Ничего не помогает. Кажется trojan.virtumod

Printable View

27.11.2006, 18:11
jerry

Вложений: 3

Ничего не помогает. Кажется trojan.virtumod

Здравствуйте! Прочитал правила, все сделал как там написано, жаль не помогло. Подхватил где-то вирус trojan.virtumod просканил его Dr.Web 4.33 никакмх результатов (он его видит, но не удаляет) Теперь проблемы с IE - при загрузке компьютера выскакивает окно об автономной работе в интернете с предложением о выборе соединиться или автономной работы. Далее написано что произошла какая-то ошибка и открывается окно IE с предложением скачать какую-то бесплатную антивирусную программу или бесплатно просканить компьютер, и еще много типа этих окон возникает. Плюс ко всему компьютер медленнее заметно стал работать:embarasse

Прочитал тему похожую на Вашем форуме, скачал avenger, он смог удалить зараженный файл (поместил его в свою директорию) я его попытался удалить, но из корзины он не удаляется, хотя там его по видимому нет.. Сейчас DrWeb 4.33 выдает такое сообщение время от времени: C:\windows\is67003.exe - инфицирован Trojan.Virtumod

Надеюсь на Вашу помощь. Спасибо!
27.11.2006, 19:29
pig

Пришлите для изучения:
[code]msupdsrv.exe
C:\WINDOWS\System32\lssas.exe
mysvcc.exe
svcchost.exe
C:\djfvqapx.bat
C:\njcwcecs.bat
C:\wrxywwwh.bat[/code]
Не дожидаясь результата, можно сразу пофиксить в HijackThis:
[code]O4 - HKLM\..\Run: [MSUpdSrv] msupdsrv.exe
O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\lssas.exe
O4 - HKLM\..\Run: [mysvcig38] mysvcc.exe
O4 - HKLM\..\Run: [msvcc25] svcchost.exe
O4 - HKLM\..\Run: [gudrtqam] C:\djfvqapx.bat
O4 - HKLM\..\Run: [ttiikcga] C:\njcwcecs.bat
O4 - HKLM\..\Run: [jnhnywaf] C:\wrxywwwh.bat
O4 - HKLM\..\RunServices: [mysvcig38] mysvcc.exe
O4 - HKLM\..\RunServices: [msvcc25] svcchost.exe
O13 - DefaultPrefix: http://htpp.ws?
O13 - WWW Prefix: http://htpp.ws?
O15 - Trusted Zone: *.p0rt2.com
O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} (CInstall Class) - http://www.spywarestormer.com/files2/Install.cab
O16 - DPF: {33331111-1111-1111-1111-611111193423} -
O16 - DPF: {33331111-1111-1111-1111-611111193429} -
O16 - DPF: {33331111-1111-1111-1111-615111193427} -
O16 - DPF: {33331111-1131-1111-1111-611111193428} -
O16 - DPF: {64311111-1111-1121-1111-111191113457} - file://c:\eied_s7.cab
O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34546} - C:\WINDOWS\System32\vbsys2.dll (file missing)[/code]
Подробности - по ссылкам в подписи.
27.11.2006, 21:16
jerry

1. Все пофиксил, результатов пока никаких по прежнему возникает окно при загрузке об автономной работе, IE начинает работу с автономного режима, интернет страшно тормозит, не знаю как я это сообщение написал - очень долго.

2. Первый файл .exe - не найден, поиск не дал результатов. И фалов с расширением .bat тоже. Высылаю Вам три .exe которые Вы просили. Благодарю за помощь.
27.11.2006, 21:35
RiC

Скачайте [url=http://www.atribune.org/ccount/click.php?id=4]Vundofix[/url]
Запустите выберите сначала [b]Scan for Vundo [/b] потом [b]Remove Vundo[/b] после перезагрузитесь и повторите 2 последних лога из правил.
27.11.2006, 23:35
jerry

Вложений: 2

Скачал, все сделал, прикрепляю два последних лога из правил. Сообщения об автономной работе перестали появляться, интернет нормально заработал. Но внезапно возникло сообщение что компьтер перезагрузится через минуту, сообщение: "произошла ошибка в системе C:\Windows\system32\Isass.exe с каким-то там програмным кодом" по истечение минуты комп перезагрузился, и я ничего не смог сделать, что это? Спасибо за помощь.

P.S. А вот еще появляется сообщение: от System для Alert с предложением скачать fixwindows.org и проверить компьютер. Странно ведь все остальное нормально работает... Могу скриншот прислать этого сообщения.
28.11.2006, 00:19
RiC

[QUOTE=jerry]Скачал, все сделал, прикрепляю два последних лога из правил. Сообщения об автономной работе перестали появляться, интернет нормально заработал. Но внезапно возникло сообщение что компьтер перезагрузится через минуту, сообщение: "произошла ошибка в системе C:\Windows\system32\Isass.exe с каким-то там програмным кодом" по истечение минуты комп перезагрузился, и я ничего не смог сделать, что это? Спасибо за помощь.
[/QUOTE]
Ещё не всё - продолжение, мне честно говоря Vundo лень стало руками выковыривать.
Запускаете AVZ, включаете AVZGuard -
Потом "Файл" => "Выполнить скрипт"
[code]
begin
QuarantineFile('C:\WINDOWS\System32\wer8274.dll','');
QuarantineFile('C:\Windows\system32\Isass.exe','');
QuarantineFile('C:\WINDOWS\System32\pmkjh.dll','');
QuarantineFile('C:\blgpuefy.bat','');
QuarantineFile('C:\WebServers\etc\utils\Boot.exe','');
QuarantineFile('C:\WINDOWS\system32\byxyaxu.dll','');
QuarantineFile('c:\windows\system32\mysvcc.exe','');
QuarantineFile('C:\Program Files\PViever\pviever.exe','');
DeleteFile('C:\Windows\system32\Isass.exe','');
DeleteFile('C:\Program Files\PViever\pviever.exe');
DeleteFile('c:\windows\system32\mysvcc.exe');
DeleteFile('C:\WINDOWS\system32\byxyaxu.dll');
DeleteFile('C:\blgpuefy.bat');
DeleteFile('C:\WINDOWS\System32\pmkjh.dll');
DeleteFile('C:\WINDOWS\System32\wer8274.dll');
ExecuteSysClean;
end.
[/code]

После запустите как доверенное приложение (AVZGuard=>Запустить ...) HijackHis и [url=http://virusinfo.info/showthread.php?t=4491]пофиксите[/url] строки -

[code]
O2 - BHO: (no name) - {3747773D-1D18-4957-B96F-C0CD6273CB4F} - C:\WINDOWS\system32\byxyaxu.dll (file missing)
O2 - BHO: (no name) - {CB1CE625-B3EF-44E3-9E0F-D1195EC04A1D} - C:\WINDOWS\System32\pmkjh.dll (file missing)
O2 - BHO: Cls - {CF021F40-3E14-23A5-CBA2-717765728274} - C:\WINDOWS\System32\wer8274.dll (file missing)
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O4 - HKLM\..\Run: [PViever] "C:\Program Files\PViever\pviever.exe" hide
O4 - HKLM\..\Run: [ipsfarga] C:\blgpuefy.bat
O4 - HKLM\..\Run: [mysvcig38] mysvcc.exe
O4 - HKLM\..\RunServices: [mysvcig38] mysvcc.exe
O20 - Winlogon Notify: byxyaxu - byxyaxu.dll (file missing)
[/code]

Затем закройте Hijack и перегрузитесь не выходя из AVZ и не отключая Guard.

Пришлите то, что попало AVZ в карантин.

Обновите DrWeb и проверьте компьютер.

Повторите те-же 2 лога для проверки.
28.11.2006, 18:50
jerry

Запускаю AVZ, включаю AVZGuard -
Потом "Файл" => "Выполнить скрипт" но что дальше? Куда вышеприведенный код поместить? Я не могу создать никакого файла кроме папки, говорит нет доступа или что-то вроде того...
28.11.2006, 19:00
RiC

[QUOTE=jerry]Запускаю AVZ, включаю AVZGuard -
Потом "Файл" => "Выполнить скрипт" но что дальше?[/QUOTE]
Копируете текст из рамки в открывшееся окно, нажимаете выполнить.

[QUOTE=jerry]И как включить как доверенное приложение?[/QUOTE]
Меню "AVZGuard" из него выбираете "Запустить приложение как доверенное" в появившемся окне выбираете файл HijackThis.exe
28.11.2006, 19:14
jerry

Сделал все как написали, не выходит, появляется ошибка: too many actual parameters в позиции 10:12.

Вирус не дает ничего сделать, приходиться перегружатся каждые пять минут чтобы написать Вам.
28.11.2006, 19:37
Geser

[QUOTE=jerry]Сделал все как написали, не выходит, появляется ошибка: too many actual parameters в позиции 10:12.

Вирус не дает ничего сделать, приходиться перегружатся каждые пять минут чтобы написать Вам.[/QUOTE]

В скрипте ошибка.
Нужно так:

[CODE]begin
QuarantineFile('C:\WINDOWS\System32\wer8274.dll','');
QuarantineFile('C:\Windows\system32\Isass.exe','');
QuarantineFile('C:\WINDOWS\System32\pmkjh.dll','');
QuarantineFile('C:\blgpuefy.bat','');
QuarantineFile('C:\WebServers\etc\utils\Boot.exe','');
QuarantineFile('C:\WINDOWS\system32\byxyaxu.dll','');
QuarantineFile('c:\windows\system32\mysvcc.exe','');
QuarantineFile('C:\Program Files\PViever\pviever.exe','');
DeleteFile('C:\Windows\system32\Isass.exe');
DeleteFile('C:\Program Files\PViever\pviever.exe');
DeleteFile('c:\windows\system32\mysvcc.exe');
DeleteFile('C:\WINDOWS\system32\byxyaxu.dll');
DeleteFile('C:\blgpuefy.bat');
DeleteFile('C:\WINDOWS\System32\pmkjh.dll');
DeleteFile('C:\WINDOWS\System32\wer8274.dll');
ExecuteSysClean;
end.[/CODE]
28.11.2006, 20:12
jerry

Спасибо. Все заработало теперь. Высылаю что было в карантине AVZ. Надо ли перед проверкой компьютера антивирусом отключать восстановление системы? Вот что нашел Dr.Web 4.33 обновленный вчера: C:\WINDOWS\system32\wsh.exe - инфицирован Win32.HLLW.MyBot.based
28.11.2006, 20:22
Shu_b

Если хотите прислать файл, то, пожалуйста, делайте это в соответствии с правилами.

Файл сохранён как 061128_122231_2006-11-28_456c7057dfc3f.rar
Размер файла 76637
MD5 349372d6eb1499fa71bb536a5bc6ac5c
28.11.2006, 22:03
jerry

Все время появляется это сообщение в отдельном окне:

Сообщение от SYSTEM для ALERT на 27.11.2006 23:39

STOP!Windows Requires Immediate Attention!
Windows has found critical ERRORS

To fix the errors please do the following:
1. Download registred cleaner from: .clean32.com
2. Install registred cleaner
3. Run registred cleaner
4. Reboot your computer

FAILURE TO ACT NOW MAY LEAD TO DATA LOSS AND CORRUPTION!

Что с этим делать? Остальное вроде все нормально работает. А это сообщение каждые пять минут выскакивает. Помогите пожалуйста. Спасибо.
28.11.2006, 22:26
Shu_b

Вообще надо устанавливать SP2 и все последующие заплатки на систему.
А избавиться от окошек можно отключив службу сообщений. (что и делается при установке SP2)
28.11.2006, 22:31
jerry

Т.е. мне никак не избавиться от этих окон? Значит вся проблема в том что у меня SP1? Но ведь раньше (до вируса) все нормально было. Есть ли еще какой-нибудь способ?

P.S. Благодарю за помощь! Успехов и удачи Вашему проекту.
28.11.2006, 22:50
Shu_b

[QUOTE=jerry]Есть ли еще какой-нибудь способ?[/QUOTE]
С картинками - [url]http://z-oleg.com/secur/advice/adv1106.php[/url]
28.11.2006, 22:53
RiC

[QUOTE=jerry]Т.е. мне никак не избавиться от этих окон? Значит вся проблема в том что у меня SP1? Но ведь раньше (до вируса) все нормально было. Есть ли еще какой-нибудь способ?[/QUOTE]
К примеру такой -
Пуск => Выполнить
2 команды по очереди
[b]sc stop Messenger[/b]
[b]sc config Messenger start= disabled[/b]

Но всё равно от установки фаервола, SP2 и заплаток вам не отвертется, в противном случае Вы станете постоянным посетителем этого раздела.
29.11.2006, 13:44
jerry

Спасибо еще раз. Пока Dr.Web постоянно обнаруживает какой-то BackDoor, почему, ведь я каждый раз его удаляю? Где можно взять этот файервол? Можно где-нибудь скачать?
29.11.2006, 16:46
pig

[quote=jerry]Пока Dr.Web постоянно обнаруживает какой-то BackDoor[/quote]
Какой и где?

[quote=jerry]почему, ведь я каждый раз его удаляю?[/quote]
Например, пропихивают по сети, у вас же не система, а решето.

[quote=jerry]Где можно взять этот файервол?[/quote]
[url]http://virusinfo.info/showthread.php?t=1431[/url]
29.11.2006, 21:03
jerry

В интернете вообще не могу работать, возникает какая-то ошибка: что win32 произошла ошибка - и с этого момента не могу отключить подключение к интернет и не одна страница интернета не открывается. Это только когда подключен к инету, а так все нормально работает. Что может помочь в этом? Почему Dr Web 4.33 не помогает? Зашел на [url]http://www.agnitum.com/[/url] - не могу найти бесплатную версию, только платные.

P.S. Прошу прощения за свои проблемы, наверное Вас уже замучал своими жалобами.
29.11.2006, 21:34
pig

Вас долбят снаружи, а антивирус защищает изнутри. Он не может заткнуть все дыры в системе. Для этого предназначен Windows Update.
29.11.2006, 22:10
jerry

Извиняюсь за свою тупость:

1. Можно дать ссылку на бесплатный файервол?
2. Что такое Windows Update и что я могу сделать?
3. "Они" могут забраться в мой вебмани?
4. Windows - пиратский - возможности мои сужаются?

Спасибо.
30.11.2006, 01:13
pig

1. Например, [url=http://www.kerio.com/]Kerio Personal Firewall[/url]
2. Windows Update = Автоматическое обновление
3. Могут. Есть зверьё, которое пароли на кошельки ворует
4. Однозначно (c)
02.12.2006, 11:48
jerry

Здравствуйте! Пока еще не успел установить файервол, и поменять SP1 на SP2. Постоянно при соединении с интернетом сразу появляется окно:

Generic Host Process for Win32 Services - обнаружена ошибка.
А антивирус каждую минуту начинает находит зараженный обьект вирусом: Trojan.Spambot - его удаляешь а он снова заражает какой-нибудь файл, пока из интернета не выйдешь. Проверял AVZ-ом он ничего не нашел. Подскажите пожалуйста что можно с этим сделать?
02.12.2006, 12:57
pig

Обновиться до SP2, установить заплатки после SP2 и файрвол. В принципе, можно с файрвола начать, должно сразу полегчать.
02.12.2006, 14:07
jerry

Установил файрвол Outpost теперь интернет страницы вообще ни одна не открывается, только если перевожу его в режим бездействия - но тогда какой смысл в нем? Подскажите пожалуйста как сделать так чтобы и файрвол работал и интернет?