Неустранимые процессы в диспетчере задач win7service.exe wmau.exe и т.п

Printable View

27.08.2009, 00:26
Nobrain

Вложений: 3

Неустранимые процессы в диспетчере задач win7service.exe wmau.exe и т.п

Доброго времени суток, постараюсь максимально кратко, но развернуто описать проблему. Слишком коротко не получится, поэтому заранее прошу прощения за многобуквие, итак. До недавнего времени сидел без интернета, все было отлично на вирусы жалоб небыло, однако антивирус стоял (Avast home), недавно стал счастливым обладателем выделенки, после установки и проверки связи быквально через 10 минут экраннная заставка сменилась на синий фон испещеренный бинарным кодом, на фоне этого на английском языке появилась надпись о том что мой компьютер заражен. но паниковать не стоит. всего за 59.95$ меня вылечит Total security 2009, пошел искать помощи на google.ru, выяснил что это дрянь, прописалась в C:\Documents and Settings\usr\Application Data порыскав там обнаружил папку именем примерно 123456, удалил, перезагрузился, и снова та же картина, снова папка в апликейшн дате но уже с другими цифрами. Поиск по реестру одноименных с именем папки файлов выдал некий результат, пораженные ключи были немедленно удалены ручным способом, тотал секьюрити вроде как беспокоить перестал, однако на его место сразу же выскочили процесы wmau.exe находящийся в C:\Recycle\, msdrive32.exe в C:\WINDOWS\ dll32b.exe в C:\ а так же несколько файликов формата 01.exe 02.exe и так до 99.exe. Сканирование Авастом показало что в папке C:\Documents and Settings\usr\Local Settings\Temporary Internet Files\Content.IE5\ имеется 4 папки с непроизносимым буквенно цифровым сочетанием содержащие в себе зараженные трояном файлы типа expall[1].exe и одноименные dll ки. Аваст добросовестно их удалял, но после перезагрузки они появлялись вновь, переустановка операционки, с форматированием. несколько изменила ситуацию, на смену неизменно висевшему в диспетчере задач процессу msdrive32.exe пришел mcdrive32.exe который в процессе нахождения в диспетчере задач постепенно увеличивается в размерах, а так же сильно замедляет работу компьютера, завершение процесса востанавливает работоспособность, но все навсего на 5-10 минут. Так же стал вновь появляться процесс win7service.exe запуск которого сопровождается открытием мозилы на странице [url]http://www.google.com/cse?cx=partner-pub-7316075071355262:jlvk57-c7or&ie=ISO-8859-1&q=earn+money&sa=Buscar[/url]. Гугл посоветовал лечить эту заразу пи помощи антивируса PREVX, однако он, даже лицензионный удаляет лишь описанные мной файлы, но не искореняя саму проблему, как итог работа компьютера складывается о принципу 1 минута работы - 5-7 минт борьбы с заразой. За время написания этого сообщения процесс mcdrive 32.exe был убит мной 3 раза, win7service.exe 1 раз, была замечена активность сканера почты аваст, сканировалось какое то письмо отправляемое svchost.exe на mail-fx0-f25.google.com. Прочитав Ваши правила последовл советам, Сканирование CureIt показало отсутствие заразы, AVZ так же никаких угроз не увидел, однако проблема на лицо, мои 2 антивируса (Avast и PREVX) могут лишь замедлить распространение заразы. Молю о помощи.
27.08.2009, 00:39
thyrex

Пофиксить в HiJack
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\Documents and Settings\Администратор.NEMO-79D92C3DA3\xxcpiju.exe \s
O4 - HKLM\..\Run: [Microsoft Driver Setup] C:\WINDOWS\mcdrive32.exe
O4 - HKLM\..\Policies\Explorer\Run: [Microsoft Driver Setup] C:\WINDOWS\mcdrive32.exe
[/CODE]
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор.NEMO-79D92C3DA3\xxcpiju.exe','');
DeleteFile('C:\Documents and Settings\Администратор.NEMO-79D92C3DA3\xxcpiju.exe');
QuarantineFile('C:\WINDOWS\mcdrive32.exe','');
DeleteFile('C:\WINDOWS\mcdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
QuarantineFile('C:\RECYCLER\S-1-5-21-8682958671-5308786511-279179501-4093\csvcs.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-8682958671-5308786511-279179501-4093\csvcs.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-0843133623-7536837831-434746880-1403\mwau.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-0843133623-7536837831-434746880-1403\mwau.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-4336848347-9688037627-987829144-4975\csvcs.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-4336848347-9688037627-987829144-4975\csvcs.exe');
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-00401C608512}');
QuarantineFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-5031244736-9219604755-465069928-1783\mwau.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-4197978060-8335108532-151681042-0175\csvcs.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\ukxqazgb.sys','');
DeleteService('ukxqazgb');
QuarantineFile('C:\WINDOWS\System32\Drivers\ecvodrww.sys','');
DeleteService('ecvodrww');
DeleteFile('C:\WINDOWS\System32\Drivers\ecvodrww.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ukxqazgb.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-4197978060-8335108532-151681042-0175\csvcs.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-5031244736-9219604755-465069928-1783\mwau.exe');
DeleteFile('C:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\system32.exe');
DeleteFileMask('%Tmp%', '*.*', true);
DeleteFileMask('C:\Documents and Settings\usr\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
27.08.2009, 00:39
Nobrain

Важное замечание

Забыл добавить, что КьюрИт и АВЗ показали отсутствие результатов после чистки PREVX-ом, который требует последующей перезагрузки, вот на этой перезагрузке и была проверка CureIt-ом которая не показала наличия заразы. Извиняюсь что сразу не написал про это=(
27.08.2009, 01:06
Nobrain

Вложений: 3

Новые логи

mcdrive32.exe и компания продолжают бесчинствовать.
27.08.2009, 01:21
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
QuarantineFile('C:\WINDOWS\system32\wshost32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-2903083839-3732962156-126557930-4585\csvcs.exe','');
QuarantineFile('C:\WINDOWS\System32\Drivers\mdvnpxwk.sys','');
DeleteService('mdvnpxwk');
TerminateProcessByName('c:\windows\mcdrive32.exe');
QuarantineFile('c:\windows\mcdrive32.exe','');
DeleteFile('c:\windows\mcdrive32.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\mdvnpxwk.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-2903083839-3732962156-126557930-4585\csvcs.exe');
DeleteFile('C:\WINDOWS\system32\wshost32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wshost32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(13);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
27.08.2009, 01:38
Nobrain

Вложений: 2

Новые логи

Скажите, а ничего что я выкидываю вредные процессы из диспетчера, а то с ними вообще ничего не работает. Файл virusinfo_syscure выложить не дает почему то, говорит уже выложен такой.
27.08.2009, 01:48
Белый Сокол

[B]Выполните скрипт в AVZ[/B] (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\System32\Drivers\tigtxycr.sys','');
DeleteService('tigtxycr');
QuarantineFile('C:\WINDOWS\System32\Drivers\ovexpdhp.sys','');
DeleteService('ovexpdhp');
QuarantineFile('C:\WINDOWS\System32\drivers\pxsec.sys','');
DeleteService('pxsec');
QuarantineFile('C:\WINDOWS\System32\drivers\pxscan.sys','');
DeleteService('pxscan');
DeleteFile('C:\WINDOWS\System32\drivers\pxscan.sys');
DeleteFile('C:\WINDOWS\System32\drivers\pxsec.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\ovexpdhp.sys');
DeleteFile('C:\WINDOWS\System32\Drivers\tigtxycr.sys');
BC_ImportAll;
BC_DeleteSvc('pxscan');
BC_DeleteSvc('ovexpdhp');
BC_DeleteSvc('tigtxycr');
BC_DeleteSvc('pxsec');
ExecuteSysclean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

После перезагрузки пришлите попавшие в карантин файлы согласно правилам (для отправки файлов следует воспользоваться ссылкой "[B][COLOR="Red"]Прислать запрошенные файлы[/COLOR][/B]" над первым сообщением темы).

Скачайте [URL="http://freedrweb.com/"]CureIt![/URL] и проведите проверку ПК в безопасном режиме.
27.08.2009, 02:04
Nobrain

Вложений: 1

Новые логи

CureIt у меня был, я его как положено по инструкции скачал и в сейв моде прогнал, только он у меня ничего не нашел, а в этот раз 5 файликов, 2 из папки c:\windows\driver\ 2 из c:\resycle\ и 1 в корне диска С:\

П.С. Логи АВЗ не прикрепляются. А проблема остается=(

Карантин пришел?
27.08.2009, 06:32
pig

[QUOTE=Nobrain;456870]П.С. Логи АВЗ не прикрепляются.[/QUOTE]
Форум сообщает причину?
27.08.2009, 11:30
Nobrain

проблема с аттачем

да, форум говорит что такие файлы уже прицеплены, логи точно обновленные.
27.08.2009, 12:29
Rene-gad

[QUOTE=Nobrain;457017]да, форум говорит что такие файлы уже прицеплены, логи точно обновленные.[/QUOTE]Значит нет: контроль md5 - это как контроль отпечатков пальцев или ДНК. Удалите ВСЕ логи из папки ..avz\log, повторите пункты 1 и 2 правил.
27.08.2009, 13:05
Nobrain

Вложений: 3

Новые логи

за ночь на компьютере появилось более 100 вредных програмулинок сидящих в C:\windows\temp и имеющих имена типа 123.exe 257.exe итп. сканирование CureIt их не выявило, удалил при помощи PrevX-а. По Вашей рекомендации сделал новые логи, выкладываю. Последний запрошеный карантин скинул еще вчера.
27.08.2009, 13:12
Rene-gad

Закройте/выгрузите все программы кроме AVZ и Internet Explorer.

- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.

-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
TerminateProcessByName('c:\windows\mcdrive32.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-1296888368-4471393935-897100426-4449\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1296888368-4471393935-897100426-4449\csvcs.exe,C:\RECYCLER\S-1-5-21-2730577979-0214965749-170754912-5447\csvcs.exe,explorer.exe,explorer.exe','');
QuarantineFile('c:\windows\mcdrive32.exe','');
DeleteFile('c:\windows\mcdrive32.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1296888368-4471393935-897100426-4449\csvcs.exe,C:\RECYCLER\S-1-5-21-2730577979-0214965749-170754912-5447\csvcs.exe,explorer.exe,explorer.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1296888368-4471393935-897100426-4449\csvcs.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
DeleteFileMask('C:\RECYCLER\S-1-5-21-1296888368-4471393935-897100426-4449','*.*',true);
DeleteFileMask('C:\RECYCLER\S-1-5-21-2730577979-0214965749-170754912-5447','*.*',true);
DeleteFileMask('%temp%','*.*',true);
DeleteFileMask('%windir%\temp','*.*',true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

После перезагрузки:

- Сделайте лог [URL="http://www.malwarebytes.org/mbam-download.php"]MBAM[/URL] - полное сканирование.
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.
27.08.2009, 13:20
Nobrain

Ошибка скрипта

')' expected в позиции 13:77
27.08.2009, 13:25
Rene-gad

[QUOTE=Nobrain;457119]')' expected в позиции 13:77[/QUOTE]исправлено. Выполняйте скрипт.
27.08.2009, 14:40
Nobrain

Вложений: 4

Новый процесс

В диспетчере задач обнаружился новый процесс ранее лично мной не замеченный rundll32.exe
27.08.2009, 15:06
Rene-gad

- Выполните команды в [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].
[CODE]md c:\Quarantine
copy C:\WINDOWS\system32\msvcrt2.dll c:\Quarantine\msvcrt2.vir
copy C:\WINDOWS\system32\secupdat.dat c:\Quarantine\secupdat.vir
copy C:\WINDOWS\hosts c:\Quarantine\hosts.vir
copy C:\WINDOWS\mcdrive32.exe c:\Quarantine\mcdrive32.vir
copy C:\WINDOWS\System32\Drivers\swkxjtbl.sys c:\Quarantine\swkxjtbl.vir
gmer.exe -del service swkxjtbl
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman"
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run\Microsoft Driver Setup"
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Microsoft Driver Setup"
gmer.exe -del file "C:\WINDOWS\System32\Drivers\swkxjtbl.sys"
gmer.exe -del file "C:\WINDOWS\system32\msvcrt2.dll"
gmer.exe -del file "C:\WINDOWS\system32\secupdat.dat"
gmer.exe -del file "C:\WINDOWS\hosts"
gmer.exe -del file "C:\WINDOWS\mcdrive32.exe"
gmer.exe -reboot[/CODE]
После перезагрузки:
- Все файлы из папки c:\Quarantine пришлите по правилам.
- Сделайте новый лог МБАМ.

[QUOTE=Nobrain;457182]В диспетчере задач обнаружился новый процесс ранее лично мной не замеченный rundll32.exe[/QUOTE]В принципе это системный процесс.
27.08.2009, 15:18
Nobrain

Процесс mcdrive32.exe не дает возможности воспользоваться МБАМ, сразу же закрывает его, если попробывать выкинуть мсдрайв32 из процессов и запустить проверку МБАМ, то мсдрайв снова запускается через несколько минут и снова закрывает МБАМ. Кстати файлики которые Вы посоветовали удалить были удалены еще после прошлой проверки, если я ничего не путаю конечно.
27.08.2009, 15:26
Белый Сокол

[QUOTE]Процесс mcdrive32.exe не дает возможности воспользоваться МБАМ, сразу же закрывает его, если попробывать выкинуть мсдрайв32 из процессов и запустить проверку МБАМ, то мсдрайв снова запускается через несколько минут и снова закрывает МБАМ.[/QUOTE]
А в процессах не висит ничего вида 02.exe? Если да, то их прибить тоже.

P.S. Очень странно, что CureIt! не справился. Он должен был выцепить по крайней мере файл в корне диска + (возможно) зловреды в system32 + экзешники во временных папках (Documents&Settings\NetworkService\LocalSettings + темпы текущего пользователя).
27.08.2009, 15:27
Nobrain

GMER

Выполнение скрипта ГМЕР прошло как то странно, в окошке логов появилась следующая информация

®¤¯ ¯ª ¨«¨ ä ©« c:\Quarantine ã¦¥ áãé¥áâ¢ã¥â.
¥ ã¤ ¥âáï * ©â¨ ãª § **ë© ä ©«.
¥ ã¤ ¥âáï * ©â¨ ãª § **ë© ä ©«.
¥ ã¤ ¥âáï * ©â¨ ãª § **ë© ä ©«.
C:\WINDOWS\mcdrive32.exe
¥ ã¤ ¥âáï * ©â¨ ãª § **ë© ä ©«.
‘ª®¯¨à®¢ *® ä ©«®¢: 0.
¥ ã¤ ¥âáï * ©â¨ ãª § **ë© ä ©«.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.
"gmer.exe" *¥ ï¢«ï¥âáï ¢*ãâà¥**¥© ¨«¨ ¢*¥è*¥©
ª®¬ *¤®©, ¨á¯®«*ï¥¬®© ¯à®£à ¬¬®© ¨«¨ ¯ ª¥â*ë¬ ä ©«®¬.

перезагрузки небыло, а папка карантин на диске С:\ совершенно пуста=(
27.08.2009, 15:29
Rene-gad

[QUOTE=Nobrain;457225]Процесс mcdrive32.exe не дает возможности воспользоваться МБАМ.[/QUOTE]
т.е. скрипт гмер прошел, комп перегрузился, а теперь mcdrive32.exe появляется и мешает?
Убейте его гмером вручную: gmer>>>Files, находите mcdrive32.exe, Kill.
27.08.2009, 15:29
Nobrain

[QUOTE=Белый Сокол;457236]А в процессах не висит ничего вида 02.exe? Если да, то их прибить тоже.

P.S. Очень странно, что CureIt! не справился. Он должен был выцепить по крайней мере файл в корне диска + (возможно) зловреды в system32 + экзешники во временных папках (Documents&Settings\NetworkSettings\LocalSettings + темпы текущего пользователя).[/QUOTE]

В том то и дело, меня самого это несколько... эм.. удивило.. я уже писал выше, что утром сканирование Куром показало всего пяток зараженных файлов, кур их удалил, и все отлично, попросил перезагрузку, после перезагрузки автоматом запускается сканирование PREVXа, он на первом же скане нашел больше 100 зараженных экзешников и прочего ВПшнорго хлама=(
27.08.2009, 15:31
Rene-gad

- Выполните команды в [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].
[CODE]
gmer.exe -del service swkxjtbl
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman"
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup"
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup"
gmer.exe -del file "C:\WINDOWS\System32\Drivers\swkxjtbl.sys"
gmer.exe -del file "C:\WINDOWS\system32\msvcrt2.dll"
gmer.exe -del file "C:\WINDOWS\system32\secupdat.dat"
gmer.exe -del file "C:\WINDOWS\hosts"
gmer.exe -del file "C:\WINDOWS\mcdrive32.exe"
gmer.exe -reboot[/CODE]
27.08.2009, 15:32
Nobrain

[QUOTE=Rene-gad;457240]т.е. скрипт гмер прошел, комп перегрузился, а теперь mcdrive32.exe появляется и мешает?
Убейте его гмером вручную: gmer>>>Files, находите mcdrive32.exe, Kill.[/QUOTE]

нет, сообщение которое вы процитировали было написано мной в ответ на Вашу просьбу удалить файлы с помощью МБАМ, мсдрайв не позволил пользоваться этим приложением, после этого я опять полез на форум и нашел уже следующий пост про ГМЕР, начал выполнять инструкции, результат я описал, тарабарщина в логах, комп не перезагрузился, карантин пуст.
27.08.2009, 15:33
Rene-gad

[QUOTE=Nobrain;457238]Выполнение скрипта ГМЕР прошло как то странно, в окошке логов появилась следующая информация([/QUOTE]это у меня кодировка барахлит или такое сообщение было?

[size="1"][color="#666686"][B][I]Добавлено через 53 секунды[/I][/B][/color][/size]

[QUOTE=Nobrain;457244]комп не перезагрузился, карантин пуст.[/QUOTE]См. сообщение 23.
27.08.2009, 15:36
Nobrain

[QUOTE=Rene-gad;457242]- Выполните команды в [URL="http://virusinfo.info/showthread.php?t=40118"]GMER[/URL].
[CODE]
gmer.exe -del service swkxjtbl
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman"
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Policies\Explorer\Run\Microsoft Driver Setup"
gmer.exe -del reg "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\Microsoft Driver Setup"
gmer.exe -del file "C:\WINDOWS\System32\Drivers\swkxjtbl.sys"
gmer.exe -del file "C:\WINDOWS\system32\msvcrt2.dll"
gmer.exe -del file "C:\WINDOWS\system32\secupdat.dat"
gmer.exe -del file "C:\WINDOWS\hosts"
gmer.exe -del file "C:\WINDOWS\mcdrive32.exe"
gmer.exe -reboot[/CODE][/QUOTE]

Инструкцию выполнил, эфект опять тот же, тарабарщина в логах, нет перезагрузки.
П.С. Скрипт выполняю следующим образом, запуск GMER => ">>>" => CMD (точка по умолчанию стоит в cmd.exe), копирую тело скрипта, жму ран.

[size="1"][color="#666686"][B][I]Добавлено через 39 секунд[/I][/B][/color][/size]

[QUOTE=Rene-gad;457245]это у меня кодировка барахлит или такое сообщение было?

[SIZE=1][COLOR=#666686][B][I]Добавлено через 53 секунды[/I][/B][/COLOR][/SIZE]

См. сообщение 23.[/QUOTE]

это такое сообщение.
27.08.2009, 15:54
Rene-gad

Зайдите в безопасном режиме.
Попробуйте в gmer вручную найти и удалить хотя бы один из файлов в списке (gmer>>>>> Files)
27.08.2009, 20:52
Nobrain

C:\WINDOWS\System32\Drivers\swkxjtbl.sys не найден

C:\WINDOWS\system32\msvcrt2.dll не найден есть похожие файлы msvcrt.dll, msvcrt20.dll и msvcrt40.dll

C:\WINDOWS\system32\secupdat.dat не найден, есть похожий secupd.dat

C:\WINDOWS\hosts удален

C:\WINDOWS\mcdrive32.exe
28.08.2009, 14:00
Rene-gad

Скачайте Combofix: [url]http://www.geekstogo.com/forum/Combofix-file197.html[/url] и сделайте очистку и лог: [url]http://www.bleepingcomputer.com/combofix/how-to-use-combofix[/url]
Пункт о консоли восстановления примите просто к сведению.
Если не поможет - придется сносить систему.
06.09.2009, 01:47
Nobrain

Вложений: 3

Не дожидаясь вашей рекомендации произвел снос системы с последующим форматированием, поставил новую винду, спасения от вируса опять не нашел, однако, не устанавливая соединения с интернетом, в ручном режиме попереудалял все файлы по всем путям обозначенным антивирусниками, перетряхнул все ключи реестра, вычистил без остатка все упоминания обо всех файликах высвечивающихся в диспетчере задач и логах антивируса, как результат, процессы в трее больше не беспокоят, однако осталась последняя дрянь, создает в папке c:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\3RGD7R64\ файлик 82[1].exe постоянно один и тот же с одним размером и именем, о котором предупреждает антивирус, удаляется ГМЕРом в ручном режиме, авасту удалять файл не позволется, после удаления этого файла аваст сразу выдает сообщение о том что обнаружен вирус в папке c:\WINDOWS\system32\ в файликах вида 01.ехе 02.ехе и тп, имена всегда разные, при отсутствии связи с интернетом вирь не активируется, и еще, после чистки реестра комп не перезагружался 4 суток и вирь не активировалося, после перезагрузки начались события описанные выше. прикрепляю последние логи.
06.09.2009, 06:46
NickGolovko

Вероятно, вам нужен брандмауэр. Попробуйте хотя бы поставить ZoneAlarm Free или что-то подобное. Понаблюдайте также и за исходящей сетевой активностью приложений.

Выполните скрипт в AVZ:

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-8602667165-0506097259-335340837-9104\mwau.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6745497273-6607785107-657093311-1180\csvcs.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-6745497273-6607785107-657093311-1180\explorer.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-6745497273-6607785107-657093311-1180\csvcs.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-6745497273-6607785107-657093311-1180\explorer.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-8602667165-0506097259-335340837-9104\mwau.exe');
BC_ImportALL;
ExecuteSysClean;
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится. После этого пришлите карантин по правилам и повторите диагностику.

Если уже спрашивали - извините, но я не нашел в теме соответствующих вопросов: 91.203.84.200,10.90.0.10 - корректные сервера DNS?

P.S. d:\m04ykzc7.exe -> GMER?
06.09.2009, 14:35
Nobrain

Карантин отправил, ДНСки верные, у нас просто локалка так устроена своеобразно, на диске Д это действительно ГМЕР. после скрипта провел диагностику по правилам, и заодно просканился всеми установленными антивирями, ничего никто не нашел. Подскажите пожалуйста, как мне можно "Понаблюдать за исходящей сетевой активностью приложений" вот этот ZoneAlarm Free поможет?

Если нужно прикреплю логи от последней диагностики...
06.09.2009, 14:46
NickGolovko

[QUOTE]Подскажите пожалуйста, как мне можно "Понаблюдать за исходящей сетевой активностью приложений" вот этот ZoneAlarm Free поможет?
[/QUOTE]

Он будет вас спрашивать, пустить или нет в сеть то или иное приложение. Возможно, по этим запросам вы заметите подозрительную активность.

В карантин ничего не попало. Давайте логи от последней диагностики. :)
06.09.2009, 14:51
Nobrain

Вложений: 3

Вот логи

Ну собственно я та ки думал что там ничего не будет, после чистки руками осталась только эта проблема, и как бы мне ясно что дрянь эта лезет из сети, как перехватить то что ее сюда заливает, вот в чем проблема.
Буду пробывать зон алармом.
06.09.2009, 15:46
NickGolovko

История вашей болезни наводит меня на мысль, что инфекция пришла к вам извне, т.е. из сети. Поэтому вашу машину нужно закрыть брандмауэром; ZA должен неплохо справиться с этой задачей.

Все пока чисто (по крайней мере, удаленное мной зачистилось успешно). После установки брандмауэра можете вернуться на профилактику, чтобы убедиться, что за это время сеть не прислала вам новых сюрпризов... :)
06.09.2009, 16:42
Nobrain

ЗА выявил регулярные атаки на 445 порт, благополучно их пресекает и по ныне, порт закрыл, антивирь молчит, левых файлов в системе не наблюдаю, думаю что проблема решена, однако комп оставлю на карантине еще на сутки, посмотрю что будет. Вам неизмеримое человеческое спасибо, и немного вполне измеримых дензнаков в благодарность(правда чуть позже, надо карточку купить)=)

пойду ковырять оставшиеся 2 компа, надеюсь на вашу помощь если вдруг что=)

Еще раз огромное спасиобо, вынес внушительный мешок знаний и опыта из вашего форума=)
06.09.2009, 16:51
NickGolovko

Всегда рады помочь. Чистого вам Интернета. :)

Чтобы знаний и опыта стало еще больше, можно почитать [URL="http://security-advisory.ru"]электронную книгу "Безопасный Интернет"[/URL] или [URL="http://virusinfo.info/index.php?page=learning"]поступить к нам в студенты[/URL] :)
06.09.2009, 17:07
Nobrain

Заявку написал, спс за идею-предложение=)
07.09.2009, 17:07
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]74[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор.nemo-79d92c3da3\xxcpiju.exe - [B]Backdoor.Win32.Agent.akgd[/B] ( AVAST4: Win32:Trojan-gen {Other} )[*] c:\windows\mcdrive32.exe - [B]Net-Worm.Win32.Kolab.drm[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Trojan.Dropper.TEC, NOD32: Win32/Agent.PQG trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]