Проблемы с интернетом-файл q saf exe

Я не первая с подобным вирусом. Начались проблемы с открытием окошек в интернете. Соединение стало очень медленное, со временем окна перестают открываться вообще-сообщение об ошибке, что эксплорер не может установить данное соединение. Перезагрузка помогает, но только на время.
Антивирус не находит ничего. AVZ находит файл в c\system32\drivers\Qsaf.exe/ До того, как почитала форум, попыталась удалять через "отложенное удаление". Конечно, вылезал снова. На диске С при этом появляется файл с длиннющим названием из неосмысленных цифр и букв - каждый раз разным.
Заранее большое спасибо за помощь :)

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(True);
DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
QuarantineFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
QuarantineFile('___synmgr.exe','');
QuarantineFile('C:\windows\system32\ntos.exe','');
QuarantineFile('C:\windows\system32\drivers\sysdrv32.sys','');
QuarantineFile('C:\windows\system32\DRIVERS\smtpdrv.sys','');
QuarantineFile('C:\windows\system32\01.tmp','');
DeleteService('hozsbyupi');
DeleteFile('C:\windows\system32\01.tmp');
DeleteFile('C:\windows\system32\ntos.exe');
DeleteFile('___synmgr.exe');
DeleteFile('C:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
ClearHostsFile;
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки сделать заново логи + лог Gmer
Загрузить карантин по ПРавилам Приложение 3

Gmer и карантин сейчас будут

Сорри, но gmer выслать не могу. Во время проверки вылетает синий экран, первые предложения что то типа PR has been detected and windows has been shut down to prevent damage page_fault_in_nonpaged_area
Скажите, что я делаю не так?

[size="1"][color="#666686"][B][I]Добавлено через 30 минут[/I][/B][/color][/size]

Да, и еще. Карантин пуст. Архивировать и присылать нечего

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('c:\windows\system32\drivers\qsaf.exe');
BC_DeleteSvc('nkyjax');
BC_DeleteSvc('yezmsj');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
повторите логи

Готово.
Надо ли мне пытаться снова получить логи gmer?
Вообще-это связанные проблемы? По сообщениям других ребят с похожей проблемой, они эти логи получали без осложнений.


Карантин по-прежнему пуст. В корне диска С уже два файла-паразита: v7n3g1g3f4i9 и o9f5c6h7r6n3. На всякий случай

выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('sysdrv32');
QuarantineFile('C:\windows\system32\drivers\sysdrv32.sys','');
DeleteService('smtpdrv');
QuarantineFile('C:\windows\system32\DRIVERS\smtpdrv.sys','');
DeleteFile('C:\windows\system32\DRIVERS\smtpdrv.sys');
DeleteFile('C:\windows\system32\drivers\sysdrv32.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
попробуйте сделать лог gmer

Сейчас все сделаю.

Я опять с этим загадочным gmer-ом. Честно, понятия не имею, что это такое, но очень не нравится этот синий экран с кучей предупреждений. После начала сканирования посвлялось предупреждение, что gmer находит системную модификацию,которая может быть обусловлена rootkit activity. После этого спрашивается, продолжить ли полное сканирование. Я отказалась на этот раз и сохранила то,что "набежало" за пару секунд.

сохраните содержимое в блокноте как 1.bat в папке со gmer
[code]
gmer.exe -del service nkyjax
gmer.exe -del service yezmsj
gmer -reboot
[/code]
попробуйте сделать лог gmer

Сделала. Ничего не изменилось. После того, как я соглашаюсь проверять, сканирование идет около минуты, и в какой-то момент все вылетает.
Что там написано дальше, на этом синем экране-после page_fault_in_nonpaged_area
Если вы первый раз столкнулись с данной проблемой, просто перезагрузитесь. Если она появляется снова, убедитесь, что все hard и soft ware подключены грамотно-может, вам при установке понадобится помощь производителя. Если не помогает-удалите все. Disable Bios опции памяти-такие как caching и shadowing. Если необходимо использовать для этого softmode, сделайте это в безопасном режиме
Technical info
STOP 0x00000050 (0x8080000 0x00000000 0x826c0069 0x00000000)
ПРОстите за корявый и, может быть лишний перевод. Слова, показавшиеся мне сленговыми, оставила, как есть

Карантин пуст. Ни одного файла

По счастью, самое интересное и важное вы не переводили.

Я так и сказала -только общие слова -)
когда в моей работе начинаются переводы, я тоже за голову хватаюсь. ТАк что, если надо - пришлю все на инглиш.

Интернет, кстати, после очередной перезагрузки полетал немного и затормозил снова нещадно. Проверила быстренько system 32 -Qsaf на месте, родимый
[I]Анализатор - изучается процесс 3800 C:\windows\system32\drivers\Qsaf.exe
[ES]:Может работать с сетью
[ES]:Прослушивает порты, применяемые протоколом HTTP !
[ES]:Приложение не имеет видимых окон
[ES]:Размещается в системной папке
[ES]:Записан в автозапуск !!
[ES]:С высокой степенью вероятности может бороться с антивирусами
[ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ?[/I]

Похоже, из сети приползает. Заплатки надо ставить.

логи авз повторите

Помогите...пожалуйста...

Еще симптом вот (или у меня уже паранойя)-в какой-то момент изображение мигает, на пару-тройку секунд становится, как при загрузке в безопасном режиме (шрифтом и цветом основных панелей), после общий вид восстанавливается,но командная строка (файл-правка-вид...) становится черной. Пока не закроешь, такой и остается.

Таки ломают...

Новая напасть.
при перезагрузке выводится сообщение, что подождите мло корректного завершения программы - их две штуки.
isf8k64.exe и is q28ib.exe.
Надо ли говорить, что никакие программы при этом не открыты. Закрываются только после нажатия кнопки "завершить сейчас" и начинается перезагрузка.
Попала на сайт с сотой попытки.
Сайты с любым упоминанием антивирусов блокируются. ДЛя этого и "делается" безопасное соединение-при нем же в инет не выйдешь, правда?
КАк бороться?
Так что чтобы загрузить эти логи пришлось почиститься ПОСЛЕ их создания. Видимо, инфа будет недостоверной. Но хоть для коллекции. Попробую еще раз.

Вот свежие логи

Проверьте плиз, пришел ли карантин!
Файл сохранён как 090805_014324_virus_4a78ab7cd907e.zip
Размер файла 3784702

Логи gmer получить опять не удалось. правда теперь красная строчка, после которых появлялось предупреждениие, была только одна, а не две, как раньше.

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('edhxiub');
BC_Activate;
RebootWindows(true);
end.
[/CODE]
- [url="http://virusinfo.info/showthread.php?t=10025"] Очистите [/url]темп-папки, кэш проводников и корзину.
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]. Перед запуском ГМЕР отключите Антивирус и файрвол.
- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[COLOR="Red"]PS:Вы какую-то тулзу от Симантека запускали?[/COLOR]

[QUOTE=tanchik;442977]пришел ли карантин![/QUOTE]
Ну Вы же получили подтверждение загрузки :)
[QUOTE]Файл сохранён ...
Размер файла ...[/QUOTE]Туда ничего интересного всё равно не попало.

[QUOTE='Rene-gad;443135']PS:Вы какую-то тулзу от Симантека запускали?[/QUOTE]
да,в промежутках между двумя последними папками логов, когда не могла открыть ни один сайт, чистила комп в безопасном режиме симантеком и CureIt!. Что-то помогло.
вообще со злости вчера симантек деинсталировала. Забился до жути, тормозил и, походу, не очень-то хорошо работал, иначе почему CureIt! при первой проверке нашел кипу вирусов. Так что теперь установила DrWeb.
А логи вечером будут.

все сделала.
вот что есть

gmer сделать снова не удалось. так же вылетает и только перезагружаться. подумала, что хоть какая-то информация лучше никакой, несколько раз останавливала сканирование, пытаясь как можно дольше протянуть до вылета. прикрепляю.
кстати, вылетает после того, как в нижней стороке, где отражается, что именно сейчас сканируется, вместо С\... появляется device...

карантин высылать?

Карантин нужен?

Простите, а можно о себе напомнить?

У вас, понятно, работы полно, а тут я...

Просто переживаю сильно.:(

Отключите
[B][COLOR="Red"]- ПК от интернета/локалки
- Антивирус и Файрвол.[/COLOR][/B]

Код:
[CODE]gmer.exe -del service edhxiub
gmer.exe -reboot[/CODE]
скопируйте в новый текстовый файл, сохраните его в той папке, где у Вас файл gmer.exe под именем 123.bat и запустите двойным щелчком.

После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask('%systemroot%','edhxiu*.*',false);
DeleteFileMask('%systemroot%\system32','edhxiu*.*',false);
DeleteFileMask('%systemroot%\system32\drivers','edhxiu*.*',false);
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]

После перезагрузки:
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL]
- Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[QUOTE=tanchik;443191]Просто переживаю сильно.:([/QUOTE]Переживать особо на надо - это всего лишь железяка :)

Gmer вылетает.
Опять после появления в строке device...
Но-прогресс-при начальном сканированиии больше не ругается.
Сохранила, что осталось после остановки

Уберите метку с Devices и попытайтесь сделать лог

вот логи
gmer без devices-не вылетел.

Ничего подозрительного в логах не усматривается.
Что с проблемой?

Вчера вечером все летало, утром тормозит и вылетает по-прежнему.

AVZ пишет
[QUOTE]
Анализатор - изучается процесс 1616 C:\windows\system32\drivers\ZrxMgr.exe
[ES]:Может работать с сетью
[ES]:Прослушивает порты, применяемые протоколом HTTP !
[ES]:Приложение не имеет видимых окон
[ES]:Размещается в системной папке
[ES]:Записан в автозапуск !!
[ES]:С высокой степенью вероятности может бороться с антивирусами
[ES]:Загружает DLL RASAPI - возможно, может работать с дозвонкой ?[/QUOTE]


на диске с снова просисан файл f2o1b6n1y7d4 exe



буду делать логи.

логи avz

gmer

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\drivers\zrxmgr.exe');
QuarantineFile('c:\windows\system32\drivers\zrxmgr.exe','');
DeleteFile('C:\windows\system32\drivers\ZrxMgr.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи + отчет GSI (смотреть ссылку в моей подписи)

корявый способ прикреплять файлы, но вылетает все время>:(

карантин
Файл сохранён как 090808_130822_virus_4a7d408611311.zip
Размер файла 66905
MD5 f509307e4ddaa8c94aa0bd6e6812e7e8

GetSystem, еслия все правильно поняла,то вот ссылки:
[URL]http://www.getsysteminfo.com/read.php?file=f9fa0142bbc7315d84fca5f4ace57e02[/URL]

[QUOTE=thyrex;445157]
Сделайте новые логи ...[/QUOTE]Я только один лог обнаружил.

[QUOTE='tanchik;445174']Сделайте новые логи[/QUOTE]Вот этих нет

Ваш зловред общается через 445 порт с Исландией, Болгарией, Румынией, Финляндией

Рекомендую в срочном порядке выполнить:
1. Установите SP3 (может потребоваться активация) + все новые заплатки
2. Установите Adobe Acrobat 9.1 или удалите старый

Закрыть порт 445 с помощью программы wwdc (найти можно на просторах Интернет, т.к. ее официальный сайт не работает) Инструкция по использованию [url]http://saule.sporaw.ru/library/wwdc.html[/url]

да, я логи avz только что сделала. прикрепила

вот только что - ничего не поняла в предложении [I][U]1. Установите SP3 (может потребоваться активация) + все новые заплатки[/U][/I]

можно ссылку?

[QUOTE=tanchik;445232]
вот только что - ничего не поняла в предложении [I][U]1. Установите SP3 (может потребоваться активация) + все новые заплатки[/U][/I]
можно ссылку?[/QUOTE]
У меня в подписи ищите 8)

445 порт с помощью wwdc закрыла.
Эта самая программулина теперь настойчиво спрашивает, закрыть ли еще и 135.
Но без вашей команды-ни шагу!!!

ах, да, абсолютно неиспользуемый акробат 6.0 удален.
Конечно, новый срочно понадобится в течение пары ближайших дней. Новый же можно устанавить, да??

[QUOTE=tanchik;445244] Новый же можно устанавить, да??[/QUOTE]да :)

[size="1"][color="#666686"][B][I]Добавлено через 28 секунд[/I][/B][/color][/size]

[QUOTE=tanchik;445244]445 порт с помощью wwdc закрыла.
Эта самая программулина теперь настойчиво спрашивает, закрыть ли еще и 135. [/QUOTE]да :)

И Снова здравствуйте! :)

SP3 скачала и установила. С заплатками или нет - не знаю :O.
Машинку эти дни практически не эксплуатировала, так что по симптомам ничего внятного сказать не могу. Логи последние, я так поняла, чистые, да?
В общем, может и обманчивое впечатление, но, наверное, пора мне в начало темки шагать, в "10 заповедей", да? :)
Дайте плиз ссылочку на файрвол какой-нибудь. Хороший и понятный.


а,может, я и рано радуюсь...

[QUOTE=tanchik;446766]
SP3 скачала и установила. С заплатками или нет - не знаю[/QUOTE] если брали с оф.сайта Microsoft - без :).
[QUOTE=tanchik;446766]
Дайте плиз ссылочку на файрвол какой-нибудь. Хороший и понятный.
[/QUOTE]WindowsXP Firewall :)

[QUOTE=Rene-gad;446771]если брали с оф.сайта Microsoft - без :).
QUOTE]
ну ссылочку не иначе как из вашей подписи выковыривала ;)

тогда вопрос-надо заплатками озадачиваться, про которые [B]thyrex[/B] говорил? Если да-помогите ...

[QUOTE=tanchik;446776] ну ссылочку не иначе как из вашей подписи выковыривала ;)[/QUOTE]ОК, просто в сети есть предложения кумулятивных сборок, содержащих СП и последующие обновления.
[QUOTE=tanchik;446776]
тогда вопрос-надо заплатками озадачиваться, про которые [B]thyrex[/B] говорил?[/QUOTE]Надо. Это очень просто: идем [url]www.windowsupdate.com[/url] и выполняем указания с экрана :)

Указания с экрана выполнили, вроде даже теперь периодически всякие обновления скачиваются. Регистрацию, правда, не спросили, что настораживает малость.:O

О главном. Работает! :)Спасибо, ребят, прям огромное!!! Спасибище просто!:)
(почему у вас нет смайлика, где желтая корявина бухается на колени и в порыве благодарности простирает черенькие ручонки к небу??? Право, ложная скромность с вашей стороны)

Мне, как человеку, далечайшему от понимания, как все работает, очень легко работать по вашим инструкциям.

Осталось у меня 2 очевидных корявости-
1)Gmer по-прежнему выдает синий экран смерти на сканировании девайсов (in_nonpaged_area). Почитала, что скорее всего связано с новым dvd-ромом. Если посоветуете драйвер какой-нибудь, буду благодарна.
2) не запускается Virus Removal от Касперского. Выдает собщение об ошибке и извинения. Несколько раз скачивала-одно и тоже. Так как стоит доктор веб, хотелось бы этой программулиной временами пользоваться.

[QUOTE=tanchik;447886]Gmer по-прежнему выдает синий экран смерти на сканировании девайсов (in_nonpaged_area). Почитала, что скорее всего связано с новым dvd-ромом. Если посоветуете драйвер какой-нибудь, буду благодарна.[/QUOTE]Если оборудование работает, то ничего искать не надо. Перед запуском gmer нужно отключить антивирус и файрвол. Если проблема не решится - уберите крючок против Devices в GUI gmerа
[QUOTE=tanchik;447886]не запускается Virus Removal от Касперского.[/QUOTE]Перед запуском нужно отключить антивирус и файрвол. Может какой-то драйвер от лечения остался и мешает.