Не заходит на сайты антивирусов.

Не заходит на сайты фирм, выпускающих антивирусные программы, в частности drweb.com, при попытке проследить где обрывается доступ через tracert видно что не выходит прямо с компьютера. Плюс через ZoneAlarm видно, что процесс, кажется svchost лезет в инет по куче IP, но сейчас уже ZA не запускается...

Жду советов, заранее спасибо.

1. Пожалуйста, выполните скрипт AVZ:
[CODE]
begin
SearchRootkit(true, true);
QuarantineFile('\\?\globalroot\systemroot\system32\AzoopCI.exe', 'CHQ=N');
QuarantineFile('spus.sys', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\82f29553.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\regedit.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\system32\sdra64.exe', 'CHQ=N');
QuarantineFile('C:\WINDOWS\System32\mswsock.dll', 'CHQ=G');
QuarantineFile('C:\WINDOWS\system32\rsvpsp.dll', 'CHQ=G');
ExecuteWizard('TSW', 3, 3, true);
RebootWindows(true);
end.
[/CODE]
В ходе выполнения скрипта компьютер перезагрузится.
2. Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
3. В протоколе обнаружено много неопознанных файлов, рекомендуется выполнить [url]http://virusinfo.info/index.php?page=uploadclean[/url]

Загрузил не по красной ссылке, а по той, которая указана в 3 пункте, вот что выдало:

Файл сохранён как100221_164859_virus_4b8139cb09e22.zipРазмер файла88097MD52fe762494c8c17e2007b648cf0a2ded8

Надо по красной ссылке еще загружать или нет?
В карантин попали только два файла, успел заметить краем глаза, что по остальным была ошибка, связанная с чем то вроде прямого чтения.
К стати на этот сайт со своего компа я тоже не могу зайти, все отправляю с другого, плюс эксплорер на том где вирус начинает запускаться только со второго раза.

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Понял что наверное туплю и загрузил еще и по красной ссылке...

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 23 минуты[/I][/B][/color][/size]

То ли я что то не так сделал, то ли про меня забыли, то ли случай сложный.....

!!! База поcледний раз обновлялась 21.08.2009 -- Базы надо будет обновить.
Кибер тут развоевался, страшно ему мешать. ;)
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\LogWatNT.exe','');
DeleteFile('C:\WINDOWS\system32\82f29553.exe');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
DeleteFile('C:\WINDOWS\system32\AzoopCI.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
повторить логи.

Готово. У меня еще со вчерашнего дня стоит Spyboot, так он при перезагрузки после выполнения скрипта выдал что происходит попытка Regedit32 прописать regedit и какой то еще один фалй..., БЛИН, забыл какой :(. Да, и еще, обрати внимание на третью, или какая то из F2 строчку в hijackthis.log кажется там что то нето, может пофиксить стоит?

Да, а базу обновить не дает...

Отключите или деинсталлируйте ADware!
Спайбот тоже.
Профиксите:
[CODE]F2 - REG:system.ini: Shell=explorer.exe rundll32.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,C:\WINDOWS\system32\82f29553.exe,\\?\globalroot\systemroot\system32\xeERAwu.exe,\\?\globalroot\systemroot\system32\AzoopCI.exe,
[/CODE]
После этого повторите логи.

на время выполнения скриптов и логов я их отключаю, но после перезапуска системы они запускаются на автомате... Снести их совсем?

Да, нет не надо. Вроде полегчало.
Выполнить скрипт:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\82f29553.exe');
DeleteFile('C:\WINDOWS\system32\system32\AzoopCI.exe');
DeleteFile('C:\WINDOWS\system32\system32\xeERAwu.exe');
ExecuteRepair(20);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Затем Пуск -- Выполнить -- cmd, нажать ОК, -- route -f, нажать Enter
Перезагрузка.
Повторить логи.

Готово, наверное полегчало. Отправлял файлы, показалось что интернет начал тормозить... Может и показалось, или не с этим связано...

Точно полегчало :) DrWeb.com пингуется

avz базы обновил

Доброе утро :)

Что то мне вот эта строчка в логе не нравится:
---------------------------
HijackThis
---------------------------
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe

Detailed information on item O4:

This part of the scan checks for several suspicious entries that autoload when Windows starts. Autoloading entries can load a Registry script, VB script or JavaScriptfile, possibly causing the IE Start Page, Search Page, Search Bar and Search Assistant to revert back to a hijacker's page after a system reboot. Also, a DLL file can be loaded that can hook into several parts of your system.

Infected examples:

regedit c:\windows\system\sp.tmp /s
KERNEL32.VBS
c:\windows\temp\install.js
rundll32 C:\Program Files\NewDotNet\newdotnet4_5.dll,NewDotNetStartup

(Action taken: Registry value is deleted.)
---------------------------
OK
---------------------------

вроде бы на диске в этой папке нет такого файла.

И еще: вчера вечером вроде было все ок, загрузка проца минимальна, а сегодня опять на 50% загружен, показывает что фаерволом. На всякий случай новые логи.

И инет тормозит теперь....

Задействуйте.
Выполните скрипт
[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
BC_ImportAll;
ExecuteSysClean;
Executerepair(6);
Executerepair(14);
Executerepair(16);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

P.S. Просьба выкладывать последние логи:)

Карантин закчал, выполняю пункты 1-3... )

готово

Систем ведет себя спокойно (ничто не грузит проц по TaskManager), инет летает. Пока ждал ответа, до того как ты напсал, сел поработать, покодить, в какой то момент стала печататься строчка "testtestesttest...", понажимал BackSpace и Esc, вроде прекратилось.

Сделайте лог MBAM

Готово.

Сейчас вроде все работает ок, но вот эти строчки в логе МВАМ подзрительные:

Registry Keys Infected:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_CLASSES_ROOT\idid (Trojan.Sasfix) -> No action taken.
Registry Values Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.

C:\WINDOWS\system32\1iGKEdc.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\9FQdh9Y.exe (Backdoor.Bot) -> No action taken.

G:\System Volume Information\_restore{F34BB857-D788-4B0C-B4E3-F2312AB6572C}\RP19\A0008773.exe (Trojan.Downloader) -> No action taken.

C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.
C:\Documents and Settings\R\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> No action taken.

[QUOTE='RomanТик;591270']сел поработать, покодить, в какой то момент стала печататься строчка "testtestesttest...", [/QUOTE] Не мешай AVZ кейлоггеров ловить
;)

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

удали с диска:
[QUOTE]C:\WINDOWS\system32\1iGKEdc.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS\system32\9FQdh9Y.exe (Backdoor.Bot) -> No action taken.
[/QUOTE]
Потом можно и все, что в МВАМ не понравилось, удалить.

Лог МВАМ после этих операций повторить.

После перазагрузки после удаления через МВАМ как всегда запустился ZoneAlarm и начал усиленно с кем то боротся, под 50% загрузки проца, подозрительно.... Я его отключил и начал сканить дальше...

Быстрый скан МВАМ не нашел ничего, запустил полный, но это надолго, перед этим сделал лог AVZ и HijackThis, прикрепляю их.

[QUOTE='RomanТик;591377']как всегда запустился ZoneAlarm и начал усиленно с кем то боротся,[/QUOTE]
А посмотреть можешь, каково имя процесса?

в логах я плохого не увидел.

Просканировал МВАМ, прикреплю файл. На мой взгляд там ничего такого, только на сфкс в тотал командаре не знаю, но вам ребята виднее )

ну и жду рекомендаций...

я бы вот это не хранил.
[CODE]G:\Distrib\Nero\7203\Keygen\Nero.Burning.ROM.6.6.0.18.exe (Backdoor.Sdbot) -> No action taken.[/CODE]

удалил все кроме TotalCommander, все равно сто лет не пользуюсь этим дистрибом.

По ZoneAlarm видно только что он постоянно блочит входищие Incoming(accept) запросы с кучи айпишников к svсhost.exe и все... К кому имнно под свхост не понятно.
Позавчера когда начал бороться с этим хозяйством, накатил SP3 на свою XP, и обновления безопасности, какие попались под руку... Это ведь просто к каким то дыркам в системе снаружи ломятся? Можно ведь сделать чтобы меня с интета не было видно программно, не помню чем только, только вот торренты ведь раздавать не получится тогда наверное.. или получится?

Могу попробовать почистить список прграмм, которым разшрешен доступ, и посмотреть что полезит... Сделать?

[size="1"][color="#666686"][B][I]Добавлено через 28 минут[/I][/B][/color][/size]

Да, и еще, при отключении интернета ZoneAlarm успакаивается... Это все таки из-за атак снаружи? или может что то и локально перестает ломиться.... ?

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

Инет то только почему тормозит.... Раньше ведь до того как начал с вирусами бороться инет не тормозил... Да и вчера вечером тоже все летало...

[size="1"][color="#666686"][B][I]Добавлено через 8 минут[/I][/B][/color][/size]

И инет без ZoneAlarm летает...

Блин. Все таки не все почистили. Мой антивир (Avira Antivir) ругается на непонятные екзешники в system32, улять их получается. Поставил себе вместо ZoneAlarma фаервол Outpost Free, у него в листе довереных файлов появляются тоже какие то бяки, уляю одни, появляются другие...
CureIt ничего не нашел, сейчас просканирую Авирой, и потом еще в безопасном режиме посканирую. Прилагаю логи.

Пофиксить в Hijack
[CODE]O4 - Global Startup: BTTray.lnk = ?[/CODE]
Сделайте лог MBAM

Я конечно пофиксю, но это программка для блютуфа... я правда сто лет им не пользуюсь...

Может то что я находил это посто мусор от вируса остался?

[size="1"][color="#666686"][B][I]Добавлено через 4 часа 31 минуту[/I][/B][/color][/size]

МВАМ ненаходит ничего кроме какогото файла у тотал коммандера, который был и раньше, тоже его наверное удалю. В общем пока буду считать что все вычистили.

так что ВСЕМ БОЛЬШУЩЕЕ СПАСИБО :)

заодно пересел с ЗонАларма на Оутпост :)

Еще раз спасибо и удачи :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\82f29553.exe - [B]Backdoor.Win32.Bredavi.cal[/B] ( AVAST4: Win32:Malware-gen )[*] \\?\globalroot\systemroot\system32\azoopci.exe - [B]Trojan-Dropper.Win32.Agent.bqcr[/B] ( DrWEB: Trojan.PWS.Ibank.25, BitDefender: Trojan.Generic.3227870, AVAST4: Win32:Malware-gen )[/LIST][/LIST]