Вирус в оперативной памяти

Printable View

18.09.2009, 11:48
nbpkiev

Вирус в оперативной памяти

После очередного контакта с флешкой на компьютер перенесся вирус.
Avast выдавал по 10 предупреждений при загрузке Винды.
Потихоньку все файлы (якобы) я перенес в хранилище и предупреждения перестали появляться.
Однако стал странно работать ДВД привод (DVD+-RW LG GH22-NS40), купленый буквально месяц назад.
Поначалу он все медленней писал диски, после чего вообще пропал из списка приводов во всех программах (Неро, СD burner XP...). Остался там лишь как возможность записывать образы.
Тем не менее, уже записанные диски ДВДром читает без всяких проблем.

Позвонив владельцу флешки, выяснил, что у него была та же проблема, но она сама собой как-то ликвидировалась.

Что я предпринимал - запустил аваст в ДОС-режиме. Тот понаходил вирусы и поубивал их, но с очередным запуском вновь обнаружил вирус в оперативной памяти.
Запустив аваст в очередной раз в ДОС-режиме никаких вирусов обнаружено не было. Но в режиме под Виндой - он опять есть.

[COLOR="Red"]скачал AVZ, но в разделе ЧАВО написано, что "код меняется в зависимости от ситуации :)"

подскажите, какой код нужно вставить, чтобы выполнить скрипт и что вообще делать?[/COLOR]

Заранее спасибо.

П.С.Попробывал установить Dr.Web CureIt - тот вообще вирусов в оперативке или где бы то ни было не нашел...
18.09.2009, 11:54
drongo

сначала логи сделать, а уже по логам скажем какой скрипт выполнить. Читать внимательно:[url]http://virusinfo.info/showthread.php?t=1235[/url]
18.09.2009, 12:09
nbpkiev

Все сделал, но не могу понять, как создать virusinfo_syscure.zip
Подскажите, если не трудно...
Делал все исходя из инструкций, написанных в правилах.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

У меня высветилось "прислать запрошенный карантин" - но я не знаю, что это.
Вы хотите, чтобы я прислал зараженый файл?
18.09.2009, 12:35
drongo

Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cuvccodc.dll','');
QuarantineFile('C:\WINDOWS\system32\els.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3078743177-7570837646-015386957-4778\nissan.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\gasfkyadwqxylk.dll','');
BC_ImportAll;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
RebootWindows(true);
end.
[/code]

После этого будет рестарт.
Лишь после исполнения скрипта
прислать карантин по красной ссылке, читаем приложение 3 правил- там написано как.
P.S.
virusinfo_syscure.zip автоматически образуется после выполнения пункта 1. "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info". , если антивирус или зловред не мешает :)
Аваст отключите и попробуйте :)
18.09.2009, 15:36
nbpkiev

Файл закачан, спасибо :)
Ну то есть Вам спасибо)

[size="1"][color="#666686"][B][I]Добавлено через 32 минуты[/I][/B][/color][/size]

Там я так понял четыре вируса (или зараженных файла).
Оттуда ли проблемы с ДВДромом?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 46 минут[/I][/B][/color][/size]

Что дальше делать?
Просто ждать?
18.09.2009, 19:18
thyrex

Выполните скрипт в AVZ
[code]begin
SetAVZGuardStatus(True);
DeleteFile('C:\RECYCLER\S-1-5-21-3078743177-7570837646-015386957-4778\nissan.exe');
DeleteFile('C:\WINDOWS\system32\gasfkyadwqxylk.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
ExecuteSysClean;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
18.09.2009, 19:29
nbpkiev

[B]thyrex[/B], ошибку выдает! Говорит, что файл уже загружен...
нужно ли делать новые логи?
18.09.2009, 19:37
pig

Делайте. И скрипт не забудьте.
18.09.2009, 19:47
nbpkiev

Сделал!
18.09.2009, 19:50
nbpkiev

зы: в карантин прибыло файлов...
как-то может их залить по новой?
18.09.2009, 19:52
thyrex

[QUOTE='nbpkiev;470664']thyrex, ошибку выдает! Говорит, что файл уже загружен...[/QUOTE]Это я кое-что не удалил из просьбы :)

Лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] сделайте
18.09.2009, 23:01
nbpkiev

[B]thyrex[/B], начал делать лог - все сбилось - всплыло окно "память не может быть read"...
зы: какой это ужасный гадостный вирус!
и какие вы отзывчивые и хорошие люди :)

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

при повторной попытке, компьютер мигнул, появилось синее окно, которое очень настойчиво говорило, что с компьютером что-то очень не так!

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 55 минут[/I][/B][/color][/size]

Видимо, только завтра решится, да?
18.09.2009, 23:53
thyrex

При создании лога gmer лучше все лишнее из памяти выгрузить, особенно защитный софт
Попробуйте сделать лог в безопасном режиме
19.09.2009, 09:28
nbpkiev

попробывал.
компьютер завис.

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

вторая попытка закончилась сообщением что "память не может быть read".
19.09.2009, 13:16
thyrex

Попробуйте это [url]http://virusinfo.info/showthread.php?t=50169[/url]
19.09.2009, 15:29
nbpkiev

[B]thyrex[/B], вновь неудача :(
Сперва TDSS remover зависал при попытке удалить hidden objects, а потом опять стал вылетать синий экран с предупреждением.
в безопасном режиме программа не работает...
19.09.2009, 17:07
thyrex

Выполните скрипт в AVZ
[code]begin
SetAVZGuardStatus(True);
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\gasfkyxjemxmwx');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Теперь попробуйте лог gmer сделать
19.09.2009, 23:31
nbpkiev

скрипт сделал.
gmer в обычном режиме виснет.
в безопасном - память не может быть read.
бред прям какой-то!

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 17 минут[/I][/B][/color][/size]

да... дело как-то совсем не движется... :(
19.09.2009, 23:47
AndreyKa

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
SetAVZPMStatus(True);
ClearQuarantine;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
RegKeyResetSecurity('HKLM', 'SYSTEM\CurrentControlSet\Services\gasfkyxjemxmwx');
ExecuteRepair(6);
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.
[b]Обновите базы AVZ[/b].
Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
20.09.2009, 10:24
nbpkiev

Вложений: 1

Карантин выслал.
Лог прикрепил.
20.09.2009, 10:44
AndreyKa

Закройте все программы. Запустите AVZ. Выполните скрипт через меню Файл:
[code]
begin
ClearQuarantine;
SetAVZGuardStatus(True);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
QuarantineFile('\systemroot\system32\drivers\gasfkyyiteolec.sys','');
DeleteFile('\systemroot\system32\drivers\gasfkyyiteolec.sys');
DeleteFile('\\?\globalroot\systemroot\system32\gasfkyadwqxylk.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Пришлите файлы из карантина AVZ (см. приложение 3 Правил), используя ссылку [color=red][b][u]Прислать запрошенный карантин[/u][/b][/color], вверху этой темы.

Сделайте новый лог из пункта 2 Диагностики и приложите к этой теме.
Установите обновления безопасности на Windows.
20.09.2009, 11:10
nbpkiev

Файл сохранён как 090920_110734_virus_4ab5d4b67eb12.zip
Размер файла 64500
MD5 12ad677c178bbe27ca4ac5127319aa14

После перезагрузки авутоматически запустился Аваст, который нашел gasfkyadwqxylk.dll файл и поместил его в хранилище.

лог прикрепляю...
20.09.2009, 11:16
nbpkiev

и простите, за, наверное, глупый вопрос - как установить обновления безопасности на Windows?
полазил по форуму - никто не задает подобного вопроса и в ЧАВО такого нет.
видимо как-то легко, но я что-то запутался.
20.09.2009, 11:39
AndreyKa

Не видно ничего подозрительного.
Очистите карантин AVZ. Выполните процедуру, описанную в первом сообщении: [url]http://virusinfo.info/showthread.php?t=3519[/url]

Панель управления - Автоматическое обновление.
20.09.2009, 11:56
nbpkiev

[B]AndreyKa[/B], ДВДром заработал!!!
Спасибо огромнейшее!
Всем буду рекомендовать ваш ресурс!
:094::094::094:
21.09.2009, 11:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]11[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\recycler\s-1-5-21-3078743177-7570837646-015386957-4778\nissan.exe - [B]P2P-Worm.Win32.Palevo.jqy[/B] ( DrWEB: Win32.HLLW.Lime.18, BitDefender: Worm.Generic.90144 )[*] c:\windows\system32\drivers\gasfkyyiteolec.sys - [B]Packed.Win32.TDSS.z[/B][*] \\?\globalroot\systemroot\system32\gasfkyadwqxylk.dll - [B]Packed.Win32.TDSS.z[/B] ( DrWEB: BackDoor.Tdss.based.1, BitDefender: Trojan.Generic.2438994, NOD32: Win32/Olmarik.MF trojan, AVAST4: Win32:Alureon-DA [Rtk] )[/LIST][/LIST]