o9v4r7m9g1x5.ехе

Printable View

18.04.2010, 11:53
Rotvik

o9v4r7m9g1x5.ехе

Приветствую вас!
Вот где-то подхватил эту вирусню (o9v4r7m9g1x5.ехе), на форуме уже есть аналогичный запрос (у меня такие же симптомы) [URL]http://virusinfo.info/showthread.php?t=74864[/URL]. НО когда надо было перезагрузиться в безопасном режиме, то комп, при выборе режима загрузки на "безопасный режим" автоматически начинает его снова перезагружать и опять выводит выбор режима, т.е. не хочет загружаться в "б.р", как вы и предусматривали в этом случае [URL]http://virusinfo.info/showthread.php?t=9279[/URL] , но при запуске AVZ окно утилитки появляется на несколько секунд и пропадает, даже не успеваю ничего сделать. Какие могут быть альтернативные дальнейшие действия, заранее благодарен!:D
18.04.2010, 12:10
thyrex

Сделайте логи с помощью полиморфного AVZ (ссылка в моей подписи)
18.04.2010, 13:41
Rotvik

Я все сделал как и говорили, запустив полиморфный AVZ, я прописал код
begin
ExecuteRepair(10);
RebootWindows(true);
end.
после чего выдало сообщение, что скрипт выполнен правильно и пошла перезагрузка компа, я снова попробовал запустить "б.р", но мне опять выдало черный экран на котором мелькали надписи, и в конце выдало вверху надпись безопасный режим и винда..... а в центре окно с надписью lsass.exe - Системная ошибка. Неправильный формат конечной точки и кнопока ОК.:(

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Я нажал на ОК и все вообще пропало, просто черный экран и не реагирует комп.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

Можно ли запустить проверку с помощью AVPTool или CureIt! не в безопасном режиме?
18.04.2010, 13:45
thyrex

Не занимайтесь самодеятельностью, а выполняйте [URL="http://virusinfo.info/showthread.php?t=1235"]правила[/URL]
18.04.2010, 13:50
Rotvik

я бы с радостью, но комп не грузится в "б.р.". Что делать?
18.04.2010, 13:57
thyrex

Пропустите проверку в безопасном режиме и переходите к разделу Диагностика. Логи нужно делать в нормальном режиме
18.04.2010, 14:00
Rotvik

Отключать востановление системы?
18.04.2010, 14:08
thyrex

Да
18.04.2010, 15:11
Rotvik

Vse sdelal,no teper u menya zablokirovana yazikovaya panel,ne mogu menyt yaziki, zablokirovano panel zadach,piwet, chto zablokirovano adminom, no ya i est admin...i pitaus otpravit files, poluchinie, v prozesse diagnostiki, no mne vidaet, chto ne moget otobrazit stranizu.
18.04.2010, 15:14
thyrex

Выложите логи на файлообменник и ссылку сообщите
18.04.2010, 16:19
Rotvik

podskagite,pogaluysta, adressok filoobmennika!

[size="1"][color="#666686"][B][I]Добавлено через 20 минут[/I][/B][/color][/size]

[url]http://fileshare.in.ua/3350162[/url]
[url]http://fileshare.in.ua/3350169[/url]
[url]http://fileshare.in.ua/3350172[/url]

[size="1"][color="#666686"][B][I]Добавлено через 22 минуты[/I][/B][/color][/size]

tak podxodit?

[size="1"][color="#666686"][B][I]Добавлено через 51 секунду[/I][/B][/color][/size]

A moget snesti sistemu i ne muchatsya? kak dumaete pomoget?

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

[url]http://www.letitbit.ru/files/31572/virusinfo_syscure.zip[/url]
[url]http://www.letitbit.ru/files/31576/virusinfo_syscheck.zip[/url]
[url]http://www.letitbit.ru/files/31579/hijackthis.log[/url]
18.04.2010, 19:54
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\03.scr','');
QuarantineFile('C:\WINDOWS\SoftwareDistribution\Download\913b6900d6019df6e14d471993ddd188\backup\svchost.exe:ext.exe:$DATA','');
QuarantineFile('C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058420.exe:ext.exe:$DATA','');
QuarantineFile('c:\windows\system32\svchost.exe:ext.exe:$DATA','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1906104345-5145627043-264494243-8776\sysdate.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\knivk.sys','');
DeleteService('dac970nt');
TerminateProcessByName('c:\windows\system32\qtplugin.exe');
QuarantineFile('c:\windows\system32\qtplugin.exe','');
DeleteFile('c:\windows\system32\qtplugin.exe');
DeleteFile('C:\WINDOWS\system32\drivers\knivk.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-1906104345-5145627043-264494243-8776\sysdate.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','RegistryMonitor1');
DeleteFile('c:\windows\system32\svchost.exe:ext.exe:$DATA');
DeleteFile('C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058420.exe:ext.exe:$DATA');
DeleteFile('C:\WINDOWS\SoftwareDistribution\Download\913b6900d6019df6e14d471993ddd188\backup\svchost.exe:ext.exe:$DATA');
DeleteFile('C:\WINDOWS\system32\03.scr');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(6);
ExecuteRepair(9);
ExecuteRepair(11);
ExecuteRepair(17);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(true);
end. [/code]Компьютер перезагрузится

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи и прикрепите их к своему сообщению через кнопку Расширенный режим
ПРи невозможности - на файлообменник [B]без отсчета времени[/B]
18.04.2010, 22:23
Rotvik

Все выполнил!

Все выполнил и УРА у меня появилась языковая панель с возможностью изменения языков! Но к сожалению, я так и не могу прикрепить файлы отчета, посему выложу их на файлообменник опять, и еще мне в процессе сканирования программой Hijackthis выдает сообщение, которое я тоже, с Вашего позволения, выложу на файлообменник! Заранее благодарен!:clapping:

[size="1"][color="#666686"][B][I]Добавлено через 3 минуты[/I][/B][/color][/size]

[url]http://www.letitbit.ru/files/32574/hijackthis.log[/url]
[url]http://www.letitbit.ru/files/32576/virusinfo_syscure.zip[/url]
[url]http://www.letitbit.ru/files/32577/virusinfo_syscheck.zip[/url]
[url]http://www.letitbit.ru/files/32579/tochechnyy_risunok.bmp[/url]
18.04.2010, 22:40
thyrex

Выполните скрипт в AVZ
[code]begin
SEtAVZPMStatus(True);
ExecuteRepair(13);
RebootWindows(true);
end. [/code]Компьютер перезагрузится

Пофиксите в HiJack
[CODE]O4 - HKLM\..\Run: [ctfmon.exe] ctfmon.exe[/CODE]

Что за коллекция зверья у Вас в папке [B]C:\Viktor\dissemination[/B] ?

Сделайте новые логи и пробуйте прикрепить на форуме
19.04.2010, 08:26
Rotvik

Все выполнил, как вы и говорили. Наконец-то могу прикреплять файлы в форуме. А это сборище нечести, которое в той папке, так это товарищ попросил немного похранить у себя на компе, но я даже не открывал папку.
19.04.2010, 12:46
thyrex

Что с безопасным режимом?

Сделайте лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
20.04.2010, 22:20
Rotvik

Наконец то завершилось сканирование...20 с лишним часов....
С безопасным режимом все тоже, черный экран, по которому бежит строка multi(...)disk(....)... остальное не успеваю прочитать, но весь экран в этий надписе, то есть каждая строчка одинаковая и и появляется построчно с большой скоростью, будто выполняется программка, а потом тоже самое, что я раньше описывал. черный экран слова находят друг на друга, но можно разобрать, что написано безопасный режим и дальше инфа про винду, а посередине открывается окошко с надписями, которые я уже описывал...
20.04.2010, 22:32
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\Temp\tmp8291.exe','');
QuarantineFile('C:\WINDOWS\Temp\7.exe','');
DeleteFile('C:\WINDOWS\Temp\7.exe');
DeleteFile('C:\WINDOWS\Temp\tmp8291.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Fci (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\fci (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ctfmon.exe (Security.Hijack) -> No action taken.

Зараженные папки:
C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013 (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS\system32\drivers\88702222.sys (Rootkit.Agent.H) -> No action taken.
C:\Documents and Settings\Администратор\Рабочий стол\avz4\avz4\Infected\2010-04-18\avz00001.dta (Worm.Kolab) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058114.exe (Rogue.SystemDoctor) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058118.exe (Rogue.SystemDoctor) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058130.dll (Rogue.DriveCleaner) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058139.exe (Rogue.ContentEraser) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058142.exe (Rogue.CleanupTool) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058144.exe (Rogue.CleanupTool) -> No action taken.
C:\System Volume Information\_restore{1A064D5C-D540-4802-A39F-0421FCEEB85D}\RP140\A0058148.dll (Rogue.DriveCleaner) -> No action taken.
C:\WINDOWS\Temp\tmp8291.exe (FakeMS) -> No action taken.
C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Trojan.Agent) -> No action taken.
C:\WINDOWS\logfile32.txt (Malware.Trace) -> No action taken.
C:\WINDOWS\Temp\7.exe (Worm.AutoRun) -> No action taken.[/CODE]
22.04.2010, 08:50
Rotvik

Я выполнил скрипт в AVZ, на долю секунды появился синий экран с надписями белого цвета и пошла перезагрузка, потом при загрузке винды были надписи, но не надписи, а ноборы символов.... Для выполнения карантина надо в AVZ выполнить скрипт лечения, а потом еще скрипт сбора информации, правильно или можно просто скрипт сбора информации?
22.04.2010, 09:50
thyrex

Для создания карантина нужно прочитать внимательно Приложение 3 правил

В МВАМ удалили написанное?
Сделайте еще раз лог МВАМ
23.04.2010, 09:31
Rotvik

Еще нет, я включаю МВАМ на сканирование и иду на работу, а прихожу он все еще сканирует, вот показывает, что уже 15 часов сканирует, уж очень медленный...

[size="1"][color="#666686"][B][I]Добавлено через 10 часов 24 минуты[/I][/B][/color][/size]

Вы получили архив карантина, а то тут не отображается никак, что вы его получили...Провел удаление, согласно Вашего списка в МВАМ, и запустил на новое сканирование, для создания нового лог файла!
23.04.2010, 09:43
thyrex

Получили
23.04.2010, 11:39
Rotvik

В этот раз проверка прошла, можно сказать, мгновенно!
23.04.2010, 12:14
thyrex

Ничего необычного не видно. Что с проблемой?
23.04.2010, 12:35
Rotvik

Вам виднее, я ничего, кроме того, что Вы говорили не делал....
23.04.2010, 12:46
thyrex

А откуда нам знать, как ведет себя Ваш компьютер после лечения?
Симптомы, с которыми Вы обращались в первом своем сообщении, пропали?
23.04.2010, 12:58
Rotvik

Да пропали, если это излечение, то ВАМ ОГРОМНОЕ СПАСИБО!
24.04.2010, 12:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\viktor\dissemination\section i - scareware products\malwarealarm\malware alarm software\malwarealarm.zip - [B]not-a-virus:FraudTool.Win32.BraveSentry.b[/B] ( DrWEB: archive: Trojan.Fakealert, BitDefender: Generic.Zlob.2DDDA041, AVAST4: Win32:FraudTool-EP [Tool] )[*] c:\viktor\innovative marketing - web servers\malware analysis\top 10\8-avsystemcare\avsystemcare software\avsystemcare\reload.exe - [B]not-a-virus:FraudTool.Win32.BestSeller.hg[/B][/LIST][/LIST]