Помогите, Win 32 Virut 56...

Printable View

04.12.2009, 19:07
Kirlich

Помогите, Win 32 Virut 56...

Вчера утром внезапно Google Chrome выдал ошибку.
А после этого пошло поехало... половина программ перестала запускаться, затем система один раз вылетела в БСОД.
Все жутко лагало.
Ни один сайт где есть упоминание про антивирусы не открывался.
CureIt скачал через флешку с ноута.
Не запускался.
Через safe mode запустил.
Поставил на ночь - к утру нашлось очень много зараженных файлов 80% их - win32 virut 56.
Но были и некоторые другие, к сожалению я не запомнил названия.
Почти все файлы получили статус исцеленных.
Затем утром когда я повторно запустил быструю проверку все зависло намертво.
Ресетнул.
Больше в винду войти не мог, т.к. при загрузке попадал в BSoD с сообщением *** STOP: 0*0000007B
Dr.Web LiveCD стопорился на пауке и надписи press Alt + F1.
Kaspersky Rescue CD писал упорно какую то ошибку, если надо тоже могу вспомнить какую.
Единственное что пока что помогло это почти "лицензионный" диск Windows Xp- и установка системы поверх с восстановлением.
Сейчас все еще некоторые программы вылетают с ошибкой и я ничего на этом компе не делаю.
Вложил свежесделанные логи.
Прошу помощи и совета что делать.

Обновление:
Я забыл что сделал все в безопасном режиме.
Просто avz в обычном режиме пропадает через где то 4 секунды, и тоже самое с HIjackthis, но он в отличие от avz успел создать лог.
Так что теперь во вложении avz файлы с безопасного режима и hijackthis лог с обычного.
Кстати zip и rar не открыть,т.к. WinRar не запускается тоже.
04.12.2009, 19:10
snifer67

Пролечитесь [url]http://virusinfo.info/showthread.php?t=15927[/url]
04.12.2009, 19:25
Kirlich

Так я же говорю какие у меня проблемы с LiveCd.
Не могу так.
А в безопасном режиме я CureIt лечил уже, хотя сейчас он по-прежнему если поставить полную проверку найдет еще.
Это сделаю.
04.12.2009, 19:27
snifer67

Пролечитесь с LiveCd от Касперского.
04.12.2009, 19:34
Kirlich

Так от Касперского тоже ошибка - Bios error и ничего больше.

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

И еще вопрос - что мне делать с AVZ - он закрывается и я не могу сделать лог нормального запуска ( не безопасного режима).
Нужен ли он?
04.12.2009, 19:53
pig

Пока файловый вирус не выгоните, дальнейшие действия смысла не имеют.

Попробуйте какой-нибудь Live CD на базе Windows, запустите из-под него CureIt через командную строку:
[code]cureit.exe -sp"/not_use_shield"[/code]
Имя исполняемого файла, естественно, реальное поставьте и путь укажите, где лежит.
05.12.2009, 07:49
Kirlich

Хорошо.
Повторно долечиваюсь CureIt с безопасного режима и пробую LiveCd ( я качаю Alkid Live Cd ноябрь).
Завтра доложу о результатах.

[size="1"][color="#666686"][B][I]Добавлено через 11 часов 30 минут[/I][/B][/color][/size]

Пролечился CureIt, вирусов почти не нашел, а virut вообще не было.
Сейчас сижу через Alkid Live Cd, проверяюсь AVP и Вебом оттуда.
Но там еще очень много всяких других утилит - что еще посоветуете оттуда?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

И еще у меня тут на компе в обычном режиме был процесс 8lkyqp.exe,
а сейчас он появился и ноутбуке.
Я надеюсь что это связано с вроде бы запущенным CureIt, но не уверен ( т.к. имя у файла Веба другое)
Никто не знает что это за процесс может быть?
Ггуль как ни странно ничего об этом не знает.
Что делать?

Комп и ноут были связаны через сетевой диск (я телефон Nokia 5800 по Wi fi сделал сетевым диском).
05.12.2009, 12:54
thyrex

Сделать логи из нормального режима уже можете? Тогда на выполнение
05.12.2009, 13:10
Kirlich

Ок. Выполняю.
Хотя в памяти какие то процессы висят еще как оказалось.
05.12.2009, 13:17
Kirlich

Вот новые логи.
blablabla.exe - это я так назвал сам HiJackThis чтобы он не исчезал через 3 секунды.
05.12.2009, 13:24
Kirlich

А так же еще вот такая ошибка вылезает периодически и через диспетчер задач значится что это explorer.exe и после нажатия ок исчезает рабочий стол и все остальное на несколько секунд, как при зависании процесса explorer.exe.
05.12.2009, 13:24
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Admin\qrxal.exe','');
QuarantineFile('C:\WINDOWS.0\wind7upd.exe','');
QuarantineFile('C:\WINDOWS.0\system32\userini.exe','');
QuarantineFile('C:\WINDOWS.0\fonts\services.exe','');
QuarantineFile('c:\windows.0\explorer.exe:userini.exe','');
TerminateProcessByName('c:\windows.0\explorer.exe:userini.exe');
QuarantineFile('c:\windows.0\system32\msnwm.exe','');
TerminateProcessByName('c:\windows.0\system32\msnwm.exe');
DeleteFile('c:\windows.0\system32\msnwm.exe');
DeleteFile('c:\windows.0\explorer.exe:userini.exe');
DeleteFile('C:\WINDOWS.0\fonts\services.exe');
DeleteFile('C:\WINDOWS.0\system32\userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
DeleteFile('C:\WINDOWS.0\wind7upd.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('C:\Documents and Settings\Admin\qrxal.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пролечитесь [url]http://support.kaspersky.ru/faq/?qid=208636998[/url] , Сделайте новые логи.
05.12.2009, 13:31
Kirlich

Выполняю.

[I]обновление:[/I]
скрипт выполнен успешно, сейчас выполняю virutkiller.exe - очень долго сканирует.
Пока что могу добавить , что не открывается сайт virustotal и сайты касперского и веба, хотя ваша ссылка открылась как ни странно.
Вот что пишет на сайт веба и касперского
Not Found
The requested URL /lofiversion/index.php/t103736.html was not found on this server.
и логотип гугла.
Надо ли делать новые логи до завершения сканирования virutkiller'ом?
Просто у меня предчувствие, что он будет сканировать часа 2.

Карантин прислал.
05.12.2009, 14:51
thyrex

[QUOTE='Kirlich;526141']Надо ли делать новые логи до завершения сканирования virutkiller'ом?[/QUOTE]В обязательном порядке
05.12.2009, 15:10
Kirlich

Высылаю.
Извиняюсь за задержку.
05.12.2009, 15:34
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\system32\msnwm.bak','');
QuarantineFile('C:\System Volume Information\_restore{3859772F-1A82-4E5D-8CD4-DA5088863316}\RP1\A0004326.exe:userini.exe:$DATA','');
QuarantineFile('C:\WINDOWS.0\fonts\services.exe','');
DeleteFile('C:\WINDOWS.0\fonts\services.exe');
DeleteFile('C:\System Volume Information\_restore{3859772F-1A82-4E5D-8CD4-DA5088863316}\RP1\A0004326.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS.0\system32\msnwm.bak');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
ExecuteRepair(13);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Ознакомьтесь [url]http://virusinfo.info/showthread.php?t=61596[/url]

Сделайте новые логи
05.12.2009, 16:52
Kirlich

Вот новые логи после выполнения скрипта.
Логи с помощью версии AVZ сделанной по инструкции.
В карантине нет ничего.

Ну так что дальше делать?
05.12.2009, 19:38
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS.0\fonts\services.exe','');
QuarantineFile('C:\WINDOWS.0\System32\Drivers\vtjxprmb.sys','');
DeleteService('vtjxprmb');
DeleteFile('C:\WINDOWS.0\System32\Drivers\vtjxprmb.sys');
DeleteFile('C:\WINDOWS.0\fonts\services.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
05.12.2009, 19:51
Kirlich

Высылаю новые логи.
А также выслал карантин.
05.12.2009, 20:01
snifer67

Выполните скрипт в avz
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS.0\fonts\services.exe');
BC_DeleteFile('C:\WINDOWS.0\fonts\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Сделайте новые логи.
05.12.2009, 20:05
Kirlich

При выполнении вылезла надпись "ошибка expected в позиции 11:1" и комп не перезагрузился.
05.12.2009, 20:06
pig

Поправил, выполняйте.
05.12.2009, 20:22
Kirlich

Выполнил.Высылаю новые логи.
06.12.2009, 13:46
thyrex

Выполните скрипт в AVZ
[CODE]begin
DeleteFile('C:\WINDOWS.0\fonts\services.exe');
SysCleanAddFile('C:\WINDOWS.0\fonts\services.exe');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.

Сделайте новый лог virusinfo_syscheck.zip
06.12.2009, 18:03
Kirlich

Высылаю.
06.12.2009, 18:50
snifer67

Удалите файл [B]C:\WINDOWS.0\fonts\services.exe[/B] ,этой программой [url]http://virusinfo.info/showthread.php?t=17228[/url]
07.12.2009, 11:57
Kirlich

Не нашел такого файла этой прогой и проводником тоже.
07.12.2009, 22:32
pig

Проводником вы в той папке ничего не найдёте, кроме шрифтов.
08.12.2009, 12:07
Kirlich

Ну не знаю.
Icesword тоже не видит.
Попробую еще раз.
08.12.2009, 17:26
Kirlich

К сожалению ничего из этого не выходит(
Смотрите приложение.
Это файла в списке нет.
10.12.2009, 11:46
Kirlich

Ну так что делать дальше то?
При запуске некоторых приложений по прежнему пишет ошибку.
13.12.2009, 22:29
AndreyKa

Переустановите эти программы.
15.12.2009, 17:29
Kirlich

Спасибо!!!

Ну вообщем всем просто ГРОМАДНОЕ спасибо!!!!))
Все супер!)
:)

Ошибки почти исчезли, а вирус и вроде совсем)

Кстати я поставил на второй HDD Семерку и радуюсь)
Читал положительные отзывы, но такого не ожидал.
Это действительно идеальная система, после нее загружаться в казавшийся таким "старым добрым" XP уже совсем странно кажется.
А мой далеко не слабый комп смог, наконец, "вздохнуть полной грудью".:094:
И, конечно же , интерфейс) Это достойно отдельной поэмы)
Так что я глубоко в Se7en'е) 8)

P.S. Сорри за оффтоп, просто не могу сдержать радости))
16.12.2009, 17:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]10[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows.0\explorer.exe:userini.exe - [B]Trojan-Proxy.Win32.Puma.bpn[/B] ( DrWEB: Trojan.Spambot.6739, AVAST4: Win32:Crypt-FPA [Trj] )[*] c:\windows.0\explorer.exe:userini.exe:$data - [B]Trojan-Proxy.Win32.Puma.bpn[/B] ( DrWEB: Trojan.Spambot.6739, AVAST4: Win32:Crypt-FPA [Trj] )[*] c:\windows.0\system32\msnwm.exe - [B]Trojan-Downloader.Win32.Losabel.bmj[/B] ( DrWEB: Trojan.Inject.7590 )[*] c:\windows.0\system32\userini.exe - [B]Trojan-Proxy.Win32.Puma.bpn[/B] ( DrWEB: Trojan.Spambot.6739, AVAST4: Win32:Crypt-FPA [Trj] )[*] c:\windows.0\wind7upd.exe - [B]Trojan.Win32.Buzus.crty[/B] ( DrWEB: Win32.HLLW.Lime.18, AVAST4: Win32:Trojan-gen )[/LIST][/LIST]