Невозможно выити на virusinfo и обновить AVZ

Printable View

13.02.2010, 17:51
Morriss

Невозможно выити на virusinfo и обновить AVZ

Подозрение на вирус.Логи прилагаю
13.02.2010, 18:07
DefesT

[URL="http://virusinfo.info/showthread.php?t=4905"]Отключите восстановление системы[/URL]
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\CDTnOr7.exe,[/CODE]
Отключите компьютер от интернета, а также [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('\\?\globalroot\systemroot\system32\CDTnOr7.exe','');
QuarantineFile('C:\WINDOWS\updated7.exe','');
QuarantineFile('C:\WINDOWS\system32\windowsup.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\nbscgptsfu.sys','');
DeleteFile('C:\WINDOWS\system32\windowsup.exe');
DeleteFile('C:\WINDOWS\updated7.exe');
DeleteFile('\\?\globalroot\systemroot\system32\CDTnOr7.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','windows update');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(20);
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам (virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log)
13.02.2010, 20:48
Morriss

Все сделал.Новые логи.На сайт вышел.
Появилось окно svchost.exe Ошибка приложения

Периодически появляется окно. svchost.exe - ошибка приложения.
Инструкция по адресу "0х6fe216e2" обратитесь к памяти по адресу "0х0214005с".
Память не может быть "written". "ОК"-завершение приложения.
После его закрытия комп виснет.
13.02.2010, 21:06
миднайт

[url]http://virusinfo.info/showthread.php?t=64543[/url]
13.02.2010, 21:12
Morriss

[B]миднайт[/B],
для чего эта ссылка? У меня два компа с разными проблемами.
13.02.2010, 21:20
PavelA

Восстановление системы: включено --- Давно надо было отключить.
Профиксить:
[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\CDTnOr7.exe,[/CODE]
После этого повторить скрипт из [url]http://virusinfo.info/showpost.php?p=585271&postcount=2[/url]

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[QUOTE='Morriss;585394']для чего эта ссылка? У меня два компа с разными проблемами.[/QUOTE]
сразу бы темы по разному называли, тогда бы вопросов не было.
13.02.2010, 22:02
миднайт

[B]Morriss[/B], значит я ошибся. Пардон.
13.02.2010, 22:02
Morriss

Все сделал.Новые логи.Восстановление системы было отключено.Комп не перезагрузился,пришлось выключать аварийно.
13.02.2010, 22:20
Morriss

Выскочило окно svchost.exe -ошибка приложения при обновлении AVZ.
13.02.2010, 22:27
PavelA

Следы зачистим:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteSvc('tnemqitfpjb');
DeleteFile('C:\WINDOWS\system32\drivers\nbscgptsfu.sys');
BC_DeleteFile('C:\WINDOWS\system32\drivers\nbscgptsfu.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Станд скрипт №2 повторите. Лог пришлите.
У Вас еще троян обновления Винды заблокировал.
13.02.2010, 22:31
DefesT

+ к [B]PavelA[/B], Пришлите карантин по правилам.
13.02.2010, 22:49
Morriss

[B]PavelA[/B],
[QUOTE]У Вас еще троян обновления Винды заблокировал.[/QUOTE]
Что с этим делать?
Комп опять не выключился.новые логи.
13.02.2010, 22:50
Morriss

Вложений: 1

Загрузил.Карантин отправил.Окно снова появилось.
14.02.2010, 23:08
Morriss

[B]PavelA[/B], [QUOTE]После этого повторить скрипт из [url]http://virusinfo.info/showpost.php?p=585271&postcount=2[/url][/QUOTE]
После выполнения этого скрипта комп не перезагружается.

[size="1"][color="#666686"][B][I]Добавлено через 9 часов 17 минут[/I][/B][/color][/size]

Что же делать дальше?
15.02.2010, 09:39
миднайт

Вложений: 1

Выполните скрипт:

[CODE]begin
executewizard('TSW',3,3,true);
end.[/CODE]

Выполните скрипт из вложения, результат c:\avz_log.txt или из папки avz\log прикрепите к сообщению.
[ATTACH]216580[/ATTACH]
15.02.2010, 20:22
Morriss

При включении появилось окно sscvhost.exe-Ошибка приложения.
Скрипты выполнил .Логи прилагаю.
15.02.2010, 22:01
миднайт

Загляните в последний отчет. Масса уязвимостей. Пройдитесь по ссылкам, обновите ПО.
15.02.2010, 22:29
Morriss

Скачал свежий доктор Вэб.Он нашел 16 вирусов.
Стоит Win XP SP3.Разве может быть столько уязвимостей?
15.02.2010, 22:30
миднайт

Может. Обновляйтесь.
15.02.2010, 22:56
Morriss

[QUOTE]Уязвимость службы сервера делает возможным удаленное выполнение кода
[url]http://www.microsoft.com/rus/technet/security/bulletin/MS08-067.mspx[/url][/QUOTE]
Написал,что обновления не требуется.

[size="1"][color="#666686"][B][I]Добавлено через 12 минут[/I][/B][/color][/size]

sscvhost.exe грузит ЦП.Это не вирус?
15.02.2010, 23:01
PavelA

[QUOTE='Morriss;586690']sscvhost.exe[/QUOTE] С именем не ошиблись?
16.02.2010, 09:43
Morriss

Нет,не ошибся.
16.02.2010, 10:47
миднайт

Какие вирусы нашел доктор веб? Названия сказать можете? Логи повторите.
16.02.2010, 14:32
Morriss

Я думаю,нужно переустановить систему.Там куча уязвимостей,а также при лечении были удалены системные файлы и комп не выключается и не перезагружается.
16.02.2010, 20:33
миднайт

От того что вы переустановите систему уязвимости не закроются. Они закрываются обновлениями.
[QUOTE='Morriss;587004'] также при лечении были удалены системные файлы[/QUOTE] кто\что вам удалил\о системные файлы и какие, если знаете их названия, то их также можно восстановить из консоли восстановления.
Я бы посмотрел еще раз логи, но если установленный софт не критичен для вас, чтож тогда переустанавливайте.
16.02.2010, 21:25
Morriss

[QUOTE=Morriss;585746][B]PavelA[/B],
После выполнения этого скрипта комп не перезагружается.
[QUOTE]После этого повторить скрипт из [url]http://virusinfo.info/showpost.php?p=585271&postcount=2[/url][/QUOTE]

Этот скрипт был для другого компа.Но в этой теме.
Систему не хотел бы переустанавливать,так как я продвинутый "чайник".
Если можно восстановить удаленные файлы,то подскажите как.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

И еще постоянно появляются окна sсvhost.exe и sscvhost.exe.
17.02.2010, 00:43
миднайт

Повторите логи AVZ + Hijackthis в полном объеме по правилам раздела. Посмотрим что там.
19.02.2010, 21:05
Morriss

Добрался до компа.Новые логи.
19.02.2010, 22:29
Morriss

При включении и перезагрузке комп то грузится нормально,то синий экран с сообщением об ошибке.
19.02.2010, 22:34
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\updated7.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\cdrom.sys','');
TerminateProcessByName('c:\windows\system32\syncman.exe');
QuarantineFile('c:\windows\system32\syncman.exe','');
TerminateProcessByName('c:\documents and settings\Администратор\syncman.exe');
QuarantineFile('c:\documents and settings\Администратор\syncman.exe','');
DeleteFile('c:\documents and settings\Администратор\syncman.exe');
DeleteFile('c:\windows\system32\syncman.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SyncMan');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SyncMan');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
DeleteFile('C:\WINDOWS\updated7.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
19.02.2010, 23:08
Morriss

Комп не выключился.Включился только с третьего раза. Новые логи.
19.02.2010, 23:09
Morriss

Карантин отправил.
19.02.2010, 23:36
thyrex

Выполните скрипт в AVZ
[code]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\Администратор\local settings\application data\av.exe');
QuarantineFile('c:\documents and settings\Администратор\local settings\application data\av.exe','');
DeleteFile('c:\documents and settings\Администратор\local settings\application data\av.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

C:\WINDOWS\system32\DRIVERS\cdrom.sys замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]

Сделайте новые логи
20.02.2010, 18:04
Morriss

[B]thyrex[/B],
[B]миднайт[/B],
Спасибо за помощь.
Комп соседский.Они решили переустановить систему.
21.02.2010, 18:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\администратор\syncman.exe - [B]Trojan-Dropper.Win32.Agent.bpgj[/B] ( DrWEB: Trojan.Packed.19699, BitDefender: Trojan.Dropper.Cutwail.IQ, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\drivers\cdrom.sys - [B]Trojan-Dropper.Win32.Agent.bpgi[/B] ( DrWEB: BackDoor.Bulknet.448, BitDefender: Rootkit.Kobcka.Patched.Gen, NOD32: Win32/Protector.G virus )[*] c:\windows\system32\syncman.exe - [B]Trojan-Dropper.Win32.Agent.bpgj[/B] ( DrWEB: Trojan.Packed.19699, BitDefender: Trojan.Dropper.Cutwail.IQ, AVAST4: Win32:Malware-gen )[*] \\?\globalroot\systemroot\system32\cdtnor7.exe - [B]Trojan-Dropper.Win32.Agent.bmhg[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]