Загрузка ЦП 99%, в автозагрузке файл wwwznv32.exe

Printable View

20.07.2010, 13:46
slayer333

Загрузка ЦП 99%, в автозагрузке файл wwwznv32.exe

Доброго времени суток!
В автозагрузке обнаружил файл wwwznv32.exe, svchost.exe грузит ЦП на 99% . На компе NOD32, обновил базы , просканил вирусов не нашел, скачал drweb, нашел какой то вирь - удалил его, но wwwznv32.exe как вирь не определил. Помогите пожалуйста!
ОС: WinXP SP3
20.07.2010, 13:49
polword

Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('C:\WINDOWS\system32\epuxoy.exe','');
QuarantineFile('C:\WINDOWS\system32\4ee2278e.exe','');
QuarantineFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\wwwznv32.exe','');
QuarantineFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\ctsKk7In.sys','');
DeleteFile('C:\DOCUME~1\Admin\LOCALS~1\Temp\ctsKk7In.sys');
DeleteFile('C:\Documents and Settings\Admin\Главное меню\Программы\Автозагрузка\wwwznv32.exe');
DeleteFile('C:\WINDOWS\system32\4ee2278e.exe');
DeleteFile('C:\WINDOWS\system32\epuxoy.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Скачайте RSIT [URL="http://images.malwareremoval.com/random/RSIT.exe"]тут[/URL]. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.
20.07.2010, 14:08
slayer333

вот логи
20.07.2010, 14:27
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('C:\WINDOWS\system32\f322f814.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]Combofix[/URL]
20.07.2010, 14:50
slayer333

архив карантина загрузил, сделал лог [U]combofix

[/U]
20.07.2010, 15:00
polword

файл c:\windows\System32\wuauclt.exe восстановите из [URL="http://virusinfo.info/showthread.php?t=51654"]дистрибутива[/URL]

[URL="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/URL]

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('c:\windows\system32\f322f814.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
20.07.2010, 16:45
slayer333

никак не удается восстановить файл wuauclt.exe (( установил консоль, загружаю ее, выбираю диск виндой (установочный), потом ищу wuauclt.exe пишет что не найден... подскажите что не так делаю
20.07.2010, 18:02
thyrex

Вы инструкцию читали внимательно? Делали так?
[QUOTE]dir wuauclt.ex*[/QUOTE]
20.07.2010, 18:53
slayer333

вот что делаю, открываю консоль восстановления:
первое что пишу cd E:\i386 (в E вставлен диск с виндой установочный)
затем идет строка
C:\windows>в ней пишу dir wuauclt.ex*
и пишет сообщение: Том на диске С не имеет метки
Серийный номер тома: f0cf-2091
Cодержимое поиска C:\windows\wuauclt.ex*
Подходящих файловне найдено
20.07.2010, 21:02
thyrex

Читаем внимательно. Начинать нужно с этого

[QUOTE]После входа с паролем администратора (если такого пароля нет - просто нажмите клавишу ВВОД) и появления приглашения к диалогу наберите команду:
[CODE]cd x:\i386
[/CODE]вместо x подставьте букву драйва, в котором находится дистрибутив.[/QUOTE]
20.07.2010, 23:11
slayer333

тогда вопрос дистрибутив это диск с установочной виндой или отдельно нужно создавать программой типа nLite?? тогда не совсем понятно как создать сам дистрибутив, подскажите кто знает !
21.07.2010, 00:39
thyrex

[QUOTE='slayer333;673624']дистрибутив это диск с установочной виндой[/QUOTE]Да
21.07.2010, 09:42
slayer333

ну тогда я вместо х писал Е (дисковод в котором был диск), то есть cd E:\i386
диск запускался , дальше писал dir wuauclt.ex*
но выдавал как я и писал ранее сообщение
Том на диске С не имеет метки
Серийный номер тома: f0cf-2091
Cодержимое поиска C:\windows\wuauclt.ex*
Подходящих файловне найдено
21.07.2010, 11:18
thyrex

Сделайте так (после каждой строки нажимать Enter)
[CODE]E:
cd i386
dir wuauclt.ex*[/CODE]
22.07.2010, 01:37
slayer333

сделал как вы написали, нашел все таки мой диск и файл но тут опять проблемка(
E:\i386>dir wuauclt.ex*
Том на диске Е ....далее идет версия винды.....
10/25/08 12:38а --r------ 40588 wuauclt.ex_
1 файлов 40588
0 байт свободно
далее пытаюсь распаковать wuauclt.ex_
E:\i386>expand wuauclt.ex_ C:\windows\system32\wuauclt.exe
но пишет: Не удается создать файл wuauclt.exе
0 файлов распаковано
вот терь сижу в тупике....
22.07.2010, 01:54
thyrex

Скопируйте wuauclt.ex_ в какую-нибудь папку.
Загрузитесь обычным образом
Распакуйте wuauclt.ex_ архиватором и скопируйте в папку system32
22.07.2010, 02:09
slayer333

распаковал с помощью винрара, тут же НОД32 определил wuauclt.exe как вирус троян и поместил его в карантин. Что это может значить ? что в установочном файле уже были вирусы ??
22.07.2010, 02:30
thyrex

Скачайте файл во вложении и распакуйте в папку system32
22.07.2010, 09:24
slayer333

распаковал файл wuauclt.exe в system32
удалил combofix
выполнил скрипт
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('c:\windows\system32\f322f814.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
25.07.2010, 10:24
AndreyKa

Проблема решена?
26.07.2010, 10:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\admin\главное меню\программы\автозагрузка\wwwznv32.exe - [B]Packed.Win32.Krap.ao[/B] ( BitDefender: Trojan.Downloader.Bredolab.EQ, AVAST4: Win32:Crypt-GWY [Drp] )[*] c:\windows\system32\epuxoy.exe - [B]Backdoor.Win32.Shiz.gen[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.fq0@aeIz3Vci, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\f322f814.exe - [B]Trojan.Win32.Jorik.Shiz.br[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.cq0@aCYDq3gi, NOD32: Win32/Spy.Shiz.NAI trojan, AVAST4: Win32:MalOb-BW [Cryp] )[*] c:\windows\system32\4ee2278e.exe - [B]Trojan.Win32.Jorik.Shiz.br[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Gen:Trojan.Heur.FU.cq0@aCYDq3gi, NOD32: Win32/Spy.Shiz.NAI trojan, AVAST4: Win32:MalOb-BW [Cryp] )[/LIST][/LIST]