T701721200 на номер 8353

Printable View

28.05.2010, 17:38
compworld

T701721200 на номер 8353

Вылез банер с такой просьбой...при запуске AVZ...компьютер начинает сам перезагружаться (завершение работы и т.д.)...AVPTool не хочет устанавливаться....как то подобный банер уже на одном компьютере был...решилось разблокировкой банера! ПОдсказали код...не могли бы подсказать какой код ввести? ЧТобы сделать ЛОги! Спасибо!
28.05.2010, 18:16
thyrex

1. Скачайте образ [B]ERD Commander[/B], запишите на болванку и загрузитесь с созданного диска
2. Пуск - Выполнить - [B]erdregedit[/B]
3. Посмотрите в реестре:
[B]ветка[/B]
[code]HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows[/code]
[B]параметр[/B]
[code]AppInit_DLLs[/code]

Содержимое этого параметра напишите в своем сообщении
28.05.2010, 19:00
compworld

он пустой!
28.05.2010, 19:49
thyrex

Зайдите через Администрирование и посмотрите еще раз
28.05.2010, 20:20
compworld

А подскажите где скачать ERD Commander...
28.05.2010, 21:04
thyrex

[QUOTE='compworld;645525']А подскажите где скачать ERD Commander...[/QUOTE]Так Вы смотрели параметр через редактор реестра??? Неудивительно, что ничего не обнаружили

[url]http://www.google.com.by/search?client=opera&rls=ru&q=%D0%BE%D0%B1%D1%80%D0%B0%D0%B7+ERD+Commander&sourceid=opera&ie=utf-8&oe=utf-8[/url]
29.05.2010, 08:47
compworld

вот...разобрался...строка имеет вид:
C:\windows\system32\gpedit.msc:fVPzYD
29.05.2010, 08:55
thyrex

Выполните с ERD Commander:
1. Переименуйте указанный файл
2. Очистите значение параметра AppInit_DLLs
3. Перезагрузитесь, загрузитесь обычным образом и пробуйте выполнять правила
29.05.2010, 09:02
compworld

не понятен первый пункт! Какой файл и во что переименовывать? Где его искать?
29.05.2010, 10:33
compworld

Получилось сделать логи посли очистки значения параметра AppInit_DLLs...вот логи:
[ATTACH]241866[/ATTACH]

[ATTACH]241867[/ATTACH]

[ATTACH]241868[/ATTACH]
29.05.2010, 10:43
V_Bond

пофиксите
[code]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,\\?\globalroot\systemroot\system32\DlvBvoI.exe,\\?\globalroot\systemroot\system32\aJHdI7a.exe,\\?\globalroot\systemroot\system32\UCVc7SX.exe,\\?\globalroot\systemroot\system32\taM0rfR.exe,
[/code]
выполните скрипт
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\~DF6DFC.tmp','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Temp\~DF88A2.tmp','');
QuarantineFile('C:\WINDOWS\Help\conf.chm:fVPzYD:$DATA','');
QuarantineFile('C:\WINDOWS\system32\ip.bat','');
QuarantineFile('C:\WINDOWS\TEMP\esp4AC3.tmp','');
QuarantineFile('\\?\globalroot\systemroot\system32\taM0rfR.exe','');
QuarantineFile('C:\Documents and Settings\Администратор\Мои документы\Almeza\StaffLogger\sysdrvmon.exe','');
DeleteService('Netprotocol');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\netprotocol.exe','');
DeleteService('msupdate');
QuarantineFile('msupdate.sys','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\BarQuery\barquery137.exe','');
DeleteFile('msupdate.sys');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\netprotocol.exe');
DeleteFile('\\?\globalroot\systemroot\system32\taM0rfR.exe');
DeleteFile('C:\WINDOWS\TEMP\esp4AC3.tmp');
DeleteFile('C:\WINDOWS\Help\conf.chm:fVPzYD:$DATA');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\~DFFFA6.tmp');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\~DF88A2.tmp');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Temp\~DF6DFC.tmp');
ExecuteRepair(20);
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
пришлите карантин согласно приложения 3 правил
повторите логи
29.05.2010, 11:11
compworld

Карантин:
Файл сохранён как 100529_110936_virus_4c00bdb0f27df.zip
Размер файла 1075632
MD5 a285621b1fff83e24b6bdda380b32bb9
Логи:
[ATTACH]241876[/ATTACH]

[ATTACH]241877[/ATTACH]

[ATTACH]241878[/ATTACH]
29.05.2010, 11:31
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('\\?\globalroot\systemroot\system32\taM0rfR.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\UCVc7SX.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\aJHdI7a.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\DlvBvoI.exe','');
DeleteFile('\\?\globalroot\systemroot\system32\DlvBvoI.exe');
DeleteFile('\\?\globalroot\systemroot\system32\aJHdI7a.exe');
DeleteFile('\\?\globalroot\systemroot\system32\UCVc7SX.exe');
DeleteFile('\\?\globalroot\systemroot\system32\taM0rfR.exe');
QuarantineFile('C:\WINDOWS\system32\mssfc.dll','');
QuarantineFile('C:\WINDOWS\system32\ip.bat','');
DeleteService('BarQuery Service');
QuarantineFile('C:\Program Files\BarQuery\barquery.dll','');
QuarantineFile('c:\documents and settings\all users\application data\barquery\barquery137.exe','');
TerminateProcessByName('c:\documents and settings\all users\application data\barquery\barquery137.exe');
QuarantineFile('c:\program files\barquery\barquery.exe','');
TerminateProcessByName('c:\program files\barquery\barquery.exe');
DeleteFile('c:\program files\barquery\barquery.exe');
DeleteFile('c:\documents and settings\all users\application data\barquery\barquery137.exe');
DeleteFile('C:\Program Files\BarQuery\barquery.dll');
DeleteFile('C:\Documents and Settings\All Users\Application Data\BarQuery\barquery137.exe');
RegSearch('HKLM', '', 'esp4AC3.tmp');
SaveLog(GetAVZDirectory + 'search.log');
QuarantineFile('C:\WINDOWS\System32\sfcfiles.dll','');
RenameFile('C:\WINDOWS\System32\sfcfiles.dll', 'C:\WINDOWS\System32\sfcfiles.bak');
CopyFile('C:\WINDOWS\System32\dllcache\sfcfiles.dll','C:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
DeleteFile('C:\WINDOWS\system32\mssfc.dll');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
ExecuteRepair(17);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- файл [B]search.log[/B] из папки AVZ прикрепите к сообщению
29.05.2010, 11:50
compworld

Карантин:
Файл сохранён как 100529_114813_quarantine_4c00c6bd50289.zip
Размер файла 5828
MD5 6347d0fb7e7b5efc82c3100bf89393ee
Логи:
[ATTACH]241884[/ATTACH]

[ATTACH]241885[/ATTACH]

[ATTACH]241886[/ATTACH]
29.05.2010, 11:54
polword

virusinfo_syscheck.zip - старый, новый прикрепите
29.05.2010, 12:05
compworld

[ATTACH]241887[/ATTACH]
только что ещё раз сделал!
29.05.2010, 12:06
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyDel('HKLM', 'SYSTEM\CurrentControlSet\Control\Print\Providers\C9BCE068');
RegKeyDel('HKLM', 'SYSTEM\ControlSet001\Control\Print\Providers\C9BCE068');
RegKeyDel('HKLM', 'SYSTEM\ControlSet004\Control\Print\Providers\C9BCE068');
RegKeyDel('HKLM', 'SYSTEM\ControlSet003\Control\Print\Providers\C9BCE068');
DeleteFile('C:\WINDOWS\TEMP\esp4AC3.tmp');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;
29.05.2010, 12:16
compworld

[ATTACH]241892[/ATTACH]
29.05.2010, 12:52
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\WINDOWS\Tasks\security.job');
DeleteFile('C:\WINDOWS\system32\ip.bat');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог virusinfo_syscheck.zip;
29.05.2010, 12:59
compworld

[ATTACH]241905[/ATTACH]
29.05.2010, 13:04
polword

В логе чисто.
Осталось обновить систему
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
30.05.2010, 13:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\barquery\barquery.dll - [B]not-a-virus:AdWare.Win32.Zwangi.aae[/B] ( DrWEB: Adware.Searcher.47, BitDefender: Gen:Variant.Adware.1 )[*] c:\windows\help\conf.chm:fvpzyd:$data - [B]Worm.Win32.NeKav.cy[/B] ( DrWEB: Trojan.Packed.20343, AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\windows\system32\mssfc.dll - [B]Trojan-Spy.Win32.Agent.bfzv[/B] ( DrWEB: Trojan.WinSpy.815 )[*] \\?\globalroot\systemroot\system32\tam0rfr.exe - [B]Trojan-Dropper.Win32.Shiz.dv[/B] ( DrWEB: Trojan.Packed.20375, BitDefender: Trojan.Generic.4125630, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]