eKAV Antivirus последствия

Printable View

07.01.2010, 18:26
avtohlam

Вложений: 2

eKAV Antivirus последствия

Всех с праздниками!Имеем следующую проблему :eKAV пришлите СМС на 4460,я подобрал код воспользовавшись [url]http://virusinfo.info/showthread.php?t=65898[/url]
Сейчас заметно что подтормаживает,проверка AVPTool выявила с десяток троянов,но подтормаживание осталось иногда при попытке проверить каким-либо антивирусом выскакивает синий экран,спасает только перезагрузка.Логи прилагаю
07.01.2010, 18:31
DefesT

Здравствуйте.
[QUOTE]Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)[/QUOTE]
Обновите базы и сделайте новые логи AVZ + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL]
07.01.2010, 19:03
avtohlam

[QUOTE=DefesT;554084]Здравствуйте.

Обновите базы и сделайте новые логи AVZ + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL][/QUOTE]

Обновился,но с gmer-ом засада-выкидывает с ошибкой
07.01.2010, 19:15
DefesT

Отключите компьютер от интернета, а также [B]антивирус[/B] и/или файрвол.
Закройте все программы, выполните скрипт в [U]AVZ[/U]:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\TEMP\~TME1.tmp','');
QuarantineFile('C:\Program Files\dmkqsh\hmctsysguard.exe','');
DeleteFile('C:\WINDOWS\TEMP\~TME1.tmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sysgif32');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится!!!
Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы.
Вот [URL="http://virusinfo.info/~virusinf/showthread.php?t=43700"]это[/URL] выполните
Сделайте новые логи по правилам + попробуйте сделать лог gmer. Если не запускается, то переименуйте его, например, в game.pif.
C:\Program Files\dmkqsh\ - что это?
07.01.2010, 20:06
avtohlam

1.Карантин отправил
2.Сходил по ссылке,все проверил изменений не нашел,но на всякий пожарный выполнил скрипт
3.С логом gmer по прежнему засада(он стартует ,начинает работать и вылетает с ошибкой ) Обратил внимание,что после этого перестает работать инет,пока не перезагрузишся.
4.C:\Program Files\dmkqsh\ -- не знаю точно,[U]возможно[/U] это какая то программа от WIS или EPC или их оболочки.
07.01.2010, 23:20
DefesT

В AVZ - Установите драйвер расширенного мониторинга процессов (AVZPM)
Сделайте новые логи AVZ
Еще такой [URL="http://virusinfo.info/showthread.php?t=40120"]лог[/URL] сделайте
08.01.2010, 19:12
avtohlam

[QUOTE=DefesT;554324]В AVZ - Установите драйвер расширенного мониторинга процессов (AVZPM)
Сделайте новые логи AVZ
Еще такой [URL="http://virusinfo.info/showthread.php?t=40120"]лог[/URL] сделайте[/QUOTE]
Все сделано.
09.01.2010, 21:30
avtohlam

С логом gmer по прежнему засада(он стартует ,начинает работать и вылетает с ошибкой ) Обратил внимание,что после этого перестает работать инет,пока не перезагрузишся и еще перестает работать панель ПУСК.
Что можно предпринять?
11.01.2010, 14:14
gjf

- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
AddToLog('Удаление скрытого сервиса '+'aowwkyi'+' - Результат:'+inttostr(BC_ServiceKill('aowwkyi')) );
AddToLog('Удаление скрытого сервиса '+'cbbuxxetc'+' - Результат:'+inttostr(BC_ServiceKill('cbbuxxetc')) );
AddToLog('Удаление скрытого сервиса '+'crivktuu'+' - Результат:'+inttostr(BC_ServiceKill('crivktuu')) );
AddToLog('Удаление скрытого сервиса '+'flofay'+' - Результат:'+inttostr(BC_ServiceKill('flofay')) );
AddToLog('Удаление скрытого сервиса '+'pemmcqm'+' - Результат:'+inttostr(BC_ServiceKill('pemmcqm')) );
AddToLog('Удаление скрытого сервиса '+'twgwzadag'+' - Результат:'+inttostr(BC_ServiceKill('twgwzadag')) );
AddToLog('Удаление скрытого сервиса '+'vrrti'+' - Результат:'+inttostr(BC_ServiceKill('vrrti')) );
QuarantineFile('C:\Program Files\dmkqsh\hmctsysguard.exe','');
QuarantineFile('%SystenRoot%\System32\netevent.dll','');
QuarantineFile('C:\Windows\System32\netevent.dll','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1); {IE - запретить загрузку подписанных элементов ActiveX без запроса}
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
SaveLog(GetAVZDirectory+'avz_log.txt');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
[b]- Обновите базы AVZ!!![/b]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/I]
- Запакуйте в отдельный zip-архив всё содержимое папки [B]C:\Program Files\dmkqsh\[/B]
- Включите Антивирус и Файрвол
- Подключите ПК к интернету/локальной сети
- Загрузите карантин и содержимое папку [B]C:\Program Files\dmkqsh\[/B] согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи, а также файл avz_log.txt из папки AVZ к новому сообщению в этой ветке.
11.01.2010, 16:35
avtohlam

[QUOTE=gjf;557533]- Закройте/выгрузите все программы кроме Internet Explorer.
Отключите
- ПК от интернета/локальной сети.
[B]- Антивирус и Файрвол.[/B]
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт AVZ:[/URL]
[CODE]Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
AddToLog('Удаление скрытого сервиса '+'aowwkyi'+' - Результат:'+inttostr(BC_ServiceKill('aowwkyi')) );
AddToLog('Удаление скрытого сервиса '+'cbbuxxetc'+' - Результат:'+inttostr(BC_ServiceKill('cbbuxxetc')) );
AddToLog('Удаление скрытого сервиса '+'crivktuu'+' - Результат:'+inttostr(BC_ServiceKill('crivktuu')) );
AddToLog('Удаление скрытого сервиса '+'flofay'+' - Результат:'+inttostr(BC_ServiceKill('flofay')) );
AddToLog('Удаление скрытого сервиса '+'pemmcqm'+' - Результат:'+inttostr(BC_ServiceKill('pemmcqm')) );
AddToLog('Удаление скрытого сервиса '+'twgwzadag'+' - Результат:'+inttostr(BC_ServiceKill('twgwzadag')) );
AddToLog('Удаление скрытого сервиса '+'vrrti'+' - Результат:'+inttostr(BC_ServiceKill('vrrti')) );
QuarantineFile('C:\Program Files\dmkqsh\hmctsysguard.exe','');
QuarantineFile('%SystenRoot%\System32\netevent.dll','');
QuarantineFile('C:\Windows\System32\netevent.dll','');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1); {IE - запретить загрузку подписанных элементов ActiveX без запроса}
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
SaveLog(GetAVZDirectory+'avz_log.txt');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
После перезагрузки:
- [URL="http://virusinfo.info/showthread.php?t=10025"]Очистите темп-папки, кэш проводников и корзину.[/URL]
[B]- Закройте все программы, включая Антивирус и Файрвол, оставьте запущенным только Internet Explorer. Если он не запущен - запустите!!![/B]
[b]- Обновите базы AVZ!!![/b]
- Сделайте повторные логи согласно [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscure.zip
virusinfo_syscheck.zip
hijackthis.log[/I]
- Запакуйте в отдельный zip-архив всё содержимое папки [B]C:\Program Files\dmkqsh\[/B]
- Включите Антивирус и Файрвол
- Подключите ПК к интернету/локальной сети
- Загрузите карантин и содержимое папку [B]C:\Program Files\dmkqsh\[/B] согласно [URL="http://virusinfo.info/pravila.html"]Правил (Приложение 3)[/URL].
- Прикрепите новые логи, а также файл avz_log.txt из папки AVZ к новому сообщению в этой ветке.[/QUOTE]

Все сделал,но папку C:\Program Files\dmkqsh\ не нашел нигде,галочку поставил показывать скрытые,но все равно нет и все.
логи прилагаю.
ЗЫ.Гмер по прежнему не делается.
11.01.2010, 16:47
gjf

Да, не добили одного. Повторите действия выше с таким скриптом:
[CODE]Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true); {ClearQuarantine;}
AddToLog('Удаление скрытого сервиса '+'ddtvz'+' - Результат:'+inttostr(BC_ServiceKill('ddtvz')) );
DeleteFileMask('C:\WINDOWS\TEMP\', '*.*', true);
DeleteFileMask(GetEnvironmentVariable ('Temp'), '*.*', true);
BC_ImportAll;
ExecuteSysClean;
SaveLog(GetAVZDirectory+'avz_log.txt');
BC_Activate;
RebootWindows(true);
end.[/CODE]

Не забудьте повторить логи.
11.01.2010, 17:19
avtohlam

Cделано,новые логи
11.01.2010, 17:24
gjf

GMER уже запускается? [URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог с помощью GMER.[/URL]
[I]gmer.log[/I]
11.01.2010, 17:45
avtohlam

[QUOTE=gjf;557709]GMER уже запускается? [URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог с помощью GMER.[/URL]
[I]gmer.log[/I][/QUOTE]
Нет с GMER все тоже самое,при попытке с делать лог он работает пару-тройку секунд и вылетает с ошибкой "обратилась к памяти по адресу,память не может быть red"что-то в этом роде.После этого экплорер и опера впадают в кому и пропадает инет,спасает перезагрузка с кнопки.
11.01.2010, 17:48
gjf

Понятно. Возможно, что-то ещё сидит. Попробуем другим инструментом. [URL="http://virusinfo.info/showthread.php?t=57249"]Сделайте лог с помощью Rootkit Unhooker.[/URL] Также, воспользуйтесь [url=http://www.esagelab.com/files/tdss_remover_latest.rar]этой утилитой[/url]. После запуска в папке появится текстовый файл - пришлите его сюда.
11.01.2010, 18:11
avtohlam

Вот лог Rootkit Unhooker и лог rk remover.Показалось,что rk remover при перезагрузке удалил какую-то дрянь.Но Гмер не работает все равно.
11.01.2010, 18:23
gjf

Возьму таймаут посовещаться с коллегами. У Вас довольно сложный случай.
11.01.2010, 18:26
avtohlam

[QUOTE=gjf;557754]Возьму таймаут посовещаться с коллегами. У Вас довольно сложный случай.[/QUOTE]
Я благодарен за внимание к моей проблеме.
11.01.2010, 18:31
gjf

Хотя вот ещё такая идея: выполните вот такой скриптик AVZ
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','system tool');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','system tool');
RebootWindows(true);
end.[/CODE]
Система перезагрузится. После перезагрузки сделайте повторный лог только согласно пункта 2 [URL="http://virusinfo.info/pravila.html"]Правил (Диагностика)[/URL]
[I]virusinfo_syscheck.zip[/I]
11.01.2010, 19:11
avtohlam

Cделано.Я тут еще поизвращался,так вот в безопасном режиме rk remover и Rootkit Unhooker не стартуют,сразу ошибка какого-то драйвера.
В обычном режиме при запуске rk remover выскакивает синий экран(такой и раньше выскакивал при удалении этого вируса) и требуется перезагрузка с кнопки.
11.01.2010, 19:57
gjf

Безопасный режим тут ни к чему.
Gmer по-прежнему не запускается?
11.01.2010, 20:17
avtohlam

[QUOTE=gjf;557827]Безопасный режим тут ни к чему.
Gmer по-прежнему не запускается?[/QUOTE]

Нет.Тоесть запускается,начинает сканирование и через несколько секунд вылетает с ошибкой.
11.01.2010, 20:47
gjf

Выполните скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Services\Eventlog\System\DLH5X', 'EventMessageFile', '%SystemRoot%\System32\netevent.dll');
RebootWindows(true);
end.[/CODE]

Система перезагрузится.
Если проблемы останутся - нужно проверить системы с LiveCD. Скачайте LiveCD и обновите его, как описано [url=http://virusinfo.info/showpost.php?p=557652&postcount=296]здесь[/url]. После проверьте с его помощью как минимум диск С заражённой системы.
12.01.2010, 02:44
миднайт

+ к [B]gjf[/B], временно деинсталлируйте эмулятор Alcohol 120%, попробуйте сделать лог gmer.
12.01.2010, 18:20
avtohlam

Cегодня сделал LiveCD,обновил,просканировал-ничего не находит...
Сношу Alcohol,запускаю gmer,заработал,сделал лог,прилагаю.После этого инет опять не работает,панель пуск в дауне,перезагрузился с кпопки.
12.01.2010, 18:27
миднайт

После экспресс проверки нужно было кнопку scan нажать. Переделайте лог плиз.
12.01.2010, 18:42
avtohlam

[QUOTE=миднайт;558729]После экспресс проверки нужно было кнопку scan нажать. Переделайте лог плиз.[/QUOTE]

Нажимаю,кнопку scan- сканирование доходит примерно до половины и выскакивает синий экран (такой и раньше выскакивал при удалении этого вируса)
12.01.2010, 19:56
avtohlam

Вообщем удалось каким-то образом сделать лог Гмер
16.01.2010, 00:25
avtohlam

Есть какие-нибудь мнения?
16.01.2010, 02:36
миднайт

Проверим один файлик.
В AVZ выполните скрипт:

[code]
begin
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\qmgr.dll','');
BC_ImportAll;
BC_Activate;
RebootWindows(true);
end.
[/code]

После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
16.01.2010, 21:52
avtohlam

Все сделано.
17.01.2010, 01:40
миднайт

C:\WINDOWS\system32\qmgr.dll - файл чистый.
Подготовьте лог [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url] и [url=http://virusinfo.info/showthread.php?t=59446]GSI[/url]
17.01.2010, 10:58
avtohlam

[QUOTE=миднайт;562468]C:\WINDOWS\system32\qmgr.dll - файл чистый.
Подготовьте лог [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url] и [url=http://virusinfo.info/showthread.php?t=59446]GSI[/url][/QUOTE]

Cделано
18.01.2010, 10:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]