Помогите избавиться от Win32/AutoRun.FakeAlert.CH

Здравствуйте, недавно "поймал" вирус Win32/AutoRun.FakeAlert.CH, и не могу от него избавиться!
Началось все с того, что при включении компьютера, на мониторе появилось сообщение "Входной сигнал вне диапозона"... Пришлось подключить к входу S-video телевизор. После загрузки Windows вылетело окно предыпреждения ESS 4 - "В файле таком-то обнаружен вирус - Win32/AutoRun.FakeAlert.CH... файл был удален", как я понял это был драйвер ATI и по-этому монитор "не показывал"...
После этого вылетело еще одно окно ESS 4 - "В файле таком-то обнаружен вирус - Win32/AutoRun.FakeAlert.CH... файл был удален" на этот раз это был драйвер SoundMax и я остался без звука...
И так продолжалось довольно долго... NOD ловил вирусы то в папке WINDOWS/sistem 32/..., то в WINDOWS/temp/..., то в Local Settings... в общей сложности около 60 шт... и все - Win32/AutoRun.FakeAlert.CH...
После "ручного" полного сканирования ESS 4, удаления вирусов, установки удаленных "дров" и последующей перезагрузке компа, вирусы опять появлялись...
Зашел на "Ваш" форум прочитал инструкцию по удалению Win32/AutoRun.FakeAlert... , скачал AVZ, Dr.Web CureIt и HijackThis...
Просканировал весь комп ESS 4... после чего отключил в нем "защиту файлов в реальном времени" и нажал на перезагрузку компа для того, чтобы зайти в безопасном режиме и просканировать комп Dr.Web CureIt... но, зайти в него не могу... - при нажатии на "Безопасный режим" начинается его загрузка, а через несколько секунд появляется "синий экран смерти" и комп перезагружается, останавливаясь опять на экране выбора режимов загрузки... и так до бесконечности...
Пробывал запустить Dr.Web CureIt при обычной загрузке Windows... прога зависает на "подготовке к сканированию"... выключить ее удается только через диспетчер задач"...
После всех этих процедур комп постоянно пытается что-то записать на диск А (floppy)... вставил диск... записался autorun.exe и autorun.inf... последний NOD удаляет а exe остается... через некоторое время все опять повторяется... (((
Помогите, пожалуйста!
Как от этого всего избавиться? :O

P.S. Да, и еще... после каждой перезгрузке компа, свободное место на диске С постоянно меняется, от 8 Гб до 40 Кб... может это к "делу" и не относится, но все же...

Без логов AVZ и HijackThis вам сложно будет помочь.
Пришлите файл a:\autorun.exe (с дискеты) так, как написано в приложении 2 [url=http://virusinfo.info/pravila.html]Правил[/url].

+ AndreyKa
Пролечитесь от файловых вирусов, загрузившись с LiveCD. Информация и возможные варианты: [url]http://virusinfo.info/showthread.php?t=15927[/url]

[QUOTE=AndreyKa;459831]Без логов AVZ и HijackThis вам сложно будет помочь.
Пришлите файл a:\autorun.exe (с дискеты) так, как написано в приложении 2 [url=http://virusinfo.info/pravila.html]Правил[/url].[/QUOTE]

Извините но, не получится... после проверки компа AVZ, этого файла - autorun.exe - я не нашел... ни на дискете, ни на флешке... (может, оно и к лучшему!)

Вот логи AVZ и HijackThis ...

Жду помощи... :D

Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('logon.exe','');
DeleteService('B343F2181206B9E0');
QuarantineFile('C:\Documents and Settings\Aleks\Рабочий стол\B343F2181206B9E0\B343F2181206B9E0','');
DeleteFile('C:\Documents and Settings\Aleks\Рабочий стол\B343F2181206B9E0\B343F2181206B9E0');

BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

Прислать карантин по Правилам.

[QUOTE=PavelA;462267]Выполнить скрипт:... [/QUOTE]

Скрипт выполнил, AVZ написал, что "скрипт выполнен без ошибок"...
После этого появилось окно NOD`а - "Файл - C:\WINDOWS\system32\Drivers\vdmwndm4.sys - вероятно модифицированный Win32/Agent троянская программа, удален, помещен в карантин."
Комп перезагрузился...
При загрузке Винды, появилось окно NOD`а - "Файл - C:\DOCUME~1\Aleks\LOCALS~1\Temp\rdl1.tmp - Win32/AutoRun.FakeAlert.CH - червь, удален, помещен в карантин." :O


[QUOTE=PavelA;462267]Прислать карантин по Правилам.[/QUOTE]

А я, разве, не по правилам прислал? Или это насчет новых логов?!

Новые логи:

Насчет карантина... извините, сразу не понял...
Файл выслал... получили?
Жду ответа...

Профиксить:
[CODE]F2 - REG:system.ini: Shell=Explorer.exe logon.exe[/CODE]

[QUOTE=PavelA;462320]Профиксить:... [/QUOTE]

Извините, я в "этом" непонимаю... я больше по звуку :) ... объясните, пожалуйста, как это сделать и в какой проге?

[url]http://virusinfo.info/showthread.php?t=4491[/url] - прочитайте здесь.

+ к совету [B]PavelA[/B]

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\logon.exe','');
DeleteService('B343F2181206B9E0');
DeleteFile('C:\Documents and Settings\Aleks\Рабочий стол\B343F2181206B9E0\B343F2181206B9E0');
DeleteFile('C:\WINDOWS\system32\logon.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

[B]PavelA[/B]
Профиксил... что делать дальше?

Сообщение №13 прочтите

[QUOTE=thyrex;462345]Сообщение №13 прочтите[/QUOTE]

Спасибо за подсказку! :)

Скрипт выполнил... после этого появилось окно NOD`а - "Файл - C:\WINDOWS\system32\Drivers\vdmwndm4.sys - вероятно модифицированный Win32/Agent троянская программа, удален, помещен в карантин."
Этот файл, случайно, не файл AVZ, что-то NOD на него "обзлился"?! :D

После перезагрузки NOD молчит...
Карантин отправил.
Вот новые логи:

[B]thyrex[/B]
Насчет карантина... я поторопился, говоря, что отправил.... при загрузке файла, появляется окно - "Ошибка загрузки, файл уже был загружен..."

Ладно, обойдемся без карантина

Лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] сделайте

[B]thyrex[/B]

Вот лог Gmer:

[B]thyrex[/B]

Лог Gmer прикрепил... какие действия производим дальше?

Сохраните текст ниже как [B]cleanup.bat[/B] в ту же папку, где находится fqfi1gkb.exe (gmer)
[CODE]fqfi1gkb.exe -del service B343F2181206B9E0
fqfi1gkb.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\B343F2181206B9E0"
fqfi1gkb.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\B343F2181206B9E0"
fqfi1gkb.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\B343F2181206B9E0"
fqfi1gkb.exe -del reg "HKLM\SYSTEM\ControlSet005\Services\B343F2181206B9E0"
fqfi1gkb.exe -reboot[/CODE]И запустите cleanup.bat. Компьютер перезагрузится.

Повторите лог.

[QUOTE=Белый Сокол;462649] ... запустите cleanup.bat. Компьютер перезагрузится. Повторите лог.[/QUOTE]

При запуске батника вылезла ошибка, после нажатия "ок", комп перезагрузился...

Вот новый лог gmer.

Пока "Вы" заняты, попробую поставить все дрова, которые, благодаря червю, NOD благополучно снес... а-то мне работать надо, а звука нет... SoundMax пишет "нет аудио источника"... и в диспетчере оборудования звуковое устройство отсутствует...

Очень жду очередных советов по лечению...

В логе чисто

[QUOTE=thyrex;462755]В логе чисто[/QUOTE]

Есть "не большая" проблемка...
При включении компа, загрузку boot`а не видно на мониторе, т.е. монитор включается только на экране приветствия... а до этого момента на мониторе надпись "входной сигнал вне диапозона"... соответственно я не могу зайти не в boot, не в режимы загрузки винды... дрова все стоят...
Связано ли это с вирусом или же это что-то с железом?

Если даже BIOS недоступен - точно что-то железное. Видеокарта в начальном режиме должна давать 60 Герц 640x480 точек. И любой монитор должен этот режим поддерживать. Стандарт, однако.

Монитор с цифровым DVI-входом? А выход на видеокарте?

[QUOTE=pig;462765]Если даже BIOS недоступен - точно что-то железное. Видеокарта в начальном режиме должна давать 60 Герц 640x480 точек. И любой монитор должен этот режим поддерживать. Стандарт, однако.[/QUOTE]

Вот и я о том же... скорее всего видюха, все-таки, накрылась... как никак ей почти 6 лет... )))

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[QUOTE=thyrex;462766]Монитор с цифровым DVI-входом? А выход на видеокарте?[/QUOTE]

Вы знаете, думаю, DVI-выхода нет ни на видюхе ни на мониторе...
Железо не просто срарое... оно "морально" устарело... стыдно сказать:
Монитор: 15" LG Flatron L1520B LCD TFT
Видюха: ATI Radeon 9600 S-video...

Думаю, что из-за этого S-video все и произошло... так как зверье залезло в дрова видюхи, НОД их снес... и мне пришлось подключать ТВ к компу... т.к. монитор вообще не показывал... Вот после этого BIOS и перестал отображатся на мониторе...

[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]

Сейчас сканировал комп НОДом...
НОД повис на сканировании папки - "C:\WINDOWS\WinSxS\x86_System.EnterpriseServices_b03f5f7f11d50a3a_2.0.0.0_x-ww_7d5f3790
Висит уже минут 10...

[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]

Все... "отвис"...
Пока, вроде, все чисто...
Поставлю наночь на скан... если появятся новости, завтра отпишусь!

Всем ОГРОМНОЕ человеческое спасибо за помощь! Молодцы!
Ресурс - супер!
Обещаю, как только появиться возможность, отблагодарю материально... )
Как говорит один мой знакомый: "Спасибо! - это слишком много, мне бы так, чтоб в руку уместилось!" ...

Как и обещал ранее, отписываюсь после проверки компа...
Проверял NOD'ом, с "максимальными" настройками - зверей не обнаружено...

Но, есть ма-а-а-аленькая проблема! При загрузке винды, точнее, после её загрузки, очень долго грузится explorer.exe... около 10 минут никаких действий на компе произвести нельзя... по прошествии 10 минут обновляется рабочий стол и звучит мелодия загрузки винды... после этого все работает в штатном режиме, без тормозов!
Не подскажите, в чем может быть проблема?

Вот последние логи AVZ, HijackThis и Gmer'а...

Так как, логи чистые?

Да, и еще добавилась прабла, мало того что explorer.exe грузится почти 10 минут, как еще в системном трее не отображается большая часть запущенных процессов... Настройки менял, ставил разные варианты - "скрывать", "всегда отображать", ничего не помогает... Например, значка NOD'а нет, хотя прога запущена...

Поможите?

Насчет тормозов:
можно попробовать через msconfig попробовать поотключать
программы из автозапуска.

профиксить:
[CODE]O2 - BHO: FieryAds advertising module v1.5.0 - {CF272101-7F6E-4CF2-9453-B4C5D2FC32C0} - (no file)[/CODE]

Насчет значков надо будет в реестре покопаться, найду - отпишу где.

[B]PavelA[/B]

Спасибо, сейчас попробую профиксить и перезагрузиться...

Не хватает системных файлов, как минимум этих:
[code]
C:\WINDOWS\system32\drivers\aec.sys
C:\WINDOWS\system32\DRIVERS\asyncmac.sys
C:\WINDOWS\system32\DRIVERS\atmarpc.sys
C:\WINDOWS\system32\DRIVERS\CCDECODE.sys
C:\WINDOWS\system32\drivers\drmkaud.sys
[/code]
Скопируйте их с другого компьютера.

[QUOTE=AndreyKa;464068]Не хватает системных файлов... [/QUOTE]

Интересно, куда они делись?! :O

Хорошо, скопирую... Спасибо за совет! А "chkdsk" не поможет, ели есть лицензионный диск XP?

sfc /scannow может помочь.

[B]PavelA[/B]

О'к! Попробуем!

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 11 минут[/I][/B][/color][/size]

[QUOTE=PavelA;464084]sfc /scannow может помочь.[/QUOTE]

К сожалению, не помогло... выдает ошибку: "Защита файлов Windows не смогла запустить сканирование защищенных системных файлов. Код ошибки: 0х000006ba [сервер RPC недоступен]."

Помогло другое... "Провекра тома на наличие ошибок" с вставленным с привод оригинальным диском XP"...
Вроде, все потерянные файлы нашлись...

Но, остается проблема с работой Винды... а точнее, explorer... но, это я думаю, что explorer... на самом деле, первые 10 минут после включения компа, даже диспетчер задач вызвать невозможно... соответственно, посмотреть, что грузит систему я не могу!

Буду пробывать по Вашему совету "ломать" автозапуск... :D

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\logon.exe - [B]Worm.Win32.Bezopi.cm[/B] ( DrWEB: Win32.HLLW.Autoruner.6865 )[/LIST][/LIST]