F0F4D7BBC8}: Name-Server = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
O17 - HKLM\System\CS1\Services\Tcpip\..\{09A0E2F4-B163-401B-BD82-8E5702F54913}: Name-Server = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
O17 - HKLM\System\CS2\Services\Tcpip\..\{09A0E2F4-B163-401B-BD82-8E5702F54913}: Name-Server = 85.255.116.154,85.255.112.155
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.154 85.255.112.155
[/code]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\PROGRA~1\Webalta\WEBALT~1.DLL','');
DeleteFile('C:\WINDOWS\web\related.htm');
DelBHO('{D4C56A33-3488-495B-8033-9BF834E276D8}');
QuarantineFile('C:\Program Files\Internet Explorer\rundll32','');
DeleteFile('C:\Program Files\Internet Explorer\rundll32');
QuarantineFile('C:\Documents and Settings\Alexandern.ALEXANDE-4ADL1R\Мои документы\PartyPokerSetup.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\aliserv3.sys','');
QuarantineFile('kdypg.exe','');
QuarantineFile('C:\Program Files\Webalta\WebaltaUpdaterService.exe','');
DeleteService('WebaltaController');
QuarantineFile('C:\WINDOWS\System32\oembios.exe','');
DeleteFile('C:\WINDOWS\System32\oembios.exe');
DeleteFile('kdypg.exe');
DeleteFile('C:\WINDOWS\system32\drivers\aliserv3.sys');
DeleteFile('C:\PROGRA~1\Webalta\WEBALT~1.DLL');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Дополнительно сделать такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]
1.Пофиксил в HiJack
2.Скрип запускаю, НО после 1-2минут работы AVZ система автоматически идет в ребут, так же и в безопасном режиме.
3.Gmer "сваливается" по ошибке после того как пройдет автоматический скан, появляется окно "желаете просканировать всю систему ?" нажимаю, начинается сканирование, и через 2-3 минуты GMER закрывается по ошибке.
Что делать ???
А карантин почему не выслали???
В безопасном режиме gmer также аварийно завершает работу?
Попробуйте сделать логи полиморфным AVZ из моей подписи
Извините забыл карантин выслать, исправляю - высылаю.
GMER в безопасном режиме работает.
Ваш AVZ полиморфный, так же послыает систему в ребут (мелькает синий экран), во безопасном и обычном режимах - это в режиме сканирования ПУНК 3.
Выслыаю новые логи, какие кспели сделаться
Вот еще логи.
2-й пункт AVZ отрабатывает нормально
3-й пунк начинает работать 1-2мин. и мелькает синий экран ребут.
В безопасном режиме 3-й пункт работает (логи оттуда)
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('WebaltaController');
DeleteFile('C:\Program Files\Webalta\WebaltaUpdaterService.exe');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
ExecuteSysClean;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте лог gmer в безопасном режиме
Выполнил скрипт.
Вот лог GMER в безопасном режиме.
ПОМОГИТЕ!!! СОС!!!
:)
Сохраните текст ниже как cleanup.bat в ту же папку, где находится gmer.exe
[code]gmer.exe -del service kungsfwrqxfmnr
gmer.exe -del file "C:\WINDOWS\system32\drivers\kungsfibitetnq.sys"
gmer.exe -del file "C:\WINDOWS\system32\kungsfjwfooeqr.dll"
gmer.exe -del file "C:\WINDOWS\system32\kungsfyvfvpmyh.dat"
gmer.exe -del file "C:\WINDOWS\system32\kungsfwelwckib.dll"
gmer.exe -del file "C:\WINDOWS\system32\kungsffjmovmpx.dat"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kungsfwrqxfmnr"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kungsfwrqxfmnr"
gmer.exe -reboot[/code]И запустите cleanup.bat
Сделать новый лог gmer
Сделал новый лог в безопасном режиме, вроде чисто.
Снова запустил AVZ
на пункте 3 через 1-2 мин. система в ребут уходит.
Лог gmer чист.
Первый и второй комплект логов AVZ
[QUOTE]Режим эвристического анализатора: Средний уровень эвристики
[/QUOTE]
Последний комплект логов AVZ
[QUOTE]Режим эвристического анализатора: Максимальный уровень эвристики
[/QUOTE]
Вернитесь к среднему уровню и пробуйте выполнить логи
Вот новые логи в нормальном режиме.
Выполните скрипт в AVZ
[code]begin
BC_DeleteSvc('WebaltaController');
BC_DeleteFile('C:\Program Files\Webalta\WebaltaUpdaterService.exe');
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделать только лог [B]virusinfo_syscheck[/B]
Выполнил.
Кстати, если сделать лог пункта 3 AVZ, система идет в ребут через минуту после начала сканирования.
Не нужно эвристику ставить на максимальный уровень (хватает среднего - по умолчанию)
В логах ничего подозрительного.
[B]Срочно[/B] обновляйте систему до SP3 (может потребоваться активация) + все новые заплатки
Установите IE8
Установите Adobe Acrobat 9.1 или удалите старый
Эвристика стоит всегда на среднем уровне, сам ничего не меняю.
Вирусов не замечено, поубивали всех с Вашей Помощью :)
СПАСИБО, огроменное за Помощь!
Теперь будем обновляться до SP3... и т.п.
:) Спасибо!
Кстати, забыл спросить... :)
Там был вирус... aliserv3.sys так вот, файл с таким именем я не нашел на харде смотрел FAR`ом, поиск делал, когда отработал ваш скрипт, он вроде тоже ругнулся что, файл не найден, но потом после перезагрузки в логах AVZ его уже не было
Как так? :) Откуда же AVZ его удалил ? Я знаю что есть файлы системные, скрытые, но FAR показывает всё :) А тут, я теряюсь в догадках...
Спасибо, еще раз за помощь :)
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\progra~1\webalta\webaltatoolbar.dll - [B]not-a-virus:AdWare.Win32.Webalt.j[/B][*] c:\progra~1\webalta\webalt~1.dll - [B]not-a-virus:AdWare.Win32.Webalt.j[/B][/LIST][/LIST]