При установке Kaspersky WKS kav6.0.4.1424_winwksru система не хочет загружаться, а выдет BSODы 0х000000СЕ и ругается на файл kmixerr.sys, при второй попытке на файл MSKSSRVj.sys - лечил переименовыванием в Безопасном режиме. Сразу понял - виноват вирус. В папке windows\temp появляется файл, имеющий итересное имя.exe.
Пожалуйста, помогите справиться с вирусом
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe[/CODE]
Отключите компьютер от интернета, а также [URL="http://virusinfo.info/showthread.php?t=57441"]отключите[/URL] [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\svchost.exe','');
QuarantineFile('C:\MAD\TRACK\mad.exe','');
QuarantineFile('C:\PLAIN\G-2-3-45-111111BBBB-222222222222-6666666666-000\Mix.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\yxdqln.exe','');
QuarantineFile('C:\WINDOWS\system32\zahef.exe','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\MSKSSRVj.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\kmixerr.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\hwdatacardq.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\drmkaudq.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\DMusicr.sys','');
QuarantineFile('C:\WINDOWS\System32\DRIVERS\aecq.sys','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe','');
QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe','');
QuarantineFile('C:\Documents and Settings\Admin\cpl.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\0519.exe','');
QuarantineFile('C:\WINDOWS\Temp\wpv411274182441.exe','');
DeleteFile('C:\WINDOWS\Temp\wpv411274182441.exe');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\0519.exe');
DeleteFile('C:\Documents and Settings\Admin\cpl.exe');
DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe');
DelCLSID('67MAD3M8-3MAD-81AD-MAD6-78OP5G1234521');
DelCLSID('67KLN5K0-4OPM-00WE-AAX5-77EF1D187463');
DeleteService('nyp3vo7akaqguu');
DeleteService('ICF');
DeleteService('MSKSSRVj');
SetServiceStart('MSKSSRVj', 4);
DeleteService('kmixerr');
SetServiceStart('kmixerr', 4);
DeleteService('hwdatacardq');
SetServiceStart('hwdatacardq', 4);
DeleteService('drmkaudq');
SetServiceStart('drmkaudq', 4);
DeleteService('DMusicr');
SetServiceStart('DMusicr', 4);
DeleteService('aecq');
SetServiceStart('aecq', 4);
DeleteFile('C:\WINDOWS\system32\zahef.exe');
DeleteFile('C:\WINDOWS\System32\DRIVERS\aecq.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\DMusicr.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\drmkaudq.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\hwdatacardq.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\kmixerr.sys');
DeleteFile('C:\WINDOWS\System32\DRIVERS\MSKSSRVj.sys');
DeleteFile('C:\Documents and Settings\Admin\Application Data\yxdqln.exe');
DeleteFile('C:\PLAIN\G-2-3-45-111111BBBB-222222222222-6666666666-000\Mix.exe');
DeleteFile('C:\MAD\TRACK\mad.exe');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\svchost.exe');
DeleteFileMask('C:\PLAIN\G-2-3-45-111111BBBB-222222222222-6666666666-000','*.*',true);
DeleteDirectory('C:\PLAIN');
DeleteFileMask('C:\MAD\TRACK','*.*',true);
DeleteDirectory('C:\MAD');
DeleteFileMask('%Tmp%', '*.*', true);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам (virusinfo_syscure.zip, virusinfo_syscheck.zip и hijackthis.log)
карантин закачал. Логи - в работе
ждемс
вот и логи подоспели...
Уже лучше
Отключите компьютер от интернета, а также [URL="http://virusinfo.info/showthread.php?t=57441"]отключите[/URL] [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\system32\userini.exe');
TerminateProcessByName('c:\windows\temp\wpv151274174193.exe');
QuarantineFile('c:\windows\temp\wpv151274174193.exe','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('C:\Documents and Settings\Admin\Application Data\yxdqln.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\MSPCLOCK.sys','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\sajkotwlvjgb.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\rdawtiua.sys','');
QuarantineFile('c:\windows\system32\userini.exe','');
QuarantineFile('C:\WINDOWS\system32\svchost.exe:exe.exe','');
DeleteService('rdawtiua');
SetServiceStart('rdawtiua', 4);
DeleteService('nkxgbgglichd');
DeleteService('ICF');
DeleteFile('C:\WINDOWS\system32\svchost.exe:exe.exe');
DeleteFile('c:\windows\system32\userini.exe');
DeleteFile('c:\windows\temp\wpv151274174193.exe');
DeleteFile('C:\WINDOWS\System32\Drivers\rdawtiua.sys');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\sajkotwlvjgb.sys');
DeleteFile('C:\Documents and Settings\Admin\Application Data\yxdqln.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\system32\userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportALL;
BC_DeleteSvc('rdawtiua');
BC_DeleteSvc('ICF');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам
почему- то карантин оказался пустой, делаю логи
логи...
[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] в Hijackthis:[CODE]O4 - HKLM\..\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\system32\userini.exe[/CODE]
Отключите компьютер от интернета, а также [URL="http://virusinfo.info/showthread.php?t=57441"]отключите[/URL] [B]антивирус[/B] и/или [B]файрвол[/B].
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\sajkotwlvjgb.sys','');
QuarantineFile('C:\WINDOWS\system32\DRIVERS\ewusbmdm.sys','');
QuarantineFile('c:\windows\system32\taskmgr.exe','');
DeleteService('nkxgbgglichd');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\sajkotwlvjgb.sys');
DeleteFile('C:\WINDOWS\system32\userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','userini');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_ImportALL;
BC_DeleteSvc('nkxgbgglichd');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам [B]virusinfo_syscheck.zip[/B] и [B]hijackthis.log [/B]
карантин залил
...и логи
ну и напоследок скрипт:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('hwdatacard');
DeleteFile('C:\WINDOWS\system32\DRIVERS\ewusbmdm.sys');
BC_ImportDeletedList;
BC_DeleteSvc('hwdatacard');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
после перезагрузки сделайте лог virusinfo_syscheck.zip для контроля
Как самочувствие системы?
[QUOTE='DefesT;639491']Как самочувствие системы? [/QUOTE] летает
лог
Антивирус можно ставить?
Чистенько. Обновите Internet Explorer до [B]8[/B] версии, даже, если Вы не используете его, как браузер.
понял, сделаю, спасибо
[size="1"][color="#666686"][B][I]Добавлено через 2 часа 6 минут[/I][/B][/color][/size]
...ехехех... Рано я обрадовался. Теперь беда пришла с утроенной силой.
Установил IE8, перезагрузился. Начал ставить WKS 1424, в процессе установки опять вылез windows\temp\странный файл.exe(их там стало около 10-15 штук). Доставил касперского, перезагрузился, загрузка системы дошла до запуска Windows, а дальше не грузится. Зашел в Безопасный режим, попробовал запустить TotalCommander, а он открылся и сразу закрылся, попытался запустить др. программы - та же песня. Удалось загрузиться в обычный режим, MailAgent сразу выдал сообщение об ошибке(не загрузился), нек. другие программы тоже повыдавали сообщения. TotalCommander также открылся и закрылся. Снял винт, подключил к др. машине с Касперским(базы новые), он мне нашел все тот же explorer.exe:userini.exe, вирусы в system32 и еще вирусы в C:\Documents and Settings\Admin и поудалял их все. Поставил винт обратно, но всё те же проблемы с TotalCommanderом и MailAgenом.
Подскажите, где я маху дал и как можно теперь полечить ПК?
Сделайте еще раз логи
Дополнительно сделайте логи [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url] и [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
не получается, при открытии любой программы перезапускается Эксплорер, и она(программа) закрывается, или перезагружается ПК. Что можно посоветвоать?
[size="1"][color="#666686"][B][I]Добавлено через 17 минут[/I][/B][/color][/size]
теперь еще в добавок стал вылазить порнобанер 2 картинки 3381 текст: M201117345
Короче, и в безопасном вырубает компьютер наглухо
Есть возможность найти и скачать Live CD с возможностью просмотра и правки реестра, например, [B]ERD Commander[/B] (наиболее предпочтительный вариант)?
alkid 02.02.2010 подойдет?
[size="1"][color="#666686"][B][I]Добавлено через 15 минут[/I][/B][/color][/size]
запустил я Alkid 11-11-2009, есть там ERD Commander, а что дальше с ним делать?
[size="1"][color="#666686"][B][I]Добавлено через 19 минут[/I][/B][/color][/size]
[B]thyrex[/B], помогитее...
Посмотрите в реестре:
[B]ветка[/B] [CODE]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/CODE]
[B]параметр[/B] [CODE]AppInit_DLLs[/CODE]
Содержимое этого параметра в своем сообщении напишите
единственно, что удается - это запуск HiJackThis в безопасном режиме, вто лог... может можно что-то сделать?
c:\WINDOWS\system32\oas.dll
[size="1"][color="#666686"][B][I]Добавлено через 37 секунд[/I][/B][/color][/size]
[B]thyrex[/B],
[size="1"][color="#666686"][B][I]Добавлено через 41 минуту[/I][/B][/color][/size]
[CODE]HKEY_LOCALE_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/CODE]
удалил, система запустилась нормально, делаю логи
...вот и логи, прошу помочь
Закройте все программы, выполните скрипт в AVZ:[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\WINDOWS\system32\oas.dll','');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
DeleteFile('C:\WINDOWS\system32\userini.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','userini');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится! Пришлите карантин по ссылке согласно правил [COLOR="DarkRed"][B]Прислать запрошенный карантин[/B][/COLOR] вверху темы. Сделайте новые логи по правилам
карантин и логи
Ничего плохого не видно, что с проблемой?
[QUOTE]9. Мастер поиска и устранения проблем
>> Заблокированы настройки системы System Restore
[/QUOTE]
Исправьте в avz - "меню" Файл - мастер поиска и устранения проблем
[size="1"][color="#666686"][B][I]Добавлено через 13 минут[/I][/B][/color][/size]
еще подождем ответ по файлу - c:\WINDOWS\system32\oas.dll
Дополнительно к совету [B]Defest[/B]
Сделайте лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]61[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\application data\yxdqln.exe - [B]Net-Worm.Win32.Kolab.igj[/B] ( DrWEB: Trojan.MulDrop.55658, BitDefender: Trojan.Generic.3877431, NOD32: Win32/Inject.NDA trojan, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\documents and settings\admin\cpl.exe - [B]Backdoor.Win32.Cetorp.ib[/B] ( DrWEB: BackDoor.Tofsee, AVAST4: Win32:Malware-gen )[*] c:\docume~1\admin\locals~1\temp\svchost.exe - [B]Trojan-Clicker.Win32.Cycler.pee[/B] ( DrWEB: Trojan.MulDrop1.17753, BitDefender: Trojan.Generic.3851225, AVAST4: Win32:Unruy-G [Trj] )[*] c:\docume~1\admin\locals~1\temp\0519.exe - [B]Trojan.Win32.Buzus.dsbk[/B] ( DrWEB: Trojan.DownLoad1.54003, BitDefender: Trojan.Generic.4033025, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Malware-gen )[*] c:\windows\explorer.exe:userini.exe - [B]Packed.Win32.Krap.x[/B] ( BitDefender: Gen:Variant.Bredo.2 )[*] c:\windows\system32\drivers\aecq.sys - [B]Backdoor.Win32.Agent.avbz[/B] ( DrWEB: Trojan.Proxy.15396, BitDefender: Trojan.Generic.3869094, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\dmusicr.sys - [B]Backdoor.Win32.Agent.avbz[/B] ( DrWEB: Trojan.Proxy.15396, BitDefender: Trojan.Generic.3869094, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\drmkaudq.sys - [B]Backdoor.Win32.Agent.avbz[/B] ( DrWEB: Trojan.Proxy.15396, BitDefender: Trojan.Generic.3869094, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\ewusbmdm.sys - [B]Trojan.Win32.Agent2.crhk[/B][*] c:\windows\system32\drivers\hwdatacardq.sys - [B]Backdoor.Win32.Agent.avbz[/B] ( DrWEB: Trojan.Proxy.15396, BitDefender: Trojan.Generic.3869094, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\kmixerr.sys - [B]Backdoor.Win32.Agent.avbz[/B] ( DrWEB: Trojan.Proxy.15396, BitDefender: Trojan.Generic.3869094, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\mskssrvj.sys - [B]Backdoor.Win32.Agent.avbz[/B] ( DrWEB: Trojan.Proxy.15396, BitDefender: Trojan.Generic.3869094, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\oas.dll - [B]Worm.Win32.NeKav.cl[/B][/LIST][/LIST]