Не удаляются вирусы smss.exe и svchost.exe

Printable View

05.05.2010, 11:18
kindcatvlad

Не удаляются вирусы smss.exe и svchost.exe

На компьютере стоит антивирус от аваст. При загрузке выдает что обнаружен вирус в папке C:\Documents and Settings\Admin\Local Settings\Temp "набор цифр".exe Аваст предлогает удалить вирус. Но при перезагрузке он появляется вновь. Установил Virus Removal Tool от касперского он находит вирусы sms.exe и svchost.exe предлогает их удалить но при перезагрузке компьютера они появляются вновь.
05.05.2010, 11:24
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\system32\svchost.exe:exe.exe:$DATA','');
QuarantineFile('C:\RECYCLER\S-1-5-21-5869536352-5702594692-817466629-1118\nissan.exe,C:\Documents and Settings\Admin\Application Data\irvlna.exe,explorer.exe','');
QuarantineFile('C:\Documents and Settings\Admin\nmtd.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\irvlna.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
TerminateProcessByName('c:\system volume information\whistler\smss.exe');
QuarantineFile('C:\System Volume Information\Whistler\smss.exe','');
DeleteFile('C:\Documents and Settings\Admin\Application Data\irvlna.exe');
DeleteFile('C:\System Volume Information\Whistler\smss.exe');
DeleteFile('C:\Documents and Settings\Admin\nmtd.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MSConfig');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
DeleteFile('C:\RECYCLER\S-1-5-21-5869536352-5702594692-817466629-1118\nissan.exe,C:\Documents and Settings\Admin\Application Data\irvlna.exe,explorer.exe');
DeleteFile('c:\windows\system32\svchost.exe:exe.exe:$DATA');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe:$DATA');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_DeleteSvc('ICF');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
05.05.2010, 11:51
kindcatvlad

Все выполнил. Карантин загрузил. Вот логи
05.05.2010, 12:09
kindcatvlad

Вирусы sms.exe и svchost.exe остались их обнаруживает Virus Removal Tool. Запуск защиты доступа аваст перестал работать ( сканирование аваст не запускается)
05.05.2010, 12:10
polword

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\system32\userini.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
DeleteService('protect');
TerminateProcessByName('c:\system volume information\whistler\svchost.exe');
QuarantineFile('c:\system volume information\whistler\svchost.exe','');
QuarantineFile('c:\windows\explorer.exe:userini.exe','');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFile('c:\system volume information\whistler\svchost.exe');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('c:\windows\system32\userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
ExecuteRepair(6);
ExecuteRepair(8);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
05.05.2010, 12:22
kindcatvlad

Карантин выгрузил. Вот логи. Virus Removal Tool по прежнему находит угрозы
05.05.2010, 12:43
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
TerminateProcessByName('c:\system volume information\whistler\smss.exe');
QuarantineFile('c:\system volume information\whistler\smss.exe','');
DeleteFile('c:\system volume information\whistler\smss.exe');
QuarantineFile('C:\WINDOWS\Temp\wpv611272984663.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\RtkBtMnt.exe','');
BC_ImportAll;
BC_DeleteFile('c:\system volume information\whistler\smss.exe');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
05.05.2010, 12:58
kindcatvlad

Карантин не загружается,говорит что данный файл уже был загружен.. Скрипты выполнил. Вот логи,проблема осталась.
05.05.2010, 13:31
kindcatvlad

Проблема осталась
05.05.2010, 14:26
polword

1. Профиксите в HijackThis [URL="http://virusinfo.info/showthread.php?t=4491"]как "профиксить в HiJackThis"[/URL]
[CODE]
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/CODE]
2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\system volume information\whistler\svchost.exe');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('c:\system volume information\whistler\svchost.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe');
DeleteFileMask('C:\DOCUME~1\Admin\LOCALS~1\Temp', '*.*', true);
DeleteFileMask('C:\WINDOWS\Temp', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\system32\userini.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
05.05.2010, 21:15
kindcatvlad

Фиксил хиджаком все прописанные пункты но при повторной проверке они появляются вновь. Остался вирус smss.exe C помощью MBAM ничего не лечил.
05.05.2010, 21:25
kindcatvlad

[url]http://otvet.mail.ru/question/16957057/[/url] Ответ от Житель Столицы что вы думаете об этом?
05.05.2010, 21:38
Шапельский Александр

Здравствуйте!
Пофиксите в Hijack следующие строки:
[CODE]O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe[/CODE]
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('C:\WINDOWS\system32\userini.exe');
TerminateProcessByName('c:\system volume information\whistler\smss.exe');
QuarantineFile('C:\WINDOWS\Temp\wpv981272890923.exe','');
QuarantineFile('C:\WINDOWS\Temp\wpv111272894972.exe','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('c:\system volume information\whistler\smss.exe','');
DeleteFile('C:\WINDOWS\Temp\wpv981272890923.exe');
DeleteFile('C:\WINDOWS\Temp\wpv111272894972.exe');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('c:\system volume information\whistler\smss.exe');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('Fci');
BC_DeleteSvc('icf');
BC_Activate;
RebootWindows(true);
end.[/CODE]закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
05.05.2010, 21:55
kindcatvlad

Скрипт выполнил. Но Virus Removal Tool говорит что вирус остался.
05.05.2010, 21:56
kindcatvlad

Карантин не загружается. Ошибка загрузки,данный фал уже был загружен.
05.05.2010, 22:04
Шапельский Александр

[QUOTE='kindcatvlad;632674']Карантин не загружается. Ошибка загрузки,данный фал уже был загружен. [/QUOTE]
В своем кабинете очистите вложения.
Выполните скрипт
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\system volume information\whistler\svchost.exe');
QuarantineFile('c:\system volume information\whistler\svchost.exe','');
DeleteFile('c:\system volume information\whistler\svchost.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.
Сделайте лог MBAM
05.05.2010, 22:22
thyrex

Дополнительно к совету [B]shapel[/B] сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
06.05.2010, 09:47
kindcatvlad

Проверил с помощью комбофикс
06.05.2010, 11:41
thyrex

А где логи, которые просил [B]shapel[/B]?
06.05.2010, 17:36
kindcatvlad

Вложений: 2

Вот логи которые просил shapel
06.05.2010, 17:39
kindcatvlad

А карантин по прежнему не грузится. Результат загрузки
Ошибка загрузки. Данный файл уже был загружен
06.05.2010, 17:55
Шапельский Александр

[QUOTE]Восстановление системы: включено
[/QUOTE][B]Отключите восстановление системы![/B]
Иначе будем бесконечно лечить Ваш компьютер :)

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\system volume information\whistler\smss.exe');
QuarantineFile('c:\system volume information\whistler\smss.exe','');
DeleteFile('c:\system volume information\whistler\smss.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE='kindcatvlad;633154']А карантин по прежнему не грузится. Результат загрузки
Ошибка загрузки. Данный файл уже был загружен [/QUOTE]
В своем кабинете чистили вложения?
06.05.2010, 19:02
thyrex

И лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] тоже сделайте
06.05.2010, 21:12
kindcatvlad

тему забросили?
06.05.2010, 21:37
Шапельский Александр

[QUOTE=kindcatvlad;633255]тему забросили?[/QUOTE]
В смысле??

[size="1"][color="#666686"][B][I]Добавлено через 1 минуту[/I][/B][/color][/size]

[QUOTE='shapel;633162']Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.[/QUOTE]

[QUOTE='thyrex;633208']И лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] тоже сделайте [/QUOTE]
Сделайте то, что Вас просили.
06.05.2010, 22:47
kindcatvlad

Вложения чистил. Я переустановил виндоус. Вопрос как отключить отключить восстановление системы? у меня на этом пункте стояла галочка, т.е. восстановление было отключено. ОС winXP. Посоветуйте антивирус. Стоял аваст 4.8 про. До этого систему переустанавливал и вирусы появились почти сразу. Сейчас снова поставил,проверил с помощью Virus Removal Tool,вирусов нет.
07.05.2010, 22:47
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]35[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\application data\irvlna.exe - [B]Net-Worm.Win32.Kolab.iem[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Worm.Generic.239712, AVAST4: Win32:VB-PDB [Drp] )[*] c:\system volume information\whistler\smss.exe - [B]Trojan.Win32.Vilsel.adnj[/B] ( DrWEB: Win32.HLLC.Asdas.8, BitDefender: Trojan.Generic.3846055, AVAST4: Win32:Unruy-E [Trj] )[*] c:\windows\explorer.exe:userini.exe - [B]Email-Worm.Win32.Joleee.esz[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BP, AVAST4: Win32:Bredolab-DF [Trj] )[*] c:\windows\explorer.exe:userini.exe:$data - [B]Email-Worm.Win32.Joleee.esz[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Trojan.Bredolab.BP, AVAST4: Win32:Bredolab-DF [Trj] )[*] c:\windows\explorer.exe:userini.exe:$data - [B]Email-Worm.Win32.Joleee.etd[/B] ( DrWEB: Trojan.Spambot.6788, BitDefender: Gen:Variant.Bredo.2, AVAST4: Win32:Bredolab-DF [Trj] )[*] c:\windows\system32\svchost.exe:exe.exe:$data - [B]Trojan.Win32.Inject.aprc[/B] ( DrWEB: Trojan.Spambot.6760, BitDefender: Trojan.Generic.3835131, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]