Printable View
Подхватил вирус Internet Security просит выслать денег за номер активации, блокирует загрузку NOD, при попытке загрузить Malwarebytes отписывает невозможно открыть програму из-за политики ограничения применения програмного обеспечения.
AVZ не дает открыть при заходе в папку где он находится происходит перезагрузка как с NOD.
только hijackthis удалось загрузить
Профиксить:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,[/CODE]
Должно полегчать. После этого повторить логи.
Я не успеваю сделать логи даже выбрать нужные параметры!!!!!!!!!
Переименовал утилиту AVZ в 777.pif откриватся но через 1-1,5с перезагрузка или выключается.
еще задолбало окно типа ps.exe ошибка приложения или alg.exe ошибка приложения
Что делать?????????????
Смешно !!!!!!! Подозревая что атака была 8 числа поставил на компе 5 и AVZ начел грузится без проблем ща делаю логи, скоро виложу полный пакет!!!
Да. Есть такой способ отключения этого дела.
Висилаю свежие логи!!!!!
Жду ответа!!!!!!!
профиксить:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\SYSTEM32\Userinit.exe,C:\WINDOWS\system32\sdra64.exe,[/CODE]
Запустить прикрепленный файл, если появится drv.sys то прислать.
выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\iayntd.dll','');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
ExecuteRepair(11);
ExecuteRepair(17);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Прислать карантин по красной ссылке.
Карантин высылаю!!! профиксил!!!!
Пикрепленный файл зпустил но нет уверенности что все прошло как надо довольно быстро комп ушол на перезагрузку!!!!
Срипт конечно выполнил.
Что дальше????????
[B]Запустить прикрепленный файл, если появится drv.sys то прислать.[/B]
Вопрос-то остался.
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Выполнить:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\system32\iayntd.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Перевести время в нормальное состояние. Баннер появиться или нет?
drv.sys не появляется
Поставил 13 число банер сново загрузился при попытке входа в интернет!!!!!
Комп подключен к сети и инету может сново загружает ету заразу???????NOD 32 то не загружается из-за политики ограничения применения програмного обеспечения.
С нормальной датой банер ввыскакивает при попытке открыть практически любую програму!!!!!
Лог Хиджака с нормальной датой сделай.
Что такое Хиджака??????
если ето HiJackThis то ща.
Вот Лог
Очень нужна помощь, снос системы КРАЙНЕ не жилателен!!!!!:blink:
Это логи со сбитой датой или наормальной?
[size="1"][color="#666686"][B][I]Добавлено через 7 минут[/I][/B][/color][/size]
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\vux.dll','');
DeleteFile('C:\WINDOWS\system32\vux.dll');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), 'C:\WINDOWS\system32\vux.dll', ''));
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', StringReplace(RegKeyStrParamRead('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'), ',,', ','));
end.[/CODE]
Повторить станд. скрипт №2 и прислать лог.
ето логи с датой на компе 05.01.2010 иначе их сделать невозможно, ну или я не знаю как ихи сделать!!!!!!!!
Сканирую комп ESET Smart Security4 по сети с базой от 13.01.2010 уже нашло 11 угроз на 2% !!!!!!!!!!!!Но сканировать ето одно, а что либо сделать с ними ето другое!!!
[size="1"][color="#666686"][B][I]Добавлено через 2 минуты[/I][/B][/color][/size]
Выполню скрипт и выложу логи после сканирования, нехочу прирывать, или стоит?????
[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]
Вот что он уже нашол
C\WINDOWS\system32\esihlc.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\kefrpjoy.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\h.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\kjgfryprx.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\ajsntd.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\xjmnwpqzf.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\zduwfv.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\r.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\nvcgmqnj.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\j.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением - изолирован
C\WINDOWS\system32\vux.dll - модифицированный Win32/Kryptik.BPB троянская программа - очищен удалением (после следующего перезапуска) - изолирован
Подчистил NOD 30 зловредов, загрузился с нормальной датой - облом, AVZ не пашет банер наместе. Поставил 5 число, выполнил 2 выше указаных скрипта, логи влаживаю!!!!!!!!
есть позитив больше не появляются окна с уведомлениями alg.exe и такого рода ошибка приложения память неможет быть прочитана за адресом ... или записана за адресом ...
Делаем лог HijackThis с нормальной датой.
Будем смотреть, что у Вас живет.
ети логи с нормальной датой, по всей видимости последние два скрипта возымели огромный ефект за что БОЛЬШОЕ БОЛЬШОЕ БОЛЬШОЕ БОЛЬШОЕ спасибо:biggrin:
Банер пропал но остались небольшые последствия такие как заблокированные диспечер задач, редактор реестров и востановление системы, а также поврежденный NOD 32 который не работает но и удалятся не жилает пишет нет доступа, я бы уже поставил ESET Smart Security Business Edition если подскажете как удалить старый NOD
Заранее спасибо!!!!!!
выполнить:
[CODE]begin
ExecuteRepair(11);
ExecuteRepair(17);
RebootWindows(true);
end.[/CODE]
Мастер поиска и исправления проблем -- системные проблемы. Отметить "Восстановление системы" -- Выполнить
Для восстановления НОДа надо сделать лог GetSystemInfo (скачать утилиту с сайта Касперского).
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 46 минут[/I][/B][/color][/size]
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Safer\CodeIdentifiers\0\Paths - проверь вот это ключ. Упоминания о Ноде удали.
Извените за задержку, все благополучно разблокировалось!!!!!!!!!
Остался только NOD.
C:\Temp\sxdivh.dll - жив зверь.
Придется еще раз станд. скрипт №2 выполнять и лог присылать.
Может я нетот скрипт изначально выполнял????????????
Что являеться станд. скрипт №2
[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]
Глупый вопрос :megalol::megalol:
Туплю к концу дня :blink:
Вот лог
Весело! В логах AVZ ничего плохого не вижу.
Придется делать лог Гмера.
Доброе утро!!!!!!!!
Подчистил ету папку ESETом вот что нашло
\\Byxgalter\C\Temp\sxdivh.dll - модифицированный Win32/Kryptik.BQR троянская программа - очищен удалением - изолирован
\\Byxgalter\C\Temp\ejmoir.dll - модифицированный Win32/Kryptik.BQR троянская программа - очищен удалением - изолирован
\\Byxgalter\C\Temp\rcwqbc.dll - модифицированный Win32/Kryptik.BQR троянская программа - очищен удалением - изолирован
Что делать с NODом комп без антивирусника вобще!!!!!!!
Лог Гмера прилагаю
Ребята так что мне делать с C:\Temp\sxdivh.dll есть он или нет??????? И что делать с NOD новый ESET Smart Security4 отказывается работать точно также как и старый!!!!!! Что-то полюбому осталось и блокирует его работу
Я в шоке проверил машину Virus Removal Tool нашло небольшой отряд зловредов!!!! Но самое печальное что удалило или вылечило всего ~20%, что делать с остальными??????? отпишите пожалуйста!!!!!!!!
Текстовый документ с описанием сканирования прилагаю.
Вычистить полностью временные папки. Можно использовать CCleaner.
Особо страшного ничего найдено не было. Только вот скринсайвер надо заменить
на другой.
Подчистил все временные папки с помощью CCleaner комп даже работать быстрее стал, спасибо за подсказку:smile::smile::smile:
Остался только вопрос с антивирусником. Удалил NOD 32 поставил ESET Smart Security4 но грузится не хочет, пишет "Невозможно открыть данную программу из-за политики ограничения применения программного обеспечения. За дополнительной информацией обратитесь к системному администратору или откройте "Просмотр событий"".
если нельзя ничего сделать подскажите какой поставить антивирус?????
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Win dows\Safer\CodeIdentifiers\0\Paths -- проверь на наличие записей о Ноде. Если есть, то удали.
Еще в AVZ -- Файл - Мастер поиска и устранения проблем -- Серь.проблемы -- отметить все и исправить.
Все работает поставил ESET и обновил of-line.:biggrin::biggrin::biggrin:
Весели записи в реестре об ESET а также об Malwarebytes'Anti-Malware.
Большой тебе РЕСПЕКТ и УВАЖУХА.
PS:будем щитать что я излечен!!!!!!!!!!!!!!!!!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\iayntd.dll - [B]Trojan.Win32.Agent2.cndx[/B] ( DrWEB: Trojan.Winlock.859, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\sdra64.exe - [B]Trojan-Banker.Win32.Bancos.kdj[/B] ( DrWEB: Trojan.PWS.Panda.171, BitDefender: Rootkit.32284, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]