Download Master K706113100 на 4460

Printable View

28.12.2009, 09:24
jiltsovs

Download Master K706113100 на 4460

Собственно тоже самое, что и
[url]http://virusinfo.info/showthread.php?t=65224[/url]
- Прогнал Dr.Web CureIt - нашел несколько Winlock.569 удалил.
Проблема осталась.

- Пробовал загружаться с Hiren Boot CD и запускать AVPTool - почему-то не работает.

- Загрузился и просканировал Kasperesky Rescue Disk 8.8.1.36 Build 26.12.2009
Что-то нашел, удалил - банер остался.

- Пробовал также без особых успехов Dr.Web LiveCD - ничего не нашел.

В данный момент банер появлятся в обычном и безопасном режиме под любым пользователем с администраторскими правами.
Запустить в безопасном режиме с флешки AVZ (в том числе полиморфный), OSAM (переименованный) HiJackThis (тоже переименованный), AVPTool не получается.

Восстановление системы заблокировано групповой политикой. Запустить gpedit.msc не получается - вылетает.

Получилось отключать банер в безопасном режиме путем открытия свойств экрана. Но никакие утилиты из арсенала VirusInfo не запускаются.

Что делать?

[size="1"][color="#666686"][B][I]Добавлено через 1 час 22 минуты[/I][/B][/color][/size]

up

[size="1"][color="#666686"][B][I]Добавлено через 59 минут[/I][/B][/color][/size]

При запуске get.exe (get3.exe) появляется только новый банер,
файлов с расширением sys не появляется.
Ну что, сносить систему что ль? :(

[size="1"][color="#666686"][B][I]Добавлено через 8 часов 38 минут[/I][/B][/color][/size]

Очень прошу помочь!
Уж очень не хочется все переустанавливать...
28.12.2009, 09:59
snifer67

1) Загрузить и сохранить на диск установочный пакет антивирусной лечащей утилиты AVPTool от Лаборатории Касперского (описание см. здесь: [url]http://support.kaspersky.ru/viruses/avptool2010?level=2[/url], ссылка для загрузки: [url]http://devbuilds.kaspersky-labs.com/devbuilds/AVPTool/[/url] );
2) Подготовить загрузочный компакт-диск, позволяющий загружать ПК с обход ОС Windows и запускать лечащие утилиты (подробнее о создании и использовании LiveCD см. здесь: [url]http://virusinfo.info/showthread.php?t=15927[/url] ), или попытаться войти в пораженную ОС при помощи другой учетной записи;
3) Запустить утилиту AVPTool и провести полное сканирование ПК;
4) Перезагрузить компьютер.
28.12.2009, 10:37
jiltsovs

Да блин, ну что ж вы одно и тоже....
Написал же, что данные методы не проходят.
AVPTool на зараженной системе не запускается.
В среде WinPE (LiveCD) постоянно падает.
cureit! что-то находит, но это не избавляет от банера.
LiveCD от Касперского и Dr.Web'а что-то находят, но бестолку все - банер остается.

Ладно. Наконец удалось самостоятельно избавится от банера.
Делал это так.
1. Вставил флешку в зараженный компьютер.
Естественно он записал в RECYCLER себя в виде нескольких *.dll со случайным именем и размером 147 998 байт и autorun.inf.
2. Запустил поиск всех dll с указанным размером по диску на зараженной системе.
3. Удалил эти dll (именно с этим размером 147 998 байт, нашлись они в Winodws\system32, Windows\Temp, dllcache и временных папках пользователя от которого пошло заражение - штук 20 со случайными именами). Перезагрузился.
4. Теперь банера нет. Запустил наконец AVPTool на зараженной системе.
Сейчас идет сканирование.

Проблема пока в том, что я не могу управлять отключением восстановления системы. Просто нет соответствующей вкладки в свойствах системы.
28.12.2009, 10:53
snifer67

Выполняйте правила.
28.12.2009, 10:55
jiltsovs

[QUOTE=snifer67;547310]Выполняйте правила.[/QUOTE]

Стараюсь, но это не всегда получается...
28.12.2009, 11:21
Шапельский Александр

Нужны логи, иначе мы не сможем Вам помочь.
28.12.2009, 12:54
jiltsovs

- AVPTool ничего не нашел.

- Вход пользователя в систему (загрузка параметров и рабочего стола) осуществляется несколько минут.

- Служба восстановления системы в списке есть, но не запускается - не удается найти указанный файл. Соответственно отключить/включить я ее не могу.

- Установленный Касперский 2010 не запускается - В Event Log'е пишет, что доступ к исполняемым файлам был ограничен Администратором.

- Диспетчер задач и редактор реестра также не запускаются - отключены Администратором.

Есть также virusinfo_cure.zip
28.12.2009, 13:28
snifer67

Пофиксить в HijackThis
[code]
F2 - REG:system.ini: UserInit=\\.\globalroot\systemroot\system32\userinit.exe,
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
[/code]
ПК перезагрузите.

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\asjjtr.dll','');
DeleteFile('C:\WINDOWS\system32\asjjtr.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи.
28.12.2009, 13:50
jiltsovs

Все выполнил.
Установленный Касперский 2010 по-прежнему не запускается. Служба восстановления системы также не стартует.
Диспетчер задач и редактор реестра заработали.

В карантине было две папки - одна с файлом, другая - пустая. Выслал тот файлик что был.

Логи сейчас будут...
28.12.2009, 14:26
jiltsovs

Новые логи.

Пока остались проблемы с запуском Касперского 2010.
Event Log:
[I]Тип события: Предупреждение
Источник события: Software Restriction Policies
Категория события: Отсутствует
Код события: 866
Дата: 28.12.2009
Время: 14:18:04
Пользователь: Н/Д
Компьютер: WS30
Описание:
Доступ к C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe был ограничен Администратором по расположению правилом политики {351c2089-6a73-40cd-b966-4615915e8bee}, расположенной в C:\Program Files\Kaspersky Lab[/I]

[I]Тип события: Ошибка
Источник события: DCOM
Категория события: Отсутствует
Код события: 10000
Дата: 28.12.2009
Время: 14:17:17
Пользователь: WS30\adm
Компьютер: WS30
Описание:
Не удается запустить сервер DCOM: {41C8D38D-3B56-4AF4-8BC2-361BC6ADED23}. Ошибка:
"Невозможно открыть данную программу из-за политики ограничения применения программного обеспечения. За дополнительной информацией обратитесь к системному администратору или откройте "Просмотр событий". "
возникла при запуске команды:
"C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\klwtblfs.exe" -Embedding[/I]

странное имя файла у Касперского.

И не запускается служба восстановления:
[I]Тип события: Ошибка
Источник события: Service Control Manager
Категория события: Отсутствует
Код события: 7023
Дата: 28.12.2009
Время: 14:15:01
Пользователь: Н/Д
Компьютер: WS30
Описание:
Служба "Служба восстановления системы" завершена из-за ошибки
Не удается найти указанный файл. [/I]

Еще какая-то служба не запускается:
[I]Тип события: Ошибка
Источник события: SRService
Категория события: Отсутствует
Код события: 104
Дата: 28.12.2009
Время: 14:15:00
Пользователь: Н/Д
Компьютер: WS30
Описание:
Ошибка в процессе инициализации восстановления системы.
Данные:
0000: 02 00 00 00 .... [/I]

Тип события: Предупреждение
Источник события: Software Restriction Policies
Категория события: Отсутствует
Код события: 866
Дата: 28.12.2009
Время: 14:15:07
Пользователь: Н/Д
Компьютер: WS30
Описание:
Доступ к C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2010\avp.exe был ограничен Администратором по расположению правилом политики {351c2089-6a73-40cd-b966-4615915e8bee}, расположенной в C:\Program Files\Kaspersky Lab
28.12.2009, 14:34
PavelA

вот этот ключ пришлите из реестра, если он есть:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths
28.12.2009, 14:35
Шапельский Александр

[B]Отключите восстановление системы!!![/B]
Выполните скрипт
[CODE]begin
SetAVZPMStatus(True);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\asjjtr.dll','');
DeleteFile('C:\WINDOWS\system32\asjjtr.dll');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
28.12.2009, 14:48
jiltsovs

[QUOTE=PavelA;547566]вот этот ключ пришлите из реестра, если он есть:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths[/QUOTE]

Ветка во вложении.
28.12.2009, 15:02
jiltsovs

[QUOTE=shapel;547568][B]Отключите восстановление системы!!![/B]
QUOTE]

[B]ДАННАЯ СЛУЖБА НЕ ЗАПУЩЕНА!!![/B]
[B]УПРАВЛЯТЬ Я ЕЙ НЕ МОГУ![/B]
[B]ЕЕ ПРОСТО НЕТ В СИСТЕМЕ - СМ. ВЫШЕ![/B]

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

'C:\WINDOWS\system32\asjjtr.dll'
такого файла нет.
28.12.2009, 15:41
PavelA

Все что, в том ключе связано с Касперским, удалите.
28.12.2009, 19:51
jiltsovs

[QUOTE=PavelA;547648]Все что, в том ключе связано с Касперским, удалите.[/QUOTE]

Большое спасибо, Касперский заработал.

[size="1"][color="#666686"][B][I]Добавлено через 1 час 13 минут[/I][/B][/color][/size]

Служба восстановления системы тоже заработала.
Делал так.
1. Удалил скрытую папку C:\System Volume Information. Перезагрузился. Проблему это не решило - служба все равно не загружалась.
2. Запустил Process Monitor ([url]http://technet.microsoft.com/en-us/sysinternals/bb896645.aspx)чтобы[/url] посмотреть какой файл не находит служба при запуске. Ругалась на файл _filelst.cfg
\_filelst.cfg PATH NOT FOUND Attributes: Error
3. Дал полные права на новую папку C:\System Volume Information текущему посльзователю. Посмотрел ее содержание. Т.к. точек восстановления не было, то и этого файла там нет.
4. Запустил Пуск - Программы - Стандартные - Служебные - Восстановление системы. Запустилось все успешно. Создал точку восстановления. Похоже в этот момент запустилась сама служба восстановления.
Появилась вкладка "Восстановление системы" в Свойствах системы. В соответствии с "Правилами" отключил восстановление системы.
5. Теперь служба нормально запускается при старте.
28.12.2009, 20:01
jiltsovs

Вроде система вылечена.
Прогнал еще раз сканирование установленным Касперским 2010. Ничего не обнаружил.
Взляните на логи.
Карантин пуст.
Мне можно теперь включить восстановление системы?
28.12.2009, 20:16
snifer67

[quote]Мне можно теперь включить восстановление системы?[/quote]
Да.

С логами все нормально.
28.12.2009, 20:23
jiltsovs

Большое спасибо всем тем кто помогал избавиться от этой бяки.
Всего доброго!
P.S. Добавьте тогда [Излечено] к теме.
28.12.2009, 20:29
snifer67

Модеры добавят:smile:
29.12.2009, 20:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] e:\autorun.inf - [B]Trojan.Win32.AutoRun.oc[/B] ( BitDefender: Trojan.AutorunINF.Gen )[*] \ynsdbkv.dll - [B]Packed.Win32.Krap.w[/B] ( DrWEB: Trojan.Winlock.658, AVAST4: Win32:Malware-gen )[/LIST][/LIST]