опять вирус отрезал доступ к virusinfo

Printable View

20.06.2009, 10:38
Alex T

опять вирус отрезал доступ к virusinfo

Добрый день!
К сожалению, второй раз появился вредонос, который не могу устранить. Признаки: отсутствие выхода на сайт virusinfo.info и других антивирусных сайтов, невозможность войти в систему XP в безопасном режиме, долгая загрузка ОС. На другие сайты выход есть.
Выполнил все пункты согласно Правил, VPTool устранил 2 трояна, AVZ ещё один. Но проблема осталась.
Направляю с другого ПК логи и надеюсь на помощь

С уважением,
Алексей
20.06.2009, 11:03
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelCLSID('67KLN5J0-4OPM-00WE-AAX5-77EF1D187563');
QuarantineFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\Maq.exe','');
QuarantineFile('C:\WINDOWS\system32\NeroCheck.exe','');
QuarantineFile('C:\WINDOWS\ALCMTR.EXE','');
QuarantineFile('C:\WINDOWS\system32\ckldrv.sys','');
QuarantineFile('C:\WINDOWS\StopHid.exe','');
DeleteFile('C:\WINDOWS\system32\ckldrv.sys');
DeleteFile('C:\RESTORE\k-1-3542-4232123213-7676767-8888886\Maq.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('NetworkX');
BC_Activate;
SetAVZPMStatus(true);
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=48331[/URL]

3. Выполните [URL]http://virusinfo.info/showthread.php?t=43700[/URL]

4. Повторите логи.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Сделайте такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]
20.06.2009, 11:10
Rene-gad

[QUOTE=Alex T;419914]второй раз появился вредонос[/QUOTE]
А он никуда не уходил: Прочитайте сообщение # 6 в этой теме : [url]http://virusinfo.info/showthread.php?t=45422[/url] и можете увидеть его в зеркале... >:(
20.06.2009, 11:16
Aleksandra

C:\Documents and Settings\alex\Рабочий стол\E8C5EADD18A1FF70\E8C5EADD18A1FF70 - будем удалять с помощью Gmer.
20.06.2009, 19:28
Alex T

Выполнил скрипт, заменил букву в Systemroot - все пока безуспешно. Более того, при загрузке стало появляться сообщение о проблемах с установкой нового оборудования, хотя вроде все устройства работают.
Новые логи направляю.
А по поводу сообщений Aleksandra и Rene-gad просьба пояснить, что делать.

С уважением,
Алексей
21.06.2009, 15:41
Aleksandra

1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]

[CODE]begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\pipsyegw.dll','');
DeleteFile('C:\WINDOWS\system32\pipsyegw.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]После выполнения скрипта компьютер перезагрузится!
Пришлите карантин согласно [B]приложению 3[/B] [URL="http://virusinfo.info/pravila.html"]правил.[/URL]
Загружать по ссылке: [URL]http://virusinfo.info/upload_virus.php?tid=48331[/URL]

3. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL]

[QUOTE]F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe[/QUOTE]

4. Сделайте лог Gmer.
22.06.2009, 09:27
Alex T

Добрый день!
Подскажите, как сделать лог Gmer. (п.4).
Извиняюсь сразу за задержку - остальные операции выполню только вечером (поврежденный ПК дома, а общаюсь в данном форме с работы)
С уважением,
22.06.2009, 10:27
Rene-gad

[URL="http://lmgtfy.ru/?q=%D0%BA%D0%B0%D0%BA+%D1%81%D0%B4%D0%B5%D0%BB%D0%B0%D1%82%D1%8C+%D0%BB%D0%BE%D0%B3+Gmer"]Подскажите, как сделать лог Gmer. [/URL]
22.06.2009, 22:22
Alex T

[COLOR=black][FONT=Verdana]Добрый день![/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Выполнил последний скрипт, после чего хоть через раз, но стал открываться сайт virusinfo.info. Профиксил. Карантин не удалось отправить, т.к. в карантине не оказалось ни одной записи. Лог Gmer сделал, прикладываю. На всякий случай также повторил стандартные логи, также отправляю.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Остались следующие признаки вируса: [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]-При повторном запуске любого браузера (т.е. когда один раз он уже запущен и открыто сколько-то страниц, после чего запускается ещё раз) выход на антивирусные сайты опять прекращается. Выход появляется после выполнения заново последнего Вашего скрипта.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]-После загрузки ОС выскакивает информация, что обнаружено новое оборудование, потом - что имеются проблемы с запуском нового оборудования, после закрытия окна сообщения через время предупреждение исчезает.[/FONT][/COLOR]
[COLOR=black][FONT=Verdana] [/FONT][/COLOR]
[COLOR=black][FONT=Verdana]С надеждой на помощь,[/FONT][/COLOR]
[COLOR=black][FONT=Verdana]Алексей[/FONT][/COLOR]
22.06.2009, 22:26
Alex T

Добавлю то, что дополнительно обнаружил только сейчас.
Выход на сам сайт virusinfo.info работает, однако ни одна ссылка на закачку программ AVZ, AVPTool и пр. не работают
С уважением,
Алексей
22.06.2009, 23:43
Aleksandra

Сохраните содержимое как start.bat в каталоге с gmer запустите и после перезагрузки повторите лог gmer.

[CODE]gmer.exe -del service E8C5EADD18A1FF70
gmer.exe -del service kkbdl
gmer.exe -del service mmilndo
gmer.exe -del service naugg
gmer.exe -del file "C:\WINDOWS\system32\pipsyegw.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\E8C5EADD18A1FF70"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\kkbdl"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\mmilndo"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\naugg"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\E8C5EADD18A1FF70"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\kkbdl"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\mmilndo"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\naugg"
gmer.exe -reboot[/CODE]
22.06.2009, 23:56
Alex T

Если не трудно, объясните подробней, что и как сделать - т.е. для "чайников"
С уважением,
Алексей
23.06.2009, 00:02
Aleksandra

Пожалуйста [url]http://virusinfo.info/showpost.php?p=408075&postcount=19[/url]
23.06.2009, 08:01
Alex T

Вроде бы все понял, но почему-то в Блокноте файл *start.bat* не сохраняется. И ещё уточнение - нужно сохранаять в директории, где находится папка Gmer или внутри самой папки? (хотя я пытался и там и там - все-равно не сохраняется).
Заранее благодарен,
Алексей
23.06.2009, 10:22
Bratez

Сохранять там, где лежит gmer.exe, т.е. внутри папки Gmer.
Для того, чтобы блокнотом создать bat-файл, предварительно в Проводнике (Сервис - Свойства папки - Вид) отключите опцию "Скрывать расширения для зарегистрированных типов", иначе у вас получается файл [I]start.bat.txt[/I], а не [I]start.bat[/I].
23.06.2009, 20:18
Alex T

Выполнил, наконец-то, скрипт "sart.bat". При выполнении 3 раза выскакивали сообщения: 2 раза "...не найден файл", 1 раз "...неверный код".
Лог направляю.
К сожалению, положительных результатов по-прежнему нет.
Убедительная просьба не оставить без помощи!

С уважением,
Алексей

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

Очередная проблема - лог Gmer обычным способом не грузится
23.06.2009, 20:48
thyrex

[QUOTE=Alex T;421856]Очередная проблема - лог Gmer обычным способом не грузится[/QUOTE]А в безопасном режиме? Если получится, сделайте
23.06.2009, 21:14
Aleksandra

[QUOTE=Alex T;421856]Очередная проблема - лог Gmer обычным способом не грузится[/QUOTE]
Т. е. не можете прицепить его к сообщению в теме?
23.06.2009, 21:52
Alex T

Aleksandre - именно так.
Thyrex - в безопасном режиме в XP не могу выходить в Интернет.
23.06.2009, 22:03
Aleksandra

Залейте лог на файлообменник и дайте ссылку.
23.06.2009, 22:13
Alex T

Пожалуйста:
[URL]http://ifolder.ru/12789564[/URL]
23.06.2009, 22:15
thyrex

:( Невнимательно прочитал. Думал не получается новый лог сделать
24.06.2009, 13:07
Alex T

Посмотрите, пожалуйста, запрошенный лог Gmer
24.06.2009, 13:33
thyrex

Напишите, что должно быть на месте знаков вопроса
[QUOTE]C:\Documents and Settings\alex\??????? ????\E8C5EADD18A1FF70\E8C5EADD18A1FF70[/QUOTE]

Рабочий стол???
24.06.2009, 21:45
Alex T

На рабочем столе, конечно, такого файла нет.
Поиском нашел файлы с фрагментом E8C5EADD18A1FF70\E8C5EADD18A1FF70 только в папке avz - в логах virusinfo_syscure.htm(.xml), virusinfo_syscheck.htm(.xml) и в карантине

С уважением,
Алексей

Кроме того, с другого ПК перенес новый AVPTool. Удалось сразу после очередного выполнения скрипта от 21.06.09 от Aleksandra войти в безопасном режиме и проверить. Найдено 4 трояна, удалены. После чего исчезло при загрузке сообщение о некорректно работающем новом оборудовании и заработали ссылки на антивирусные сайты.
Сделал заново логи в avz, просьба посмотреть - может, избавился, наконец, от зловредов.

С уважением,
Алексей
24.06.2009, 22:41
thyrex

Я просто спрашивал, что должно быть вместо ??????? ????
Естественно, зловред маскировался, чтобы Вы его не увидели.

Хотелось бы увидеть новый лог gmer. В нем все зловреды были видны...
24.06.2009, 22:49
pig

[QUOTE=thyrex;422516]Я просто спрашивал, что должно быть вместо ??????? ????[/QUOTE]
Похоже, что именно [B]Рабочий стол[/B].
25.06.2009, 00:26
Alex T

К сожалению, выяснить, какая директория скрывается под вопросительными знаками, я не сумею.
Пока что отправляю свежий лог Gmer.
А в логах avz что-нибудь есть?
С уважением,
Алексей
25.06.2009, 09:46
Aleksandra

[QUOTE=Alex T;422563]А в логах avz что-нибудь есть?[/QUOTE]
Пока оставим логи AVZ.

[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]

Сохраните содержимое как start.bat в каталоге с gmer запустите и после перезагрузки повторите лог gmer.

[CODE]gmer.exe -del service dwxter
gmer.exe -del service tfgku
gmer.exe -del file "C:\WINDOWS\system32\pipsyegw.dll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@DisplayName"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@Type"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@Start"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@ErrorControl"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@ImagePath"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@ObjectName"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter@Description"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\dwxter\Parameters@ServiceDll"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@DisplayName"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@Type"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@Start"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@ErrorControl"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@ImagePath"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@ObjectName"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku@Description"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\tfgku\Parameters@ServiceDll"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@DisplayName"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@Type"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@Start"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@ErrorControl"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@ImagePath"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@ObjectName"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter@Description"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\dwxter\Parameters@ServiceDll"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@DisplayName"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@Type"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@Start"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@ErrorControl"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@ImagePath"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@ObjectName"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku@Description"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku\Parameters"
gmer.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\tfgku\Parameters@ServiceDll"
gmer.exe -reboot[/CODE]
25.06.2009, 21:49
Alex T

Добрый день!
Сделал все, как сказано. При выполнении "start.bat" на каждую строчку выскакивало "неверный код", поэтому боюсь, что результат минимальный. Лог направляю.
С уважением,
Алексей
25.06.2009, 23:04
Aleksandra

[QUOTE=Alex T;422953]поэтому боюсь, что результат минимальный[/QUOTE]
Бояться за результат не надо! В логе чисто. Теперь еще раз логи по [URL="http://virusinfo.info/pravila.html"]правилам.[/URL] Лог Gmer уже не нужен.
27.06.2009, 16:18
Alex T

Добрый день!
Извините за задержки в ответах - работа. Огромное спаисбо, признаки вирусов действительно уже не наблюдаются. Направляю свежие логи.
С уважением,
Алексей
27.06.2009, 16:28
Bratez

Заразы в логах больше не видно.

Выполните это: [url]http://virusinfo.info/showthread.php?t=43700[/url].

Выполните скрипт в AVZ:
[CODE]begin
SetAVZPMStatus(false);
ExecuteStdScr(6);
RebootWindows(true);
end.[/CODE]
Рекомендуется установить SP3 и последующие обновления.