Помогите разобраться с логами

Всем привет! Стоит KAV 9.0.0.736(а). Нашел и удалил вирусы. Но мне не нравиться поведение системы. Такое ощущение что там сидит еще что то. Периодически появляются ошибки связанные с приложением 7ехе(что это???). Стоит Vista SP2 32(86x). Прогнал AVZ 4.32 а в логе вообще не понятно ( то ли есть "зараза",то ли нет). Логи прилогаю>:(

C вашими логами только один способ разборки - [url=http://virusinfo.info/pravila.html]Внимательно прочитать, аккуратно выполнить[/url]

Вот логи:

Здравствуйте,

- Обновите базы АВЗ: (Файл/Обновление баз).
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.


-[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт[/URL]:
[CODE]begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\PROGRA~2\DRM\ojbvp.dll','');
BC_ImportAll;
BC_Activate;
SetAVZPMStatus(True);
RebootWindows(true);
end.[/CODE]

[COLOR="Red"]Если у Вас после перезагрузки появится неизвестное устройство - удалите его через диспетчер устройств.[/COLOR]

После перезагрузки:

-[URL="http://virusinfo.info/upload_virus.php?tid=60954"] Закачайте карантин [/URL] (см. дополнительную информацию Приложения 2 и 3 правил).
- Повторите в точности действия, описанные в пп.1 - 3 раздела правил Диагностика, новые логи прикрепите к новому сообщению.

Нашел что после выхода в инет появляются новые папки с файлами ехе. C:Windows/System32/iIpc/(все 6 штук продукт заразы). C:Windows/System32/Temp(то же самое). C:Windows/System32(4 папки с этой гадастью). Так же нашел эту гадость в Content.IE 5 (весь путь прописывать не буду,надеюсь спецы знают где это).Логи все выкладывал в теме "Помогите разобраться с логами". После этого Зашел в инет и опять жуткие тормоза KAV 2010 показал что выполняется лечение и сам перезагрузился. В безопасном режиме прогнал прогой Virus Removal Tool. Нашла и удалила (лог прилогаю). Но самое интересное ,что после всего (лечение,удаление) появляются окна ошибки програм которые хотят исправить свою работоспособность через инет.Я понимаю что это замануха заразы (чтобы выйти в инет). Закрываю эти окна постоянно а они все равно появляются. Подключаюсь к интернету и окна пропадают, но происходит закачка заразы, которую Каспер присекает но не может вылечить(я так понял). Понимаю что удалив все эти папки,файлы они появятся в новь(сидят где то в реестре??). Запускал AVZ но он ничего по моему не нашел.(лог AVZ в преведущей теме). Чтооооооо делать?????? Сейчас сделаю.

Не знаю причины, но иногда прикрепляя файлы они как бы не загружаются. Вот логи: файл "cure" отправил. И еще были проблемы с обновление AVZ.

Rene-gad сделал все как написано у Вас

Карантин получен и отправлен в лабораторию. В свежих логах еще кое-что интересное нашлось. Выполните скрипт
[code]begin
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Windows\system32\pderunsrv.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.[/code]
Карантин закачайте

Выполнил второй скрипт, карантин загрузил. Что то ни чего не помогает. Все как было без изменений. И постоянно висит окно(я перестал его трогать). Скрин этого окна.

Так ещё ничего и не лечили, только анализы собираем.

А вот теперь думаю полегчает. Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
DeleteFile('C:\Windows\system32\pderunsrv.dll');
DeleteFile('C:\PROGRA~2\DRM\ojbvp.dll');
DeleteFileMask('C:\PROGRA~2\DRM', '*.*', true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\fastuserswitchingcompatibility\Parameters','ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\PDEnum\Parameters','ServiceDll');
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Повторите логи

[B]vegas[/B] скрипт сейчас выполню обязательно (чтоб полегчало), но хочу объяснить одно явление (может нужное для выявления "болезни"). каспер нашел и выполнил процедуру лечения иперезагрузился. все файлы в злопапках исчезли и всплывающие ошибки то же пропали. Так хороше. Но стоило мне подключиться к инету, как тут же появилось окно Каспера с обнаруженными проблемами. так же сразу роявились файлы ехе в этой папке(скрин прилогаю). Пошел выполнять скрипт.

Хороше что у меня стоит Виста и ХР. Отписываюсь с ХР. На Висте(с вирями) не возможно находиться в инете.

После выполнения скрипта сделайте логи AVZ, лог MBAM (см. в моей подписи) и вот такой скрипт выполните

Результат выполнения выложите сюда

[B]vegas[/B] я выполнил скрипт на поиск уязвимостей,но лог чистый.Вот логи:

Проверьтесь этим [url]http://support.kaspersky.ru/viruses/solutions?qid=208636943[/url]

[B]vegas [/B] уже после всего проделанного приятно стало находиться в инете. Ни одного всплывающего окна и воплей Каспера. Посмотрел папки где видел "заразу",все пустые кроме одной [B]iIpc[/B](указанна в скрине #12. Буду ждать дальнейших советов.....

[B]Блин[/B] сглазил. Сейчас опять Каспер нашел вредоносное ПО (папка iIpc). И там появились 3-и файла ехе и 1-на dll-ка. Как это все насто..ело. Проверился [B]kateskiller[/B](по совету [B]thyrex[/B]) все чисто. А прогнал опять [COLOR="#000000"]Malwarebytes' Anti-Malware[/COLOR] показал:
Заражено ключей реестра:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\winhelp32 (Backdoor.Hupigon) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\winhelp32 (Backdoor.Hupigon) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winhelp32 (Backdoor.Hupigon) -> No action taken.
Заражено файлов:
C:\Program Files\Ad Muncher\Patch_AML_v472_b30400.exe (Adware.Zhongsou) -> No action taken.
C:\Windows\System32\Winhelp32.exe (Backdoor.Hupigon) -> No action taken.

Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('C:\Windows\system32\WinHelp32.exe','');
DeleteFile('C:\Windows\system32\WinHelp32.exe');
DeleteFileMask('C:\Windows\System32\iIpc', '*.*', true);
DeleteDirectory('C:\Windows\System32\iIpc');
BC_ImportALL;
BC_DeleteSvc('WinHelp32');
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Закачайте карантин. Повторите лог virusinfo syscheck

[B]vegas[/B] я до этого удалил все с помощью [B]mbam[/B]. Скрипт выполнил, карантин закачал, вот лог:
А еще вопрос. Можете мне сказать источник заражения. Я имею ввиду от куда это можно ловить(сайты,патчи,проги,видео,музыка,трейнеры для игри т.д.). Чего опасаться?????????

Выполните скрипт
[code]begin
SearchRootkit(true,true);
SetAVZGuardStatus(true);
QuarantineFile('DpTaGQfKJTIk.dll','');
DeleteFile('DpTaGQfKJTIk.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\AuduoServic\Parameters','ServiceDll');
DelCLSID('{00020d75-0000-0000-c000-000000000046}');
BC_ImportALL;
ExecuteSysClean;
BC_LogFile(GetAVZDirectory + 'boot_cleaner.log');
BC_Activate;
RebootWindows(true);
end.[/code]
Закачайте карантин. Логи повторите. Файлы в папке iIpc больше не появляются?

[QUOTE='VlaDos;516921']Можете мне сказать источник заражения[/QUOTE]
Нет, это я вам сказать не могу, потенциальных источников заражения очень много, в данном случае им вполне мог быть удаленный бэкдор winhelp32. А вообще про безопасность здесь почитайте [url]http://virusinfo.info/showthread.php?t=30339[/url]

Почему иногда входишь на сайт (типа привет, спасибо что за шли). Пишешь сообщение, прикрепить файлы, а тут окно "вы не авторизированны" - это что? и как понимать?

[B]vegas[/B] все сделал, карантин загрузил. В папке [B]iIpc[/B] сидит ([B]A023 ехе[/B]). Я посмотрел в карантине [B]DpTaGQfKJTk.dll[/B]. Если не трудно выложите скрипт на устранение вот этого:
>> Службы: разрешена потенциально опасная служба TermService (@%SystemRoot%\System32\termsrv.dll,-268)
>> Службы: разрешена потенциально опасная служба SSDPSRV (@%systemroot%\system32\ssdpsrv.dll,-100)
>> Службы: разрешена потенциально опасная служба Schedule (@%SystemRoot%\system32\schedsvc.dll,-100)
> Службы: обратите внимание - набор применяемых на ПК служб зависит от области применения ПК (домашний, ПК в ЛВС компании ...)!
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>> Безопасность: Разрешена отправка приглашений удаленному помошнику. По поводу служб не знаю пока (нужны или нет). И как вернуть все на место в случае сбоя.И если не затруднит ссылку на то где обычно прописываются вирусы и т.д. в реестре (для поиска и удаления). Чем или как узнать место нахождения ключей реестра той или иной программы, dll-ки. Неужели [U]антивирусы[/U] которые себя так [U]рекламируют[/U] не в состоянии замочить эту нечесть.>:( Спасибо заранее. Вот логи:

[QUOTE=VlaDos;517335] Если не трудно выложите скрипт на устранение вот этого[/QUOTE]AVZ//Файл//Мастер поиска и устранения проблем - там всё найдёте :)
[QUOTE]И как вернуть все на место в случае сбоя.[/QUOTE]
Там же закладка Восстановить изменения
[QUOTE]Чем или как узнать место нахождения ключей реестра той или иной программы, dll-ки.[/QUOTE]
- Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL].

[B]Rene-gad[/B] спасибо за ответ. Лог MBAM я выкладывал и сейчас смотрел он девственночист( за исключением патча к програме Ad Muncher).

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

А может произойти сбой драйверов после устранения проблем AVZ?. До этого как снести систему у меня возникли проблемы с определением флешустройств на Висте. При подключении флеш требовалось форматирование устройства. А на ХР все читалось без проблем.

Специалисты! Сегодня опять проявилась активность [B]А002.ехе[/B], совпадает со вчерашней активностью. т.е. весь день "тихо" а в одно и то же время происходит активность (может совпадение). открыл в Тотал Коммандер и посмотрел свойства файлов [B]Lister[/B] (после активности появились новые и самый интересный J002 .exe (IP Configuration Utility)). Выкладываю 2-а текстовых документа (коппии) и скрины из тотал командер. Может это вам как то поможет.

Пролечитесь так [url]http://virusinfo.info/showpost.php?p=306441&postcount=2[/url]

Проличился[QUOTE=thyrex;517729]Пролечитесь так [url]http://virusinfo.info/showpost.php?p=306441&postcount=2[/url][/QUOTE]
DrWeb нашел и удалил:
C:/Users/IGOR/Desktop/WinHelp32.exe
C:/Windows/System32/iIpc/H001.exe
C:/Windows/System32/iIpc/J002.exe
А вот A023.exe не увидел су..а. И что делать, чем искать. Пипеццццццц

Найдите эти файлы в АВЗ (п.2 Приложения в Правилах) и закачайте. Посмотрим на них поближе

[B]vegas[/B] закачал папку [B]virus[/B].Блин, посмотрел по отчету [B]Каспера[/B]. Он уже столько грохнул всякой [U]гадости [/U]в папке [B]iIpc[/B]. Значит сидит где то сволочь и подгружает контент с вирями в инете. Если переустановить систему это будет надежной очисткой или как??????????????. Но хочется все таки найти и обезвредить "причину".

Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]

[QUOTE=thyrex;518823]Такой лог сделайте [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url][/QUOTE]
вот лог:

Проверьтесь этим [url]http://support.kaspersky.ru/viruses/solutions?qid=208636926[/url]

Всем привет! Это какой то кошмар. В папке Sys32 появилось 110"левых",но пока пустых папок. В Content.IE5 3-и папки в каждой по 3-и файла А027.ехе[1] -[3]. Ни одна программа которую советовали не видит это га.но.(ни один антивирус). Что это такое вооюще у меня поселилось,кто-нибудь может мне ответить? За 8-мь лет у меня это первый раз такое. Обычно помогали Веб или КАВ.

Делайте новые логи.

сейчас попробывал AVZ поискать открытые порты. Успел сделать скрин порта который появляется на мгновение и прячется
Порт ТСР 49169 Статус (ESTABLISHED) Remote Host (61.160.217.192) Remote port (21) Приложение (c;\windows\sys32\svchost.exe)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

какие? все тормозит, затруднительно что то сделать.

карантин загрузил,вот новые логи:

Выполните скрипт в AVZ
[code]begin
QuarantineFile('C:\Windows\system32\uidrunsrv.dll','');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]thyrex[/B] скрипт выполнил, карантин загрузил

uidrunsrv.dll - новый зловред [B]Trojan-Downloader.Win32.FraudLoad.wwlx[/B]

Выполните скрипт в AVZ
[CODE]begin
DeleteFile('C:\Windows\system32\uidrunsrv.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\UidSrv\Parameters','ServiceDll');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip