Доброго времени суток.
Подхватил троян, nod32 его пропустил :( (базы новые) kaspersky online показал на Win32.Bagle.beu
ОС Win Vista home premium
Не могу запустить AVZ,
ag=y (AVZGuard) не помогает (и переименовывал..), nod32, outpost - также не дает запустить (ошибка таже)
в безопасном режиме удалось запустить только hijackthis
жду советов, спасибо.
Запустите AVZ с ключом AM=Y
[QUOTE=light59;478536]Запустите AVZ с ключом AM=Y[/QUOTE]
avz.exe am=y
отказано в доступе.
не выходит, есть еще варианты?
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=40118"]Gmer[/URL]
в нормальном режиме windows Gmer открылся с ошибкой, ругался на loadDriver ugrdypob.sys недостаточно системных ресурсов для завершении операции
сканировать он мог только services, reg, files - остальные галочки не доступны.
C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe - этот файл в логе был мною удален еще когда работал outpost, ибо начал куда то лезть в интернет.
в safemode gmer загрузился нормально, галочки все есть, прилагаю оба лога.
Выполните скрипт в [URL="http://virusinfo.info/showthread.php?t=40118"]Gmer[/URL][CODE]tjgf960i.exe -killall
tjgf960i.exe -del service srosa
tjgf960i.exe -killfile "C:\Users\mk_\AppData\Roaming\drivers\wfsintwq.sys"
tjgf960i.exe -killfile "C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe"
tjgf960i.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\srosa"
tjgf960i.exe -reboot[/CODE]Сделайте свежий лог Gmer + логи по правилам. Должно получиться.
скрипт не выполнился...внизу в окошко выдало абракадабру
попробую ручками..
файлы удалить не вышло, gmer выдает - неверный дескриптор
Попробуйте ещё раз.
:) пробовал много раз
я вам писал выше, что gmer запускается с ошибкой
на чистой машине этот же gmer запускается нормально...
Я подправил скрипт. Запустите его в нормальном режиме, если не получается то в безопасном.
Для лечения бигля есть спец. скрипт. И есть полиморфная версия АВЗ.
в нормальном - ошибки по каждой строчке скрипта, в безопасном при выполнении синий экран смерти..
[size="1"][color="#666686"][B][I]Добавлено через 55 секунд[/I][/B][/color][/size]
[QUOTE=Alex_Goodwin;480188]Для лечения бигля есть спец. скрипт. И есть полиморфная версия АВЗ.[/QUOTE]
можно подробнее?
Попробуйте собрать логи с помощью [URL="http://gjf.hotbox.ru/monk.pif"]полиморфного AVZ[/URL] md5: 2091925798b7909e010e3f7e328c5f0d
[QUOTE=gjf;480200]Попробуйте собрать логи с помощью [URL="http://gjf.hotbox.ru/monk.pif"]полиморфного AVZ[/URL] md5: 2091925798b7909e010e3f7e328c5f0d[/QUOTE]
происходит тоже что и с переименованным avz с ключом am=y на полсекунды окошко открывается затем его убивают :(
1. Скачайте avast! antirootkit tool у меня в подписи.
2. Запустите его и просканируйте им машину.
3. Как закончит проверять, выберите "Fix now" и перегрузитесь.
4. После перезагрузки в диспетчере убейте процесс winupgro.exe.
5. Поставьте на проверку CureIt. Все что найдет удаляйте.
6. Попробуйте запустить AVZ и сделать логи.
avast - сканирует находит паразитов, но когда начинает сканить реестр виснет, винда выдает ошибку.
5. Поставьте на проверку CureIt. Все что найдет удаляйте.
- CureIt уже сканировал, ничего не нашел он :(
Поскольку через несколько дней самолет в другую страну, теряю надежду к лечению и собираюсь форматить.
Подскажите по собственному опыту, стоит ли дальше .... либо легче переустановить винду. Также, где можно почитать про то - какие действия совершает данный троянчик, успел ли он что то отослать? пропустил ли его аутпост и тд..?
[QUOTE=mk_;480256]Подскажите по собственному опыту, стоит ли дальше ....[/QUOTE]
Стоит. Попробуем иначе.
[size="1"][color="#666686"][B][I]Добавлено через 6 минут[/I][/B][/color][/size]
Скачайте [URL="http://mail.ustc.edu.cn/~jfpan/download/IceSword122en.zip"]IceSword.[/URL] В разделе "Registry" по "My computer" жмем правой кнопкой "Find Text" вбиваем "srosa" все что найдет удаляйте правой кнопкой Delete. Далее еще раз запускаем avast и пробуем...
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
[URL="http://virusinfo.info/showthread.php?t=39413"]Как искать и удалять ключи реестра с помощью IceSword.[/URL]
[QUOTE]avast - сканирует находит паразитов, но когда начинает сканить реестр виснет, винда выдает ошибку.[/QUOTE]
Aleksandra, коли он вис при скане реестра я просканил без реестра, аваст успешно удалил.
сейчас им же посканю реестр...
ура) мини ура), похоже есть результаты, avast при повторном скане на файлы и процессы ничего не нашел, прои скане реестра тоже, Gmer запустился без ошибок, также ничего не нашел (красным по крайнее мере не выделил :)
Avz запустился, логи делаю?
Вы все таки удалите в IceSword то, что я написала. Так даже правильнее будет.
странно...на чистом компе IceSword запускается (winXP), на зараженном нет, пишет initialize faild (win vista)....
перестал запускаться AVZ :) также на полсекунды...
4. После перезагрузки в диспетчере убейте процесс winupgro.exe.
ибо вот это сделать забыл, убил его сейчас..
после убиВства, avz запустился...
при попытке запустить лечение AVZ - Ошибка инициализации в протоколе пишет..
вопрос - что дальше делать?
[QUOTE=mk_;480291]пишет initialize faild (win vista)....[/QUOTE]
На Vista с ним могут быть проблемы.
[QUOTE=mk_;480291]ибо вот это сделать забыл, убил его сейчас..
[/QUOTE]
Это сразу надо было сделать.
[QUOTE=mk_;480291]при попытке запустить лечение AVZ - Ошибка инициализации в протоколе пишет..
вопрос - что дальше делать?[/QUOTE]
Опять никакой AVZ не запускается? Лог [B]virusinfo_syscheck[/B] тоже не выходит сделать?
с помощью полиморфного AVZ получилось
После чего там наудаляете айсом, avast-антируткитом, из автозагрузки уберите копию червя, чтобы он не восстанавливался...
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe','');
DeleteService('srosa');
QuarantineFile('C:\Users\mk_\AppData\Roaming\drivers\wfsintwq.sys','');
DeleteService('sK9Ou0s');
QuarantineFile('C:\Users\mk_\AppData\Roaming\drivers\srosa2.sys','');
DeleteFile('C:\Users\mk_\AppData\Roaming\drivers\srosa2.sys');
DeleteFile('C:\Users\mk_\AppData\Roaming\drivers\wfsintwq.sys');
DeleteFile('C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe');
RegKeyParamDel('HKEY_CURRENT_USER','SoftwareMicrosoftWindowsCurrentVersionRun','drvsyskit');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=56196[/url]
3. Повторите логи.
done
Хорошо. Теперь пробуем запустить обычный AVZ, обновляем базы и делаем полный комплект логов.
[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]
wfsintwq.sys - [B]Trojan-Downloader.Win32.Bagle.avs[/B]
с обновлением avz проблемы...ноутбук отказывается видеть wifi...пытаюсь разобраться
мда...где то зараза еще осталась, перестал запускаться avz...
выше посоветовали удалить из автозапуска, это где?
Хорошо. Пока обойдемся без обновлений. Делайте все три лога по [URL="http://virusinfo.info/pravila.html"]правилам.[/URL]
[size="1"][color="#666686"][B][I]Добавлено через 32 минуты[/I][/B][/color][/size]
[QUOTE=mk_;480392]перестал запускаться avz...[/QUOTE]
Хм... Полиморфный тоже? Если нет, то сделайте логи с его помощью.
да полиморфный тоже...но я сделал опять проверку avastom, удалил, ребут, сейчас запустил обычный avz, делаю логи...
AVZPM драйвер нужно устанавливать?
IceSword не удалось запустить?
[size="1"][color="#666686"][B][I]Добавлено через 33 секунды[/I][/B][/color][/size]
[QUOTE=mk_;480417]AVZPM драйвер нужно устанавливать?[/QUOTE]
Нет.
[QUOTE]IceSword не удалось запустить?[/QUOTE]
нет, видимо vista
выше посоветовали удалить из автозапуска, это где?
[QUOTE=mk_;480422]выше посоветовали удалить из автозапуска, это где?[/QUOTE]
Логи сделайте. Возьмем в карантин все, что там есть.
это ужас :)) делал Скрипт лечения/карантина и сбора информации для раздела "Помогите!" virusinfo.info"
при завершении проверки)) avz закрылся) логи не создались
avz, даже полиморфный не запускаются...делаю опять проверку avastom..
winupgro.exe опять появился в процессах
удалил его, делаю лог полиморфным avz...
Хорошо. Тогда сделайте только лог [B]virusinfo_syscheck.[/B]
[QUOTE=Aleksandra;480437]Хорошо. Тогда сделайте только лог [B]virusinfo_syscheck.[/B][/QUOTE]
ok
..
1. Отключите восстановление системы и антивирус.
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ:[/URL]
[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\mk_\AppData\Local\Google\Update\GoogleUpdate.exe','');
QuarantineFile('C:\Windows\system32\psxss.exe','');
QuarantineFile('C:\Windows\PixArt\PAC207\Monitor.exe','');
QuarantineFile('C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe','');
QuarantineFile('C:\Users\mk_\AppData\Local\Google\Chrome\Application\chrome.exe','');
QuarantineFile('C:\Program Files\Zapr\Zapr.exe','');
QuarantineFile('C:\Program Files\GameSpy Arcade\Aphex.exe','');
QuarantineFile('C:\Acer\Empowering Technology\eDataSecurity\x86\eDSloader.exe','');
QuarantineFile('C:\Acer\AcerTour\Reminder.exe','');
DeleteService('srosa');
DeleteFile('C:\Users\mk_\AppData\Local\Temp\ugrdypob.sys');
DeleteFile('C:\Users\mk_\AppData\Roaming\drivers\wfsintwq.sys');
DeleteFile('C:\Users\mk_\AppData\Roaming\drivers\winupgro.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','drvsyskit');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!
Загрузите файл C:\quarantine.zip, используя ссылку [URL]http://virusinfo.info/upload_virus.php?tid=56196[/URL]
3. Повторите логи.
done
C:\Users\mk_\AppData\Local\Google\Update\GoogleUpdate.exe - [B]Trojan-Downloader.Win32.Bagle.beu[/B]
удалил