Printable View
Добрый вечер!!!
Проблема возникла вчера, при попытке загрузить windows, компьютер перезагружается... и так каждый раз. Поставил диск c livecd, помогло зашел в систему, антивирус сразу обнаружил 23 трояна, 22 были удалены один win32\rustock удалить не возможно... загрузился в безопасном режиме и проверился curetit, удалились еще 2 трояна, но и это не помогло, после загрузки в обычном режиме, антивирус снова нашел win32\rustock удалить не возможно...
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\Temp\930.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe','');
QuarantineFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isee.exe','');
QuarantineFile('c:\Temp\416.exe,c:\Temp\365.exe,c:\Temp\930.exe,c:\Temp\271.exe,c:\Temp\180.exe,C:\Documents and Settings\User\Application Data\cift.exe,C:\Documents and Settings\User\csrss.exe,c:\Temp\3856980.exe,explorer.exe,c:\Temp\545.exe','');
QuarantineFile('c:\Temp\416.exe','');
QuarantineFile('c:\Temp\365.exe','');
QuarantineFile('c:\Temp\930.exe','');
QuarantineFile('c:\Temp\271.exe,','');
QuarantineFile('c:\Temp\180.exe','');
QuarantineFile('C:\Documents and Settings\User\Application Data\cift.exe','');
QuarantineFile('C:\Documents and Settings\User\csrss.exe','');
QuarantineFile('c:\Temp\3856980.exe','');
QuarantineFile('c:\Temp\545.exe','');
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\Temp\930.exe','');
QuarantineFile('c:\Temp\feikd.sys','');
QuarantineFile('c:\Temp\mfmejcwg.sys','');
QuarantineFile('xjwdetvksv.sys','');
QuarantineFile('C:\WINDOWS\system32\02.tmp','');
QuarantineFile('c:\Temp\swscebpwqtmjbed.sys','');
QuarantineFile('c:\Temp\hxjfhh.sys','');
QuarantineFile('c:\Temp\djqmnnhlhkhvk.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\protect.sys','');
QuarantineFile('C:\WINDOWS\system32\01.tmp','');
QuarantineFile('c:\Temp\teccwdt.sys','');
QuarantineFile('c:\Temp\lgxxhuuct.sys','');
QuarantineFile('c:\Temp\qeoolabxvncsh.sys','');
QuarantineFile('c:\Temp\gdhdrfewsp.sys','');
QuarantineFile('c:\Temp\prhumqyyzh.sys','');
QuarantineFile('c:\Temp\nvmghkffjatbye.sys','');
QuarantineFile('c:\Temp\vauobrexraegh.sys','');
QuarantineFile('c:\Temp\paqyyokdqtgc.sys','');
QuarantineFile('c:\Temp\jvtxps.sys','');
QuarantineFile('c:\Temp\seiqjsrzrituqrp.sys','');
QuarantineFile('c:\Temp\ldofupl.sys','');
DeleteFile('c:\Temp\ldofupl.sys');
DeleteFile('c:\Temp\seiqjsrzrituqrp.sys');
DeleteFile('c:\Temp\jvtxps.sys');
DeleteFile('c:\Temp\paqyyokdqtgc.sys');
DeleteFile('c:\Temp\nvmghkffjatbye.sys');
DeleteFile('c:\Temp\prhumqyyzh.sys');
DeleteFile('c:\Temp\gdhdrfewsp.sys');
DeleteFile('c:\Temp\qeoolabxvncsh.sys');
DeleteFile('c:\Temp\lgxxhuuct.sys');
DeleteFile('c:\Temp\teccwdt.sys');
DeleteFile('C:\WINDOWS\system32\01.tmp');
DeleteFile('C:\WINDOWS\system32\drivers\protect.sys');
DeleteFile('c:\Temp\djqmnnhlhkhvk.sys');
DeleteFile('c:\Temp\hxjfhh.sys');
DeleteFile('c:\Temp\swscebpwqtmjbed.sys');
DeleteFile('C:\WINDOWS\system32\02.tmp');
DeleteFile('xjwdetvksv.sys');
DeleteFile('c:\Temp\mfmejcwg.sys');
DeleteFile('c:\Temp\feikd.sys');
DeleteFile('c:\Temp\930.exe');
DeleteFile('c:\windows\system32\wuaucldt.exe');
DeleteFile('c:\Temp\416.exe,c:\Temp\365.exe,c:\Temp\930.exe,c:\Temp\271.exe,c:\Temp\180.exe,C:\Documents and Settings\User\Application Data\cift.exe,C:\Documents and Settings\User\csrss.exe,c:\Temp\3856980.exe,explorer.exe,c:\Temp\545.exe');
DeleteFile('c:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\isee.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe');
DeleteFile('c:\Temp\930.exe');
DeleteFile('c:\Temp\416.exe');
DeleteFile('c:\Temp\365.exe');
DeleteFile('c:\Temp\930.exe');
DeleteFile('c:\Temp\271.exe,');
DeleteFile('c:\Temp\180.exe');
DeleteFile('C:\Documents and Settings\User\Application Data\cift.exe');
DeleteFile('C:\Documents and Settings\User\csrss.exe');
DeleteFile('c:\Temp\3856980.exe');
DeleteFile('c:\Temp\545.exe');
DelCLSID('{28ABC5C0-4FCB-11CF-AAX5-81CX1C635612}');
DelCLSID('{08B0E5C0-4FCB-11CF-AAX5-81C01C608512}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','syncman');
DeleteService('ynyerpadrh');
DeleteService('yldkocnvngczh');
DeleteService('xjwdetvksv');
DeleteService('wsbfaj');
DeleteService('wbynkhylua');
DeleteService('vvtwkazsgbzt');
DeleteService('rynhuqaimtooyhn');
DeleteService('protect');
DeleteService('ocdpgyuoq');
DeleteService('jisehgfcletupls');
DeleteService('hdlymwf');
DeleteService('gwwgnkmuuwy');
DeleteService('gdkindn');
DeleteService('fcqeprnjsvt');
DeleteService('fajdchuc');
DeleteService('eycbzhyqjrp');
DeleteService('ddjurtna');
DeleteService('czbdnnaxxqo');
DeleteService('ctbvyrhjxdarsbm');
DeleteService('aqxjt');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи + лог [url]http://virusinfo.info/showpost.php?p=493610&postcount=1[/url]
вот новые логи
Пофиксите в HiJack
[code]O20 - AppInit_DLLs: 0[/code]
Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.
[code]KillAll::
File::
c:\windows\system32\drivers\zrwctjbs.sys
c:\windows\system32\drivers\tscrnebz.sys
c:\windows\system32\drivers\nqcbopdv.sys
c:\windows\system32\drivers\zjzomdum.sys
c:\windows\system32\drivers\nlwqdtnq.sys
c:\windows\system32\drivers\iumzemun.sys
c:\windows\system32\drivers\rthnsbtf.sys
c:\windows\system32\drivers\xfiuhcwe.sys
c:\windows\system32\drivers\bgafzrwt.sys
c:\temp\vauobrexraegh.sys
c:\windows\system32\vkokok.dll
Driver::
eycbzhyqjrp
ynuxaj
pyscri
NetSvc::
ynuxaj
pyscri
Folder::
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4237:TCP"=-
FileLook::
DirLook::[/code]
После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
новый лог
Какой-то оборванный лог ComboFix
Выполните скрипт в AVZ
[code]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Сделайте лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
новый лог
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите найденное в МВАМ[/URL]
[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]
новый лог
лог старый, новый сделайте
новый лог
Чисто
Спасибо Вам огромное за помощь!!!
Хотел еще уточнить, в ходе работы, была установлена консоль восстановления, вопрос, можно ли ее удалить и нужно ли ее удалять...?
Она должна удалиться при удалении ComboFix
ComboFix был удален, так, как написано выше... но при старте системы, на пару секунд появляется вариант выбора запустить с консоли восстановления или обычный вариант... это можно как-то убрать или пусть остается, собственно оно не мешает, но все же хотелось узнать...)
Удалите строку
[QUOTE]c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons[/QUOTE]из файла boot.ini
Проблема в том, что файла boot.ini нет, и в скрытых тоже нет(...
на диске С: есть только файл boot.bak, boot.ini.comodofirewall, cmldr
Содержимое [QUOTE='nikemax;660808']boot.bak[/QUOTE] в сообщении выложите
ВОТ
Переименуйте в boot.ini
Не удается переименовать Boot. Файл с указанным именем уже существует. Задайте другое имя.
Соответственно файл есть в наличии
ЕМНИП, актуальный boot.ini можно редактировать из свойств "Моего компьютера".
блин... так я файл и не нашел и не разобрался как его редактировать из свойств "мой компьютер"...( помогите плиз...
Мой компьютер - Свойства - Дополнительно - Загрузка и восстановление - Параметры - Загрузка операционной системы - Правка
ага, все, нашел, спасибо огромное...!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]70[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]