Модифицирован файл hosts

Printable View

10.12.2009, 11:16
atv2010

Модифицирован файл hosts

DrWeb выдал сообщение. Я почитал в и-нете и обнаружил, что файл переписывается каждую минуту до 2 мб.
Не работает в и-нет формах переключение клавиатуры на англ. язык.
Летели вырусы во множесте, антивирус их ловил. трафик постоянно летит.
Проверил CureIT, много удалено, выполнил правила.
Направляю файлы.
10.12.2009, 11:37
Шапельский Александр

Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Common Files\LightScribe\LS_HSI.msi','');
QuarantineFile('C:\WINDOWS\system32\LS_HSI.msi','');
QuarantineFile('C:\WINDOWS\system32\ftcgpk.dll','');
QuarantineFile('C:\WINDOWS\system32\twex.exe','');
DeleteFile('C:\WINDOWS\system32\twex.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
11.12.2009, 03:59
atv2010

Не могу запустить avz

При запуске утилиты avz я вижу, что она работает 2-3 сек. и выключается. Нет возможности запустить скрипт.
Распаковал ее заново в новую папку - то же самое. Может быть вредоносная программа ее выключает?
11.12.2009, 09:14
Шапельский Александр

Попробуйте еще раз выполнить скрипт.
11.12.2009, 09:39
atv2010

Не запускается AVZ

Не работает дольше 3 сек, вылетает или просто не запускается, мгновенно вылетает.
Проверил все DrWeb, он постоянно установлен, ничего нет.
ЦП постоянно загружен на 100 процентов.
Файл hosts я вчера защитил от перезапси, поставив атрибут "только для записи" в защищенном режиме.
Сегодня открыл, оно в течение минуты переисывается на 2 мб.
В защищенном режиме попробовал выполнить AVZ, пишет, что ошибка синтаксиса в скрипте стр.12.1
Если подключить интернет, эксплорер зависает, ничего не могу сделать.
Пишу с другого компьютера, извините, не специалист.

[size="1"][color="#666686"][B][I]Добавлено через 14 минут[/I][/B][/color][/size]

Переименовал, спасибо в "ЧАВО".
Не исполняется, пишт так:
Ошибка: ';' expected в позиции 12:1
11.12.2009, 09:53
миднайт

После BC_ImportAll[B];[/B] точку с запятой поставьте и выполните скрипт.
11.12.2009, 10:57
atv2010

Проверил

Поставил точку с запятой, выполнил. Переименовал AVZ в tur.exe HJ в 11.exe
Направляю файлы.
11.12.2009, 11:55
Шапельский Александр

Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA','');
DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(13);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
12.12.2009, 04:43
atv2010

Выполнил

Выполнил скрипт, присылаю результаты
12.12.2009, 13:38
Шапельский Александр

Выполнить скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('C:\WINDOWS\system32\ftcgpk.dll','');
QuarantineFile('C:\Program Files\Common Files\LightScribe\LS_HSI.msi','');
QuarantineFile('C:\WINDOWS\Installer\10f506b.msi','');
QuarantineFile('C:\WINDOWS\Installer\{CE386A4E-D0DA-4208-8235-BCE43275C694}\NewShortcut1_C673DF680CDE41FC9DFBF63D31DE4F28.exe','');
QuarantineFile('C:\WINDOWS\Installer\{CE386A4E-D0DA-4208-8235-BCE43275C694}\NewShortcut2_C673DF680CDE41FC9DFBF63D31DE4F28.exe','');
QuarantineFile('C:\WINDOWS\system32\LS_HSI.msi','');
QuarantineFile('C:\System Volume Information\_restore{F747065C-8FD6-4B04-9D8B-CF38B58BD0A6}\RP590\A0067429.exe:exe.exe:$DATA','');
DeleteFile('C:\System Volume Information\_restore{F747065C-8FD6-4B04-9D8B-CF38B58BD0A6}\RP590\A0067429.exe:exe.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(13);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Затем следующий
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
файл [B]quarantine.zip[/B] закачайте по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B]
Сделайте комплект логов(3шт.) по правилам
12.12.2009, 15:58
atv2010

Выполнил

При подключении к интернету полетели вирусы, их обнаружил DrWeb.
12.12.2009, 16:03
snifer67

[B]Очистите вручную карантин avz![/B]

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\wmisrvc.exe');
QuarantineFile('c:\windows\system32\wmisrvc.exe','');
DeleteFile('c:\windows\system32\wmisrvc.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
12.12.2009, 16:53
atv2010

Выполнил

Направляю файлы. Система работает тяжело, медленно.
12.12.2009, 17:11
Шапельский Александр

Сделайте лог MBAM и Gmer
12.12.2009, 18:38
atv2010

Один отчет

Сделал проверку MBAM.
GMER пока не закончил проверку, а унас уже после полуночи.
Анализирует огромные базы по работе. Я их удалю и повторю.
12.12.2009, 18:48
snifer67

Удалите в [url=http://virusinfo.info/showpost.php?p=493584&postcount=2]mbam [/url]
[code]
Заражено ключей реестра:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ICF (Rootkit.Agent) -> No action taken.

Заражено папок:
C:\WINDOWS\system32\twain32 (Backdoor.Bot) -> No action taken.

Заражено файлов:
C:\WINDOWS\system32\twain32\local.ds (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\twain32\user.ds (Backdoor.Bot) -> No action taken.

[/code]
Сделаете новый лог mbam
13.12.2009, 08:01
atv2010

Есть результаты

Выполнил MBM, правда в два приема.
Затем сделал лог, который высылаю.
Затем проверил Gmer. Лог высылаю.
Файл hosts уже не переписывается. ЦП на 100%, как ранише не занят, явный прогресс.
Простите, если я от радости пишу глупости, но просто пользователь.
13.12.2009, 11:56
Шапельский Александр

В логах чисто, что с проблемой?

[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]

[QUOTE]Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)[/QUOTE]
Рекомендую обновить, иначе могут быть проблемы, + установить последние обновления на ОС
13.12.2009, 12:19
atv2010

Ответ

То, с чего все началось, кажется, нормально.
Я уже писал, что файл hosts не заменяется, система работает вроде бы хорошо.
Обновление я сделаю обязательно. Этот компьтер используется только для работы с Интернет, в частности для отправки электронной отчетности (занимаюсь бухучетом). Все настраиваю сам, поэтому трудно даются все изменения. Каждый раз обращаться к специалистам не удобно. Работаю давно, были пару лет назад встречи с вирусом, система просто умерла, но я восстановил из образа диска С:, сделанного в день установки опер.системы с помощью Acronis. Надеялся на антивирус.
Сейчас я с Вашей помощью многое понял. Стал читать на Вашем сайте, буду исполнять все рекомендации.
Спасибо Вам. Завтра на работе я подключу к интернету и, если будут проблемы, продолжу эту тему.
Подскажите, пожалуйста. Я частенько чищу компьтер от всякого временного мусора стандартными настройками программы SBMAV Disk Cleaner 2009. Новсегда есть файлы, которые не удаляются: c:\Documents and Set...\Temporary Internet Files\Content.IE5\ примерно такого пути. Это нормально, или должно вызывать сомнение?
14.12.2009, 01:20
миднайт

[QUOTE='atv2010;533514'] c:\Documents and Set...\Temporary Internet Files\Content.IE5\[/QUOTE]
Перед удалением надо закрывать броузер интернет эксплорер. Там временные файлы хранятся.
14.12.2009, 09:02
atv2010

Снова видны вирусы, проверьте пожалуйста

Свежий сканер CureIT в защищенном режиме находит и удаляет вирусы.
При подключении к интернету также были пойманы.
Высылаю результаты прооверки по правилам.
14.12.2009, 09:09
atv2010

Летят вирусы

DrWeb пишет "инфицирован Win32.HLLWSiggen.560"
А еще "Trojan.Inject.7754 и Trojan.Drop.52131"

Этот последний Trojan.Drop.52131 определяется и на 2-м компьютере, на которм я, с Вашей помощью, бьюсь с врагами.
Пишу, а они летят...
14.12.2009, 10:05
Шапельский Александр

Сделайте лог MBAM
15.12.2009, 04:14
atv2010

MBAM не запускается

Не могу сделать лог MBAM. Установил ее заново. Но она запускается не более, чем на 3 сек. и вылетает. И с каждым разом все быстрее.
Такое ощущение, что в компьютере не вирус, а интеллект какой-то.
Три дня лечил, кажется сделали. Вчера обнаружил, что снова полетели вирусы, пока писал, делал логи, с трудом отправил, вирусы окончательно заели систему. Такое ощущение, что стало еще хуже.
С утра я загрузил систему в безопасном режиме, проверил сканером CureIT, найдены 2 врага.
А позже уже не мог запустиься в безопасном, получилось только с помощью скрипта в AVZ, но сканер ничего не нашел. При запуске-то по F8 меню режимов выходит, но когда выбираю - защищенный - далее Windows XP, внизу экрана как-то подозрительно красно написано "защищенный", затем комп. просто перезагружается.
И начались старые проблемы, исчез с линейки ярлык рус-англ., полностью заблирован Ваш сайт, я не могу написать сообщение, а интеренет вообще работает. Проверки анитивирусами ничего не дают.
Утром вчера, до начала бойни, пытался обновитьс систему до SP3, не идет обновление.
У меня в работе второй компьютер, так там все то же. Но он вообще в защищенный не переходит.
15.12.2009, 12:51
Шапельский Александр

Логи сможете сделать?
17.12.2009, 04:22
atv2010

Логи

Сегодня удалось запустить MBAM.
Сделл все логи. Посмотрите.
17.12.2009, 11:16
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\cpadvai.dll','');
QuarantineFile('%Tmp%\RarSFX0','');
QuarantineFile('C:\WINDOWS\system32\ftcgpk.dll','');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Сделайте лог Gmer
17.12.2009, 12:17
atv2010

Логи

Сделал проверку.
17.12.2009, 12:48
Шапельский Александр

Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFilemask('%Tmp%','*.*', true);
DeleteFile('C:\WINDOWS\system32\cpadvai.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
18.12.2009, 04:36
atv2010

Проверено

Направляю логи. Как только подключаю интернет, DrWeb начинает ловить вирусы.
18.12.2009, 10:38
Шапельский Александр

Выполнить скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\service.exe');
QuarantineFile('c:\windows\system32\service.exe','');
TerminateProcessByName('c:\docume~1\8a0a~1\locals~1\temp\rs.exe');
QuarantineFile('C:\DOCUME~1\8A0A~1\LOCALS~1\Temp\rs.exe','');
DeleteFile('c:\docume~1\8a0a~1\locals~1\temp\rs.exe');
DeleteFile('c:\windows\system32\service.exe');
BC_ImportAll;
Executerepair(6);
Executerepair(9);
ExecuteWizard('TSW', 2, 2, true);
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению
19.12.2009, 08:09
atv2010

Выполнил

Выполнил. Заметно быстрее стал работать компьютер вообще (открыте папки, напр., "мой комп."), появился ярлык "рус-англ" (он исчезал первым), стала переключаться клавиатура в интернете, при подключении к интернету уже не летят так нагло вирусы (DrWeb не реагирует).
В течение 10 дней лечения летели одни и те же вырусы, я видел по именам файлов, т.е. мы никак не могли устанить причину их запроса.
Сейчас пока не вижу.
В течение последних суток полностью сделал все обновления системы, включая декабрь.
19.12.2009, 08:12
atv2010

Добавляю

Извините, что не так быстро отвечаю, я на Дальнем Востоке и компьтер у меня наработе.
19.12.2009, 10:43
snifer67

Выполните скрипт в avz
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\qtplugin.exe','');
DeleteFile('C:\WINDOWS\system32\qtplugin.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RegistryMonitor1');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
ПК перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
21.12.2009, 06:30
atv2010

Выполнил

Скрипт выполнил, но карантин пустой.
Логи высылаю.
21.12.2009, 08:36
snifer67

Чисто.Что с проблемой ?
21.12.2009, 09:18
atv2010

Все в порядке

Наверное, все в порядке.
Не работала загрузка в безопасном режиме. Выполнил скрипт для перезагрузки, теперь работает.
Спасибо.
Пока лечили этот компьтер, тем же самым заразил ноутбук, создал ноаую тему, лечу...
22.12.2009, 09:18
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]6[/B][*]Обработано файлов: [B]61[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\system volume information\_restore{f747065c-8fd6-4b04-9d8b-cf38b58bd0a6}\rp590\a0067429.exe:exe.exe:$data - [B]Trojan.Win32.Sasfis.xjd[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Spammer.ABU, NOD32: Win32/Obfuscated.NCY trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\svchost.exe:exe.exe:$data - [B]Trojan.Win32.Sasfis.xjd[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Spammer.ABU, NOD32: Win32/Obfuscated.NCY trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\wmisrvc.exe - [B]Trojan.Win32.Buzus.ctbk[/B] ( DrWEB: Trojan.MulDrop.52131, BitDefender: Trojan.Agent.ANZV, NOD32: Win32/IRCBot.NBF trojan, AVAST4: Win32:VB-NYP [Drp] )[/LIST][/LIST]

Текущее время: 13:48. Часовой пояс GMT +3.

Page generated in 0.01208 seconds with 10 queries