Printable View
Помогте решить проблему с непонятными файлами в автозагрузке!
Settings\ae_wall'e\Application, ltzqai.exe and, and.
Появляются через некоторое время после загрузки системы. А в папке F:\WINDOWS\system32 появляются файлы 23.exe, 67.exe, 72.exe, 82.exe
Систему переустанавливал неоднократно. Помогает, но после подключения к инернету появляються вновь. Нужна ваша помощь.
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('f:\windows\system32\msvmiode.exe');
QuarantineFile('F:\WINDOWS\system32\zipfldr.dll','');
QuarantineFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe','');
QuarantineFile('F:\WINDOWS\system32\msvmiode.exe','');
DeleteFile('F:\WINDOWS\system32\msvmiode.exe');
DeleteFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe');
DelAutorunByFileName('ltzqai.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- Повторите логи.
Не могу выполнить скрипт пишет:
Ошибка: ')' expected в позиции 10:58
Прошу прощения, поправил, выполняйте.
Всё выполнил. Вот новые логи ->
Помогите!!! I need help!
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('F:\WINDOWS\system32\23.exe','');
QuarantineFile('F:\WINDOWS\system32\36.exe','');
QuarantineFile('F:\WINDOWS\system32\netprotocol.exe','');
QuarantineFile('F:\WINDOWS\system32\netprotocol.dll','');
QuarantineFile('F:\WINDOWS\cndrive32.exe','');
QuarantineFile('F:\Documents and Settings\ae_walle\Главное меню\Программы\Автозагрузка\monoca32.exe','');
DeleteFile('F:\Documents and Settings\ae_walle\Главное меню\Программы\Автозагрузка\monoca32.exe');
DeleteFile('F:\WINDOWS\cndrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
DeleteFile('F:\WINDOWS\system32\netprotocol.dll');
DeleteFile('F:\WINDOWS\system32\netprotocol.exe');
DeleteFile('F:\WINDOWS\system32\36.exe');
DeleteFile('F:\WINDOWS\system32\23.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи + лог [URL="http://virusinfo.info/showthread.php?t=40118"]gmer[/URL] + лог [url]http://virusinfo.info/showpost.php?p=457118&postcount=1[/url]
Всё проделал: Логи ->
- Сохраните текст ниже как [B][COLOR="DeepSkyBlue"]1.bat[/COLOR][/B] в ту же папку, где находится [B][COLOR="Blue"]i6z46sly.exe (GMER)[/COLOR][/B] и запустите этот батник(1.bat):
[CODE]
i6z46sly.exe -del service mxgozmg
i6z46sly.exe -del file "F:\WINDOWS\system32\uvyxtluk.dll"
i6z46sly.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\mxgozmg"
i6z46sly.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\mxgozmg "
i6z46sly.exe -reboot[/CODE]
Компьютер перезагрузится.
После перезагрузки:
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('F:\Documents and Settings\ae_walle\Local Settings\Temp\~TM94.tmp','');
QuarantineFile('F:\Documents and Settings\ae_walle\Local Settings\Temporary Internet Files\Content.IE5\IK6VF8HR\c93[1].exe','');
QuarantineFile('F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\bpxos[1].bmp','');
QuarantineFile('F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\wfqidi[1].bmp','');
QuarantineFile('F:\RECYCLER\S-1-5-21-0758566517-3092097049-188403564-7577\syscr.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-2486824157-7947763054-685694022-7003\syscr.exe ','');
QuarantineFile('F:\RECYCLER\S-1-5-21-5090737932-9707271897-623094826-7173\syscr.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-6213057492-1127858644-700969346-7447\syscr.exe','');
DeleteFile('F:\Documents and Settings\ae_walle\Local Settings\Temporary Internet Files\Content.IE5\IK6VF8HR\c93[1].exe');
DeleteFile('F:\Documents and Settings\ae_walle\Local Settings\Temp\~TM94.tmp');
DeleteFile('F:\RECYCLER\S-1-5-21-2486824157-7947763054-685694022-7003\syscr.exe ');
DeleteFile('F:\RECYCLER\S-1-5-21-5090737932-9707271897-623094826-7173\syscr.exe');
DeleteFile('F:\RECYCLER\S-1-5-21-6213057492-1127858644-700969346-7447\syscr.exe');
DeleteFile('F:\RECYCLER\S-1-5-21-0758566517-3092097049-188403564-7577\syscr.exe');
QuarantineFile('F:\WINDOWS\system32\CDClose.dll ','');
DeleteFileMask('F:\Documents and Settings\ae_walle\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
QuarantineFile('F:\WINDOWS\System32\Drivers\sfc.SYS','');
QuarantineFile('F:\WINDOWS\System32\sfcfiles.dll','');
QuarantineFile('F:\WINDOWS\system32\mssfc.dll','');
DeleteFile('F:\WINDOWS\system32\drivers\sfc.sys');
DeleteFile('F:\WINDOWS\system32\mssfc.dll');
RenameFile('F:\WINDOWS\System32\sfcfiles.dll', 'F:\WINDOWS\System32\sfcfiles.bak');
CopyFile('F:\WINDOWS\System32\dllcache\sfcfiles.dll','F:\WINDOWS\System32\sfcfiles.dll');
DeleteFile('F:\WINDOWS\System32\sfcfiles.bak');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteFile('C:\WINDOWS\System32\sfcfiles.bak');
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- удалите в MBAM
[CODE]
Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\CLSID\{8e8e8f8a-8fcc-88ce-bcb8-b8fd8e88888a} (Malware.Packer) -> No action taken.
[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
Всё сделал как просили.
Зараза ни как не исчезает.Удалял как только подключаю интернет вылазит снова ->
Help!!! Надоело бороться(((((
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('f:\windows\system32\msvmiode.exe'); DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
QuarantineFile('f:\windows\explorer.exe','');
QuarantineFile('F:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('F:\RECYCLER\S-1-5-21-3423718349-7345066103-855989427-6106\syscr.exe','');
QuarantineFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe','');
QuarantineFile('F:\WINDOWS\system32\DRIVERS\tcpip.sys','');
QuarantineFile('f:\windows\system32\msvmiode.exe','');
DeleteFile('f:\windows\system32\msvmiode.exe');
DeleteFile('F:\Documents and Settings\ae_walle\Application Data\ltzqai.exe');
DeleteFile('F:\RECYCLER\S-1-5-21-3423718349-7345066103-855989427-6106\syscr.exe');
DeleteFile('F:\WINDOWS\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
QuarantineFile('F:\RECYCLER\S-1-5-21-3818102550-8867501192-457489674-9439\syscr.exe','');
DeleteFile('F:\RECYCLER\S-1-5-21-3818102550-8867501192-457489674-9439\syscr.exe');
QuarantineFile('F:\WINDOWS\system32\GreenFields.scr','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- удалите в MBAM, что останется из этого
[CODE]
Зараженные процессы в памяти:
F:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> Not selected for removal.
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Trojan.FakeAlert.H) -> Not selected for removal.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.AutoRun) -> Not selected for removal.
Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (F:\RECYCLER\S-1-5-21-3818102550-8867501192-457489674-9439\syscr.exe,explorer.exe,F:\Documents and Settings\ae_wall'e\Application Data\ltzqai.exe,F:\Documents and Data\ltzqai.exe Settings\ae_wall'e\Application) Good: (Explorer.exe) -> Not selected for removal.
Зараженные файлы:
F:\WINDOWS\system32\msvmiode.exe (Trojan.FakeAlert.H) -> Not selected for removal.
E:\Вирус\avz4\avz4\Quarantine\2010-07-27\avz00001.dta (Worm.Conficker) -> Not selected for removal.
E:\Вирус\avz4\avz4\Quarantine\2010-07-27\avz00007.dta (Malware.Packer) -> Not selected for removal.
E:\Вирус\avz4\avz4\Quarantine\2010-07-27\bcqr00005.dat (Worm.Conficker) -> Not selected for removal.
E:\Вирус\avz4\avz4\Quarantine\2010-07-27\bcqr00006.dat (Worm.Conficker) -> Not selected for removal.
E:\Вирус\avz4\avz4\Quarantine\2010-07-27\bcqr00018.dat (Malware.Packer) -> Not selected for removal.
F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\bpxos[1].bmp (Worm.Conficker) -> Not selected for removal.
F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\I1VLTTCF\wfqidi[1].bmp (Extension.Mismatch) -> Not selected for removal.
F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\PR5TRV4C\eylid[1].gif (Worm.Conficker) -> Not selected for removal.
F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\PR5TRV4C\uwimgqpq[1].png (Extension.Mismatch) -> Not selected for removal.
F:\WINDOWS\system32\CDClose.dll (Malware.Packer) -> Not selected for removal.
F:\Documents and Settings\ae_wall'e\Application Data\avdrn.dat (Malware.Trace) -> Not selected for removal.
[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip; hijackthis.log)
- Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
Сделано
Тоже удаляйте
[CODE]F:\RECYCLER\S-1-5-21-5289498877-5930005241-268379159-4300\syscr.exe (Worm.Autorun.B) -> Not selected for removal.
F:\RECYCLER\S-1-5-21-5740935243-3248686458-720919699-0695\syscr.exe (Worm.Autorun.B) -> Not selected for removal.[/CODE]
Удалил и эти строки
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFileMask('F:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Сделайте еще раз лог [URL="http://virusinfo.info/showthread.php?t=53070"]MBAM[/URL]
Выполнил
Ничего необычного
Вроде всё пришло в норму. Только интересно почему в автозагрузке два одинаковых файла Explorer.exe и explorer.exe
Не видно такого в автозагрузке
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Обновите [url="http://www.java.com/ru/download/manual.jsp"]JavaRE[/url]
[QUOTE='thyrex;678104']Не видно такого в автозагрузке[/QUOTE]
а вот это не то
Это нормальные ключи
Вопросов больше не имею. Большое спасибо за помощь. )))
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]60[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] f:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\i1vlttcf\bpxos[1].bmp - [B]Net-Worm.Win32.Kido.ih[/B] ( DrWEB: Win32.HLLW.Shadow.based, BitDefender: Win32.Worm.Downadup.Gen, AVAST4: Win32:Confi [Wrm] )[*] f:\documents and settings\networkservice\local settings\temporary internet files\content.ie5\i1vlttcf\wfqidi[1].bmp - [B]Net-Worm.Win32.Kido.ih[/B] ( DrWEB: Win32.HLLW.Shadow.based, BitDefender: Win32.Worm.Downadup.Gen, AVAST4: Win32:Rootkit-gen [Rtk] )[*] f:\recycler\s-1-5-21-0758566517-3092097049-188403564-7577\syscr.exe - [B]Trojan.Win32.Buzus.evtw[/B] ( DrWEB: Win32.HLLW.Lime.8 )[*] f:\recycler\s-1-5-21-2486824157-7947763054-685694022-7003\syscr.exe - [B]Trojan.Win32.Buzus.evtw[/B] ( DrWEB: Win32.HLLW.Lime.8 )[*] f:\recycler\s-1-5-21-3423718349-7345066103-855989427-6106\syscr.exe - [B]Email-Worm.Win32.Joleee.fct[/B] ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Inject.ZJ, AVAST4: Win32:Trojan-gen )[*] f:\recycler\s-1-5-21-5090737932-9707271897-623094826-7173\syscr.exe - [B]Trojan.Win32.Buzus.evtw[/B] ( DrWEB: Win32.HLLW.Lime.8 )[*] f:\recycler\s-1-5-21-6213057492-1127858644-700969346-7447\syscr.exe - [B]Trojan.Win32.Buzus.evtw[/B] ( DrWEB: Win32.HLLW.Lime.8 )[*] f:\windows\system32\msvmiode.exe - [B]Trojan.Win32.Buzus.evfj[/B] ( DrWEB: Win32.HLLW.Autoruner.22584, BitDefender: Trojan.Agent.AQHG, AVAST4: Win32:Rootkit-gen [Rtk] )[*] f:\windows\system32\sfcfiles.dll - [B]Trojan-Spy.Win32.Agent.bhwo[/B] ( AVAST4: Win32:Spyware-gen [Spy] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]