Снова трояны(((

Printable View

04.01.2010, 13:57
Vika_s

Снова трояны(((

С Новым Годом!:smile:
И снова с просьбой о помощи(((
- проводник перестал видеть флешки,
- при загрузке компа после "Приветствия" появляется синий экран с кучей текста и тут же снова идет перезагрузка. Комп загружается с 3-го раза,
- антивирусы выявили несколько троянских вирусов(((.

ПОМОГИТЕ, пожалуйста:rolleyes:.
04.01.2010, 14:11
Aleksandra

1. Отключите восстановление системы и антивирус.
2. Выполните скрипт в AVZ:

[CODE]begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
DelBHO('{5067A26B-1337-4436-8AFE-EE169C2DA79F}');
QuarantineFile('C:\WINDOWS\system32\sys32_nov.exe','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\Documents and Settings\user1\sys32_nov.exe','');
DeleteService('glaide32');
QuarantineFile('C:\WINDOWS\system32\drivers\glaide32.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\atapi.sys','');
DeleteFile('C:\WINDOWS\system32\drivers\glaide32.sys');
DeleteFile('C:\Documents and Settings\user1\sys32_nov.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','sys32_nov');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','userinit');
DeleteFile('C:\WINDOWS\system32\sys32_nov.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sys32_nov');
DeleteFileMask('%tmp% ','*.* ',true );
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!

3. Выполните скрипт в AVZ:

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите файл quarantine.zip, используя ссылку [url]http://virusinfo.info/upload_virus.php?tid=65874[/url]

4. Повторите логи.
04.01.2010, 15:38
Vika_s

Всё сделала..
Отправляю логи
04.01.2010, 16:23
Bratez

Пофиксите в HijackThis:
[code]
R3 - URLSearchHook: (no name) - - (no file)
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/code]
Выполните скрипт в AVZ:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svchost.exe:ext.exe','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe','');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
DeleteFile('C:\WINDOWS\system32\svchost.exe:ext.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\Nokia Lifeblog','EventMessageFile');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\Nokia Software Installer','EventMessageFile');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\Nokia Software Launcher','EventMessageFile');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\LiveUpdate','EventMessageFile');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.
Сделайте новые логи (только п.2 и 3 раздела Диагностика).
Что с проблемами?
04.01.2010, 16:47
Vika_s

Вложений: 2

После запуска скрипта в AVZ окошки закрылись и комп повис(
Загружается с первого раза. Флешку в проводнике не видит. Но при этом когда в[SIZE=3][FONT=Times New Roman]ставляю флешку, появляется сообщение «Найдено новое оборудование Volume» и[/FONT][/SIZE][FONT=Times New Roman][SIZE=3] сообщение системы «Windows не удается загрузить программу для установки Volume. Обратитесь к поставщику»[/SIZE][/FONT]

Логи сделала.
04.01.2010, 16:52
Bratez

Лог HijackThis делали [B]до [/B]выполнения скрипта в AVZ?
04.01.2010, 16:58
Vika_s

Нет, после скрипта..Когда снова комп включила:unsure:

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Да, и до выполнения скрипта флешку пробовала - была видна в проводнике:rolleyes:
04.01.2010, 17:04
Bratez

Пуск - Выполнить - [B]cmd[/B] - OK.
В окне командной строки наберите
[B]sc delete ICF[/B]
и нажмите [I]Enter[/I].

Перезагрузите ПК и повторите лог HijackThis.
04.01.2010, 17:15
Vika_s

Готово..
Лог отправляю
Флешку так и не видит(((( и сообщение про Volume появляется:sad:
04.01.2010, 17:30
Bratez

В логе чисто.
04.01.2010, 17:36
Aleksandra

Я бы хотела взглянуть на такой лог [url]http://virusinfo.info/showthread.php?t=40118[/url]
04.01.2010, 17:48
Vika_s

Скачался файл 3f3t9pw9.exe. При запуске вылетает с системной ошибкой(((

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Сообщение, как ошибка любого приложения:
"Обнарежна ошибка. Приложение будет закрыто, Приносим извинения..." и все такое
04.01.2010, 18:00
Aleksandra

Такой лог сделайте [url]http://virusinfo.info/showthread.php?t=40120[/url]

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Если возникнут проблемы, то загружаетесь в безопасный режим и пробуйте сделать лог RootRepeal там.
04.01.2010, 18:10
Vika_s

запустила программку, отметила все птички, как сказано...Программа повисла намртво , пришлось перегружать комп((((
Пробовать еще раз запустить?:unsure:
04.01.2010, 18:27
Aleksandra

Пробуйте в безопасном режиме.

[size="1"][color="#666686"][B][I]Добавлено через 10 минут[/I][/B][/color][/size]

Если же и это не даст результата, то скачайте CureIt по этой ссылке [url]http://beta.drweb.com/files/?p=cureit&t=d[/url] и просканируйте им машину. О результатах отпишитесь.
04.01.2010, 18:35
Vika_s

завис и в безопасном режиме(((
качаю программку по ссылке
04.01.2010, 21:24
Vika_s

Караул!!((((((((( При сканировании Вебом где-то на 80% программа вылетела с ошибкой "[FONT=Times New Roman][SIZE=3]22x5IXP.exe – приложение не может быть выполнено ...[/SIZE][/FONT]" и т.д.
Веб выбал сообщение "Внимание! При сканировании системы были обнаружены вирусы (RC=3221225477) и еще полстраницы текста.
В русский регистр не смогла перейти ни клавишами ни мышкой.Пришлось перегружать комп (((
хэээлп!!!!!
Лог др. Веба пришлось сжать.
04.01.2010, 21:45
Aleksandra

Пролечитесь с помощью VBA32 Rescue [url]http://virusinfo.info/showpost.php?p=433671&postcount=3[/url] После приложите файл-отчет vba32.rpt.
04.01.2010, 23:51
Vika_s

уф...это уже что-то сложное :unsure:
если не угроблю комп, завтра отправлю результат:rolleyes:
05.01.2010, 01:08
Aleksandra

[QUOTE=Vika_s;552063]уф...это уже что-то сложное :unsure:
если не угроблю комп, завтра отправлю результат:rolleyes:[/QUOTE]
Нет там ничего сложного и компьютер от этого не угробится.
05.01.2010, 19:47
Vika_s

Добрый вечер)
Проверка прошла успешно.
Файл-отчет прилагаю (в натуральном виде не захотел прикрепляться, пришлось сжать в архив:rolleyes:)
05.01.2010, 20:55
Aleksandra

Какие-нибудь проблемы остались?
05.01.2010, 21:02
Vika_s

Все также проводник не отображает флэшку, карт-ридер ((((
и такое же сообщение о новом уст-ве "Volume" (я вчера подробно написала)((((
это не связано с вирусом?:unsure:
05.01.2010, 21:16
Aleksandra

Активного заражения в логах не увидела.
05.01.2010, 21:27
Vika_s

хорошо..большое спасибо за помощь...:rolleyes::give_rose::give_rose::give_rose:
06.01.2010, 21:27
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]