Надоедливый вирус msvmiode.exe и 18089.exe

Printable View

15.08.2010, 17:49
Mad_PC

Надоедливый вирус msvmiode.exe и 18089.exe

Понимаю что вирус, AVPTool и CureIt не помогают, делал из под SafeMode с расширенной эвристикой и не один раз, на постоянку стоит Nod32 4.0.468.0 показывает что нашел вирусы но они не удаляются. делал по инструкции, пишу первый раз - сильно не пинать
15.08.2010, 18:37
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]R3 - URLSearchHook: (no name) - - (no file)
O4 - HKLM\..\Run: [MSODESNV7] D:\WINDOWS\system32\msvmiode.exe
O4 - HKLM\..\Run: [Advanced DHTML Enable] D:\DOCUME~1\NEW_TECH\LOCALS~1\Temp\752276.exe[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\752276.exe');
TerminateProcessByName('d:\windows\system32\msvmiode.exe');
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\9361.exe');
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\18089.exe');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\752276.exe','');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\9361.exe','');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\18089.exe','');
QuarantineFile('C:\greylink0025\greylink.exe','');
QuarantineFile('D:\DOCUME~1\NEW_TECH\LOCALS~1\Temp\18089.exe','');
QuarantineFile('D:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('D:\WINDOWS\cfdrive32.exe','');
QuarantineFile('J:\myfolder\myfile.exe','');
QuarantineFile('J:\autorun.inf','');
QuarantineFile('D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe','');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\752276.exe');
DeleteFile('D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe');
DeleteFile('D:\WINDOWS\system32\msvmiode.exe');
DeleteFile('D:\WINDOWS\system32\67.exe');
DeleteFile('D:\WINDOWS\system32\87.exe');
DeleteFile('D:\WINDOWS\cfdrive32.exe');
DeleteFile('D:\DOCUME~1\NEW_TECH\LOCALS~1\Temp\18089.exe');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\18089.exe');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\9361.exe');
DeleteFile('d:\windows\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(11);
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите логи
15.08.2010, 18:47
Mad_PC

сделал [URL="http://virusinfo.info/showthread.php?t=7660"]Как исправить файл Hosts[/URL]
выкладываю заново
15.08.2010, 18:54
olejah

Карантин где?

[size="1"][color="#666686"][B][I]Добавлено через 4 минуты[/I][/B][/color][/size]

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\752276.exe');
TerminateProcessByName('d:\windows\system32\msvmiode.exe');
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\9361.exe');
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\18089.exe');
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\294.exe');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\294.exe','');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\752276.exe','');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\294.exe');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\752276.exe');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\9361.exe','');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\18089.exe','');
QuarantineFile('C:\greylink0025\greylink.exe','');
QuarantineFile('D:\DOCUME~1\NEW_TECH\LOCALS~1\Temp\18089.exe','');
QuarantineFile('D:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('D:\WINDOWS\cfdrive32.exe','');
QuarantineFile('J:\myfolder\myfile.exe','');
QuarantineFile('J:\autorun.inf','');
QuarantineFile('D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe','');
DeleteFile('D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe');
DeleteFile('D:\WINDOWS\system32\msvmiode.exe');
DeleteFile('D:\WINDOWS\system32\67.exe');
DeleteFile('D:\WINDOWS\system32\87.exe');
DeleteFile('D:\WINDOWS\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('D:\DOCUME~1\NEW_TECH\LOCALS~1\Temp\18089.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced DHTML Enable');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\18089.exe');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\9361.exe');
DeleteFile('d:\windows\system32\msvmiode.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(11);
ClearHostsFile;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Ещё раз повторите логи
15.08.2010, 18:55
Mad_PC

сорри я пока добовлял еще одно сообщение, вы уже ответили
по хронологии должно было сначала мой пост потом ваш
у меня щас цифры в названии вирусни другие, значит скрипты работать не будут .. что делать?
15.08.2010, 18:56
olejah

Будут, выполните последний скрипт в безопасном режиме.
15.08.2010, 19:43
Mad_PC

повтор логов
вроде как после скрипта из под безопасного режима не было вирусни в процессах.
15.08.2010, 19:53
olejah

[B]J:[/B] - это флешка? Если да, то вставьте перед выполнением скрипта

[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -

[CODE]R3 - URLSearchHook: (no name) - - (no file)
4 - HKLM\..\Run: [MSODESNV7] D:\WINDOWS\system32\msvmiode.exe
O4 - HKLM\..\Run: [Advanced DHTML Enable] D:\DOCUME~1\NEW_TECH\LOCALS~1\Temp\2861.exe[/CODE]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('d:\docume~1\new_tech\locals~1\temp\2861.exe');
TerminateProcessByName('d:\windows\system32\msvmiode.exe');
QuarantineFile('d:\windows\system32\msvmiode.exe','');
QuarantineFile('d:\docume~1\new_tech\locals~1\temp\2861.exe','');
QuarantineFile('D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe','');
QuarantineFile('D:\WINDOWS\system32\msvmiode.exe','');
DeleteFile('D:\WINDOWS\system32\msvmiode.exe');
DeleteFile('D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe');
DeleteFile('d:\docume~1\new_tech\locals~1\temp\2861.exe');
DeleteFile('d:\windows\system32\msvmiode.exe');
DeleteFile('J:\myfolder\myfile.exe');
DeleteFile('J:\autorun.inf');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteRepair(11);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine2.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine2.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Повторите лог [B]virusinfo_syscheck.zip[/B]
15.08.2010, 20:18
Mad_PC

quarantine2.zip залил, лог virusinfo_syscheck.zip повторил
15.08.2010, 20:21
olejah

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]с подключенной J:\[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFile('J:\autorun.inf');
DeleteFile('J:\myfolder\myfile.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- После этого сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070"]МВАМ[/URL]
15.08.2010, 22:29
Mad_PC

это был комп на работе с моей флешкой. меня там уже нет. МВАМ сделать с подключенной флешкой не успел. возможно продолжить эту тему когда там буду? или надо начинать новую тему? или Вы [QUOTE]Покажете, как удить рыбу[/QUOTE] и может я сам допетрю в чем дело. до сего момента я обходился силами антивирусов которые проверяют автоматом по нажатию одной кнопки.
тут вродь тоже ничего сложного только надо знать как
15.08.2010, 22:32
olejah

Запустили Вы компьютер со своими антивирусами, вот что я могу сказать. Лечение продолжим в удобное для Вас время, в этой теме, но - самодеятельность не приветствуется - нужно следовать нашим советам, либо лечиться самому.
15.08.2010, 22:46
Mad_PC

ок. спасибо за помощь! никакой самодеятельности - обещаю! самодеятельностью уже сыт когда по два дня проверял всеми антивирями вдоль и поперек - устал, понимаете ли.
19.08.2010, 23:42
Mad_PC

вот я снова на работе. результаты такие:
в процессах вродь ничего лишнего нет, а в винде кое-чего не хватает. например нужно чтобы работало win+R.
Еще винда сыпет ошибками
[CODE]Ошибка приложения svchost.exe, версия 5.1.2600.5512, модуль ntdll.dll, версия 5.1.2600.5512, адрес 0x00041eed.
Код события: 1000
Дата: 19.08.2010
Время: 22:14:40[/CODE]
и пр.
19.08.2010, 23:55
thyrex

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL]
[CODE]Зараженные файлы:
D:\RECYCLER\S-1-5-21-4617422625-4184359122-573685479-0904\syscr.exe (Worm.Autorun.B) -> No action taken.
D:\RECYCLER\S-1-5-21-6281288921-9677931647-754845055-6730\syscr.exe (Worm.Autorun.B) -> No action taken.
D:\Documents and Settings\NEW_TECH\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken.
D:\WINDOWS\system32\hosts (Trojan.Agent) -> No action taken.
D:\WINDOWS\hosts (Trojan.Agent) -> No action taken.[/CODE]
20.08.2010, 01:28
Mad_PC

выполнил
20.08.2010, 08:12
polword

В логах подозрительного нет.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"]ScanVuln.txt[/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.
23.08.2010, 21:29
Mad_PC

спасибо за помощь! с вирусами вродь покончено, подозрительного сам не вижу поэтому выложил логи. последний совет выполнил - avz написал:
[QUOTE]Поиск критических уязвимостей
Часто используемые уязвимости не обнаружены[/QUOTE]
меня ток это волнует:
[QUOTE] >> Заблокировано меню Пуск\Выполнить
>> Заблокирован элемент Выполнить в меню Пуск
[/QUOTE]как это исправлять, не подскажете?
23.08.2010, 22:10
polword

[QUOTE=Mad_PC;693450]
меня ток это волнует:
[QUOTE]>> Заблокировано меню Пуск\Выполнить
>> Заблокирован элемент Выполнить в меню Пуск [/QUOTE]
[/QUOTE]

в прикрепленных логах такого нет
23.08.2010, 22:32
Mad_PC

в том то и дело, что в логах такого нет, но это не работает. ни win+R, нету пуск-выполнить и нет выполнить в настройках меню пуск
23.08.2010, 22:52
polword

- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
ExecuteRepair(6);
ExecuteRepair(8);
RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteRepair(5);
RebootWindows(true);
end.[/CODE]
23.08.2010, 23:22
Mad_PC

откуда только вы это берете?? Действительно помогло! :-) win+R запускается и выполнить наместе) может ткнете носом где почитать чтоб понимать смысл выполняемых скриптов
24.08.2010, 06:58
polword

[URL="http://www.z-oleg.com/secur/avz_doc/script_executerepair.htm"]http://www.z-oleg.com/secur/avz_doc/script_executerepair.htm[/URL]
25.08.2010, 06:58
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]41[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\documents and settings\\new_tech\\application data\\ltzqai.exe - [B]P2P-Worm.Win32.Palevo.athi[/B] ( DrWEB: Trojan.DownLoader1.17737, BitDefender: Worm.Generic.269976, NOD32: Win32/Inject.NDR trojan, AVAST4: Win32:Malware-gen )[*] d:\\docume~1\\new_tech\\locals~1\\temp\\18089.exe - [B]Trojan-Proxy.Win32.Agent.cve[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Dropper.TOV, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Flot-R [Wrm] )[*] d:\\docume~1\\new_tech\\locals~1\\temp\\2861.exe - [B]Trojan-Proxy.Win32.Agent.cve[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Dropper.TOV, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Flot-R [Wrm] )[*] d:\\docume~1\\new_tech\\locals~1\\temp\\294.exe - [B]Trojan-Proxy.Win32.Agent.cve[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Dropper.TOV, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Flot-R [Wrm] )[*] d:\\docume~1\\new_tech\\locals~1\\temp\\752276.exe - [B]Trojan-Proxy.Win32.Agent.cve[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Dropper.TOV, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Flot-R [Wrm] )[*] d:\\docume~1\\new_tech\\locals~1\\temp\\9361.exe - [B]Trojan-Proxy.Win32.Agent.cve[/B] ( DrWEB: Trojan.Proxy.2751, BitDefender: Trojan.Dropper.TOV, NOD32: Win32/TrojanProxy.Ranky trojan, AVAST4: Win32:Flot-R [Wrm] )[*] d:\\windows\\cfdrive32.exe - [B]Trojan-Proxy.Win32.Agent.cve[/B] ( DrWEB: BackDoor.IRC.Bot.166, BitDefender: Trojan.Dropper.TOV, AVAST4: Win32:Flot-R [Wrm] )[*] d:\\windows\\system32\\msvmiode.exe - [B]Net-Worm.Win32.Kolab.kjs[/B] ( DrWEB: Trojan.Siggen2.484, BitDefender: Worm.Generic.271993, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Inject-AEP [Trj] )[/LIST][/LIST]