Вирусы опять как живые после перезагрузки

Printable View

30.04.2010, 15:57
**Alex**

Вирусы опять как живые после перезагрузки

Пробовал удалять Куритом и Касперским, но после перезагрузки все вирусы восстанавливаются. Проявляются очень сильным торможением интернет-браузеров, иногда вовсе ничего в и-нете открывается, даже стартовая страница. Однако если что-то качаю - скорость загрузки файлов максимальная... Вся надежда на вас, помогите, люди добрые вытравить тараканов

Простите за тупость, вначале не так загрузил логи, сейчас вроде правильно
30.04.2010, 16:14
DefesT

[QUOTE]Внимание !!! База поcледний раз обновлялась 21.08.2009 необходимо обновить базы при помощи автоматического обновления (Файл/Обновление баз)
[/QUOTE]
Обновите базы и переделайте логи в [B]обычном[/B] режиме!
01.05.2010, 05:25
**Alex**

[QUOTE=DefesT;630295]Обновите базы и переделайте логи в [B]обычном[/B] режиме![/QUOTE]
Вот, вроде правильно сделал
01.05.2010, 09:18
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\05.scr','');
QuarantineFile('C:\WINDOWS\system32\64.scr','');
QuarantineFile('C:\WINDOWS\system32\11.scr','');
QuarantineFile('\CLEANSWEEP.EXE','');
TerminateProcessByName('c:\windows\system32\instmiv.exe');
QuarantineFile('c:\windows\system32\instmiv.exe','');
DeleteFile('c:\windows\system32\instmiv.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('\CLEANSWEEP.EXE');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','cleansweep.exe');
DeleteFile('C:\WINDOWS\system32\11.scr');
DeleteFile('C:\WINDOWS\system32\64.scr');
DeleteFile('C:\WINDOWS\system32\05.scr');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи
01.05.2010, 13:33
**Alex**

Карантин отправил, вот новые логи
В корне диска С сидит файл со странным именем [B]m6u6o6o4w1w2.exe[/B], пробовал его снести - после перезагрузки он опять нарисовался...
01.05.2010, 13:46
thyrex

Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
01.05.2010, 14:48
**Alex**

Готово
01.05.2010, 21:31
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\Instmiv.exe

Driver::
ewmryeljo

NetSvc::
ewmryeljo

Folder::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3905:TCP"=-

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
02.05.2010, 12:14
**Alex**

Все сделал, но почему-то ComboFix завис на этапе формирования отчета. Подождал полчаса, потом всю процедуру повторил - теперь все прошло удачно.
02.05.2010, 12:52
thyrex

Выполните скрипт в AVZ
[code]begin
DeleteFileMask('c:\windows\Cookies', '*.*', true);
DeleteDirectory('c:\windows\Cookies');
end. [/code]

Больше плохого не видно

Запакуйте, пожалуйста, папку [B]C:\Qoobox[/B] с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix [/URL]

Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
02.05.2010, 16:47
**Alex**

Все по старому

Скрипт выполнил.
[QUOTE=thyrex;630949]Больше плохого не видно [/QUOTE]
После чистки ComboFix интернет заработал нормально, но потом браузер завис вообще. Перезагрузился - опять все по старому:( : интернет тормозит, файл [B]m6u6o6o4w1w2.exe[/B] опять в корне С, в процессах выполняется Instmiv.exe и может еще какая гадость... Сейчас вот пишу - вдруг нижняя панель WinXP вдруг на пару секунд стала серой, потом восстановила синий цвет :(

[size="1"][color="#666686"][B][I]Добавлено через 24 минуты[/I][/B][/color][/size]

Попробовал вручную остановить процесс Instmiv.exe - интернет залетал как обычно.

[size="1"][color="#666686"][B][I]Добавлено через 2 часа 5 минут[/I][/B][/color][/size]

[QUOTE=thyrex;630949]

Запакуйте, пожалуйста, папку [B]C:\Qoobox[/B] с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"][/URL][/QUOTE]

Письмо с отправленным архивом от Вас вернулось потому как [I]Our system detected an illegal attachment on your message[/I]
02.05.2010, 20:05
thyrex

Обновления, вышедшие после SP3, все установлены?

Давайте еще раз логи + лог ComboFix
03.05.2010, 10:17
**Alex**

[QUOTE=thyrex;631078]Обновления, вышедшие после SP3, все установлены?[/QUOTE]
Сегодня вот загрузилась куча обновлений +IE8 (до этого ничего не обновлял, как купил комп полгода назад (с SP3).
Вот свежие логи
03.05.2010, 11:54
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\instmiv.exe');
QuarantineFile('c:\windows\system32\instmiv.exe','');
QuarantineFile('C:\WINDOWS\system32\54.scr','');
QuarantineFile('C:\WINDOWS\system32\70.scr','');
QuarantineFile('C:\WINDOWS\system32\08.scr','');
QuarantineFile('C:\WINDOWS\system32\82.scr','');
QuarantineFile('C:\WINDOWS\system32\67.scr','');
QuarantineFile('C:\WINDOWS\system32\65.scr','');
QuarantineFile('C:\WINDOWS\system32\07.scr','');
DeleteFile('C:\WINDOWS\system32\07.scr');
DeleteFile('C:\WINDOWS\system32\65.scr');
DeleteFile('C:\WINDOWS\system32\67.scr');
DeleteFile('C:\WINDOWS\system32\82.scr');
DeleteFile('C:\WINDOWS\system32\08.scr');
DeleteFile('C:\WINDOWS\system32\70.scr');
DeleteFile('C:\WINDOWS\system32\54.scr');
DeleteFile('c:\windows\system32\instmiv.exe');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\Instmiv.exe

Driver::

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Сделайте новые логи
03.05.2010, 15:25
**Alex**

Карантин загружен

Файл сохранён как 100503_152929_Карантин2010-05-03_4bdeb399afa03.zip
Размер файла 669504
MD5 74fd425b539d428a74b033c875269026

Ну что там, доктор, показывают анализы?
03.05.2010, 22:41
thyrex

Плохого не видно.
Что с проблемой? Полную проверку антивирусом проводили?
04.05.2010, 19:32
**Alex**

Тьфу-тьфу-тьфу, вроде все симптомы пропали!
Проверился Касперским - вычистил из корзины и System Volume Information целую кучу вирусов.
Несколько раз перезагрузился и еще раз проверился антивирусом - все чисто! Спасибо Вам огроменное!
04.05.2010, 21:31
thyrex

Запакуйте, пожалуйста, папку [B]C:\Qoobox[/B] с паролем [B]virus[/B] и пришлите на thyrex2002<at>tut.by (at=@) с указанной ссылкой на тему.

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
05.05.2010, 04:13
**Alex**

Письмо с [B]Qoobox [/B]отправляю Вам, но возвращается:
[I]This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

[email][email protected][/email]
SMTP error from remote mailer after end of data:
host ASPMX.L.GOOGLE.COM [209.85.218.3]: 552-5.7.0 Our system detected an illegal attachment on your message. [/I]

Может по другому как-то отправить?

Еще вопрос можно: у меня пропала языковая панель (ну где пишется, какой текущий язык ввода). До заражения она была на месте. В настройках панели управления/язык и рег.стандарты включить ее не могу - кнопка языковая панель затемнена и неактивна. Что делать?
05.05.2010, 10:37
thyrex

Пароль на архив устанавливаете?

У Вас уже в первых логах нет строки запуска языковой панели.
Проверьте наличие файла [B]ctfmon.exe[/B] в папке system32. Если не найдется, восстановите с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url]
Скачайте архив во вложении, распакуйте и внесите информацию в реестр
06.05.2010, 02:37
**Alex**

[QUOTE=thyrex;632253]Пароль на архив устанавливаете?
[/QUOTE]
Конечно, ставил как надо пароль virus.

Еще вопрос: а нельзя просто тупо скопировать файл[B] ctfmon.exe[/B] с другого компьютера? Т.к. дистрибутива у меня нет.
06.05.2010, 08:10
thyrex

[QUOTE='**Alex**;632803']а нельзя просто тупо скопировать файл ctfmon.exe с другого компьютера? Т.к. дистрибутива у меня нет.[/QUOTE]Если компьютер с таким же сервис-паком, как у Вас, тогда можно
07.05.2010, 08:10
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]38[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\instmiv.exe - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\05.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\07.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\08.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\11.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\54.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\64.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\65.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\67.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\70.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[*] c:\windows\system32\82.scr - [B]Net-Worm.Win32.Kolab.hrd[/B] ( DrWEB: Trojan.MulDrop.64807, BitDefender: Trojan.Generic.3656206, AVAST4: Win32:Malware-gen )[/LIST][/LIST]