Помогите пожалуйста удалить вирус z-connect

Printable View

Показывать 40 сообщений этой темы на одной странице

25.12.2009, 14:11
FAME

Помогите пожалуйста удалить вирус z-connect

здравствуйте, стал часто разьединятся подключеие к интернет, погуглив узнал что єто вирус z-connect, пробывал много скриптов через avz но понял что скрипты у каждого пользователя индивидуальны, помогите пожалуйста удалить этот коварный вирус.
вот логи
25.12.2009, 14:31
Шапельский Александр

Пофиксить в Hijack следующие строки:
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\system32\vksaver.dll[/CODE]
Выполнить скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{6715B96F-A181-462F-AF5E-1E528722A70A}');
QuarantineFile('C:\WINDOWS\system32\srchbho.dll','');
DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
QuarantineFile('C:\WINDOWS\system32\syschk32.exe','');
QuarantineFile('C:\Program Files\Ask.com\UpdateTask.exe','');
QuarantineFile('C:\WINDOWS\system32\vksaver.dll','');
DeleteFile('C:\WINDOWS\system32\vksaver.dll');
DeleteFile('C:\Program Files\Ask.com\UpdateTask.exe');
DeleteFilemask('C:\Program Files\Ask.com','*.*', true);
DeleteDirectory('C:\Program Files\Ask.com');
DeleteFile('C:\WINDOWS\Tasks\Scheduled Update for Ask Toolbar.job');
DeleteFile('C:\WINDOWS\Tasks\SystemCheck.job');
DeleteFile('C:\WINDOWS\system32\syschk32.exe');
DeleteFile('C:\WINDOWS\system32\srchbho.dll');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(14);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
затем следующий
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
файл [B]quarantine.zip[/B] закачайте по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B]
в шапке Вашей темы.
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
25.12.2009, 15:13
FAME

файл quarantine.zip закачал, вот следующие логи
25.12.2009, 15:24
Шапельский Александр

Что с проблемой?
25.12.2009, 15:34
Шапельский Александр

[QUOTE=FAME;545065]всмысле?[/QUOTE]
[QUOTE]стал часто разьединятся подключеие к интернет[/QUOTE]
Эта проблема решена? Другие проблемы есть? z-connect соединение есть?
Если есть, удалите его. Посмотрите, появляется ли оно снова.
25.12.2009, 17:50
FAME

дело в том что большинство пользователей пишут что в сетевых подключениях появляется соединение z-connect, но у меня ничего такого не появлялось но разьединяется каждые минуты 4 или 3. вроде бы не разьединяется нужно ещо посидеть посмотреть) через минут 10 напишу разьединилось или нет)

[size="1"][color="#666686"][B][I]Добавлено через 29 минут[/I][/B][/color][/size]

вроде бы не разьединяло больше) спасибо огромное тебе)

[size="1"][color="#666686"][B][I]Добавлено через 1 час 42 минуты[/I][/B][/color][/size]

блин( вот опять разьединяло( проблема отсалась(
25.12.2009, 17:50
snifer67

Сделайте еще такой лог:
[url]http://virusinfo.info/showthread.php?t=53070[/url]
25.12.2009, 20:52
FAME

вот лог
25.12.2009, 20:57
Шапельский Александр

Удалите в MBAM следующее:
[CODE]Заражено ключей реестра:
HKEY_CLASSES_ROOT\searchbho.seobho (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\searchbho.seobho.1 (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{cf826515-af69-4282-88e9-cc31e3f393ee} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{6715b96f-a181-462f-af5e-1e528722a70a} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{cd31e9a7-ada8-4081-b7ec-6634b3c3518f} (Trojan.BHO) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6715b96f-a181-462f-af5e-1e528722a70a} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\zwangisearch (Adware.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\advantage (Adware.Vomba) -> No action taken.
Заражено папок:
C:\Documents and Settings\--FAME--\Application Data\advantage (Adware.Vomba) -> No action taken.
C:\Program Files\Advantage (Adware.Advantage) -> No action taken.
Заражено файлов:
C:\Program Files\ZwangiSearch\uninstall.exe (Adware.Agent) -> No action taken.
C:\Program Files\Bias\Bias\BIAS SoundSoap 2\UNWISE.EXE (Malware.Packer.Morphine) -> No action taken.
C:\Program Files\TCWL\Plugins\arc\Default.sfx (Malware.Packer) -> No action taken.
C:\Program Files\TCWL\Utilites\SFX Tool\Upack.exe (Malware.Packer) -> No action taken.
C:\Program Files\TCWL\Utilites\WinUpack\Upack.exe (Malware.Packer) -> No action taken.
C:\Program Files\TCWL\Utilites\WinUpack\WinUpackE.exe (Malware.Packer) -> No action taken.
C:\Program Files\TCWL\Utilites\WinUpack\WinUpackR.exe (Malware.Packer) -> No action taken.
D:\Utility\avz4\Infected\2009-12-25\avz00001.dta (Trojan.BHO) -> No action taken.
D:\Utility\WaveGenix Deluxe Mastering\UNWISE.EXE (Malware.Packer.Morphine) -> No action taken.
E:\Games\Пр0гр@ммер\Установочны файлы\EverestUlt-4.60.1500-FULL.exe (Trojan.Dropper) -> No action taken.
E:\Games\Пр0гр@ммер\Кейгены\Keygen.exe (Trojan.Downloader) -> No action taken.[/CODE]
Сделайте контрольный лог MBAM
25.12.2009, 21:46
FAME

вот
25.12.2009, 21:54
Шапельский Александр

Чисто, проблемы остались?
25.12.2009, 22:01
Шапельский Александр

Ок! Ждем результата испытаний.:)
25.12.2009, 22:02
FAME

чорд( к сожалению долго ждать не пришлось( опять разьединило(
25.12.2009, 22:04
Шапельский Александр

Комплект логов сделайте (AVZ, Hijack, MBAM)
25.12.2009, 22:29
Шапельский Александр

Сделайте лог Hijack и АВЗ (ст.скрипт №2)
25.12.2009, 23:07
FAME

вот все логи
:rolleyes:
25.12.2009, 23:50
Шапельский Александр

Пофиксить в Hijack следующие строки:
[CODE]O20 - AppInit_DLLs: C:\WINDOWS\system32\vksaver.dll[/CODE]
Выполнить скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DelBHO('{FCBCCB87-9224-4B8D-B117-F56D924BEB18}');
DelBHO('{1BB22D38-A411-4B13-A746-C2A4F4EC7344}');
DeleteFile('C:\WINDOWS\system32\vksaver.dll');
DeleteFileMask('C:\Program Files\Pivim Multibar','*.*', true);
DeleteDirectory('C:\Program Files\Pivim Multibar');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Сделайте лог Hijack и лог АВЗ (ст. скрипт №2)
26.12.2009, 00:04
FAME

реакция АВЗ на ваш скрипт: Ошибка: ')' expected в позиции 7:51
пытался найти ошибку в скрипте но не нашол

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

вот, ошибка находится в этой строке
DeleteFileMask('C:\Program Files\Pivim Multibar',"*.*', true);
26.12.2009, 00:16
Шапельский Александр

Скрипт поправил.
26.12.2009, 00:45
FAME

вот пожалуйста :rolleyes:
26.12.2009, 00:54
Шапельский Александр

В логах чисто, что с проблемой?
26.12.2009, 13:48
FAME

непонятно) просьба та же) не закрывайте тему) завтра отпишусь) всех с натсупающим)

[size="1"][color="#666686"][B][I]Добавлено через 11 часов 56 минут[/I][/B][/color][/size]

ну что такое( опять разьединило(( что за фигня

[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]

вобще чатсо разьединятеся аааа помогите плиз(((
26.12.2009, 14:50
snifer67

Сделайте еще такой лог:
[url]http://virusinfo.info/showthread.php?t=58309[/url]
26.12.2009, 17:36
FAME

вот логи от комбофикса :rolleyes:
27.12.2009, 17:49
snifer67

В логе чисто
27.12.2009, 17:55
FAME

каждую минуту разьединяется блин что за хренЬ(((((
28.12.2009, 13:26
FAME

ребят может есть ещо какойто способ?((

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

может повторить всё сначал?
28.12.2009, 14:18
Шапельский Александр

Выполните такой скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(15);
RebootWindows(true);
end.[/CODE]
Если проблемы не исчезнут, тогда такой
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
Executerepair(18);
RebootWindows(true);
end.[/CODE]
28.12.2009, 16:04
FAME

Вложений: 3

ок, спс, я недавно полазил в логах сделал скрипты ещо пару, вроде не разьединялось, сейчас посмотрим

[size="1"][color="#666686"][B][I]Добавлено через 9 минут[/I][/B][/color][/size]

первый ваш скрипт не подействовал( использую второй

разьединяется реже( но разьединяется((

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

а может быть такое что вирус на жестком диске?

[size="1"][color="#666686"][B][I]Добавлено через 51 минуту[/I][/B][/color][/size]

чуть позже залью логи завново

логи вроде чисты но всё же пожалуйста посмотрите вдруг я чтото упустил :unsure:
29.12.2009, 01:23
thyrex

Плохого не увидел.

TuneUp удалите за бесполезностью
29.12.2009, 11:52
FAME

блин в чом же дело
31.12.2009, 22:56
AndreyKa

Выполните в AVZ скрипт из файла [url=http://df.ru/~kad/ScanVuln.txt]ScanVuln.txt[/url] и приложите к этой теме файл avz_log.txt из под-папки [B]log[/B].
03.01.2010, 13:26
FAME

вот
я переустановил систему но всё равно отключается, и сейчас ещо выложу логи с авз и хайджека ещо раз может что заметите
03.01.2010, 13:33
AndreyKa

[QUOTE='FAME;544987']стал часто разьединятся подключеие к интернет, погуглив узнал что єто вирус z-connect[/QUOTE]Не было у вас никого z-connect-а.
Плохая связь может быть не только из-за вирусов.
03.01.2010, 13:50
FAME

тоесть разьединяется не от вируса а от плохого качества соединения от провайдера?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

просто как в описании вируса было, разьединялось минут 5 каждые и очень доставало. сейчас реже разьединяется но всё же разьединяется.
03.01.2010, 14:16
AndreyKa

А вы пробовали другого провайдера с другим типом подключения (GPRS, LAN, ADSL)?
03.01.2010, 15:08
FAME

нет, да и не смогу.

[size="1"][color="#666686"][B][I]Добавлено через 41 секунду[/I][/B][/color][/size]

но серьёзно даже сейчас через минут 5 отключается.

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

не может же быть что от провайдера отключается каждые 5 минут, и этот модем был у другого пользователя и всё было нормально у него.

[size="1"][color="#666686"][B][I]Добавлено через 36 минут[/I][/B][/color][/size]

блин, помогите пожалуйста очень часто разьедентся стало каждую минуту.
03.01.2010, 15:26
AndreyKa

Ждите, тяну к вам кабель. ;)
03.01.2010, 15:54
FAME

:biggrin:
выполнял скрипт в авз на чтото типо подозрение на руткиты или в общем чтото в этом роде :smile: и было написано в конце что нейтрализован Dialer Callback что эт такое? :rolleyes:
p.s вот логи на всякий слуяай может чтото есть)
03.01.2010, 16:20
FAME

эх( всё равно разьединило( я думал что спасён(

Показывать 40 сообщений этой темы на одной странице