Не обновляются антивирусы и не окрываются их сайты

Printable View

13.06.2010, 12:43
sweet83

Вложений: 1

Не обновляются антивирусы и не окрываются их сайты

На антивирусные сайты получается зайти только включив в Опере функцию турбо,но даже войдя,скачать оттуда ничего не получается. Пробовал чистить ветку в реестре HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\PersistentRoutes, но после перезагрузки она опять забита. Антивирусник ничего не находит...
13.06.2010, 12:53
ARMA9000

Отключить восстановление системы, защитное ПО.
ПРофиксить:
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\9a21494d.exe,\\?\globalroot\systemroot\system32\Y72Yevw.exe,\\?\globalroot\systemroot\system32\p7ehvOZ.exe,\\?\globalroot\systemroot\system32\n0jHTLM.exe,\\?\globalroot\systemroot\system32\uPyMAAH.exe,\\?\globalroot\systemroot\system32\NC5oW0G.exe,
[/CODE]
Выполнить скрипт:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\Chrome\Hook\rpchromebrowserrecordhelper.dll','');
QuarantineFile('\\?\globalroot\systemroot\system32\p7ehvOZ.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\n0jHTLM.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\NC5oW0G.exe','');
QuarantineFile('C:\WINDOWS\system32\9a21494d.exe','');
DeleteFile('C:\WINDOWS\system32\9a21494d.exe');
DeleteFile('\\?\globalroot\systemroot\system32\NC5oW0G.exe');
DeleteFile('\\?\globalroot\systemroot\system32\n0jHTLM.exe');
DeleteFile('\\?\globalroot\systemroot\system32\p7ehvOZ.exe');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится. Карантин загрузить согласно правилам. Базы авз обновить и переделать логи.
13.06.2010, 13:13
sweet83

ПРофиксить-это с помощья проги HiJackThis? Мало опыта,поясните пожалуйста. Базы AVZ не обновляется...
13.06.2010, 13:25
ARMA9000

[QUOTE='sweet83;654065']ПРофиксить-это с помощья проги HiJackThis?[/QUOTE]
Да.

[QUOTE='sweet83;654065']Базы AVZ не обновляется... [/QUOTE]
После выполнения скрипта пытаетесь обновиться?
13.06.2010, 13:38
sweet83

После скрипта всё равно не обновляется. Высылать логи и карантин?
13.06.2010, 13:49
ARMA9000

Пуск-выполнить: Route -f
Перезагрузите компьютер и попытайтесь обновить логи.
13.06.2010, 13:58
sweet83

Не понял,сделать заново логи или пробовать обновить AVZ?

[size="1"][color="#666686"][B][I]Добавлено через 5 минут[/I][/B][/color][/size]

Базы AVZ обновились. Что делать дальше?
13.06.2010, 13:58
ARMA9000

Извиняюсь, базы обновить.
Новые логи сделайте.
13.06.2010, 14:22
sweet83

Вложений: 1

Всё сделал...
13.06.2010, 14:40
ARMA9000

Карантин почему не загрузили?
C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\Chrome\Hook\rpchromebrowserrecordhelper.dll - этот файл вам знаком?
Выполните скрипт:[CODE] begin
ExecuteWizard('TSW', 3, 3, true);
end.[/CODE]

Поставьте SP3(может потребоваться активация)+ все обновления.
Поставьте IE8(даже если его не используете).
13.06.2010, 14:57
sweet83

Карантин отослал. Антивирусник стал обновляться,сайты открываться:). Проблема снята? Если да,то огромное вам спасибо! Как я понял,установив какой то Real плеер(?),я через него подцепил вирус?
13.06.2010, 15:02
ARMA9000

Плохого не увидел.
16.06.2010, 22:43
sweet83

Уважаемый ARMA9000,проблемы продолжаются:(. Снова не обновляются антивирусники,не открываются сайты. Сразу оговорюсь,за эти дни я ничего с интернета не устанавливал. А теперь самое интересное. C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\Chrome\Ho ok\rpchromebrowserrecordhelper.dll... этот файл спокойно запускается с моей системой. Это обнаружила прога Security Task Manager. Помогите,ведь значит не все корни этого сорняка убиты в моей винде... Логи прилагаю.
16.06.2010, 22:51
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('\\?\globalroot\systemroot\system32\8KCNPl2.exe','');
QuarantineFile('\\?\globalroot\systemroot\system32\3QC1GOG.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\Chrome\Hook\rpchromebrowserrecordhelper.dll','');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Real\RealPlayer\BrowserRecordPlugin\Chrome\Hook\rpchromebrowserrecordhelper.dll');
DeleteFile('\\?\globalroot\systemroot\system32\3QC1GOG.exe');
DeleteFile('\\?\globalroot\systemroot\system32\8KCNPl2.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте RSIT [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
16.06.2010, 23:20
sweet83

Карантин отослал,логи сделал...
17.06.2010, 00:28
ARMA9000

В срочно порядке надо обновлять систему.
Установить SP3(может потребоваться активация)+ все патчи.
Установить IE8(даже если его не используете).

Выполните в AVZ скрипт из файла [url]http://dataforce.ru/~kad/ScanVuln.txt[/url] и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедится, что уязвимости устранены.
17.06.2010, 09:54
sweet83

Скажите пожалуйста,просто обновлениями не обойтись? Я читал,что SP2 до SP3 обновить без проблем не получится (IE8 на SP2 устанавливаться не хочет). Система начинает сильно глючить. И вообще,почему столько времени я пользовался это системой без проблем,а сейчас начался такой "геморрой"?
17.06.2010, 10:39
thyrex

Сделайте лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
Там у Вас зверья еще немеряно
17.06.2010, 10:42
sweet83

После обновлений,выполнил скрипт-уязвимости не обнаружены. Надо делать что то дальше? Что с вирусом?
17.06.2010, 10:43
thyrex

Сообщение №18 над Вашим прочтите
17.06.2010, 15:09
sweet83

Судя по логу,куча вирусов сидело. Что ещё делать? И всё таки,так обязательно ли мне ставить SP3? Или пока терпимо? А если поставить,винда "глючить" сильно будет?
17.06.2010, 21:41
sweet83

Почему все молчат?:)
17.06.2010, 21:44
thyrex

Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::

File::
c:\windows\system32\KLGZWxv.exe
c:\windows\system32\3ZwSL2g.exe
c:\windows\system32\BWMcSO8.exe
c:\windows\system32\EeRHn14.exe
c:\windows\system32\9TndDbK.exe
c:\windows\system32\Ko0GU1G.exe

Driver::

Folder::

Registry::

FileLook::

DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
17.06.2010, 23:08
sweet83

Выполнено...
17.06.2010, 23:19
polword

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

обновите систему
17.06.2010, 23:23
sweet83

Что значит обновить?
17.06.2010, 23:27
polword

сделать вот это
- SP2 обновите до [URL="http://www.microsoft.com/Downloads/details.aspx?displaylang=ru&FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4"]Service Pack 3[/URL](может потребоваться активация)
[B]*[/B] Перед установкой Сервис Пака необходимо выгрузить антивирус, файрвол, а так же резидентные приложения типа TeaTimer (Spybot Search and Destroy) и др.)
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
18.06.2010, 00:19
sweet83

А если потребуется активация,как это сделать? Ведь микрософт определит,что винда у меня не лицензионная...
19.06.2010, 00:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]24[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\9a21494d.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.MulDrop.64715, BitDefender: Trojan.Generic.3887336, AVAST4: Win32:Rootkit-gen [Rtk] )[*] \\?\globalroot\systemroot\system32\nc5ow0g.exe - [B]Trojan.Win32.Inject.arjs[/B] ( DrWEB: Trojan.DownLoader1.11408, BitDefender: Trojan.Generic.4200524, AVAST4: Win32:Malware-gen )[*] \\?\globalroot\systemroot\system32\n0jhtlm.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.Packed.20385, AVAST4: Win32:Rootkit-gen [Rtk] )[*] \\?\globalroot\systemroot\system32\p7ehvoz.exe - [B]Trojan.Win32.Agent.eefs[/B] ( DrWEB: Trojan.Packed.20375, AVAST4: Win32:Rootkit-gen [Rtk] )[*] \\?\globalroot\systemroot\system32\3qc1gog.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.Packed.20415, BitDefender: Backdoor.Generic.379225 )[*] \\?\globalroot\systemroot\system32\8kcnpl2.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: BackDoor.Siggen.23243, BitDefender: Trojan.Generic.4208034 )[/LIST][/LIST]