И снова Your Computer Is Infected! с обратным отсчетом...

Printable View

27.08.2010, 11:38
pavel171

И снова Your Computer Is Infected! с обратным отсчетом...

Здравствуйте!
Помогите пожалуйста!
Проблема вроде была здесь описана... Появляется надпись на рабочем столе Your Computer Is Infected!, но вся сложность в том, что я не могу собрать необходимые вам логи из-за того, что идет обратный отсчет и компьютер перезагружается автоматически через 15 минут. Я запускаю AVZ, но он не успевает просканировать до конца за эти 15 мин. Помогите, что делать в таком случае?
Спасибо.
27.08.2010, 12:02
polword

Когда начнется отсчет времени, выполните Пуск - Выполнить - shutdown -a
Это должно остановить перезагрузку
27.08.2010, 12:12
pavel171

Делал. Пишет невозможно прервать завершение работы, т.к. оно не было инициировано...
А в безопасном режиме имеет смысл запускать сканирование AVZ?
А то я запускал, но в некоторых пунктах он написал, что невозможно запустить проверку, т.к. не установлен драйвер мониторинга AVZPM ну и саму ошибку с драйвером выдает... (пункты 1.2, 1.4, 1.5) В остальных вроде работает...
27.08.2010, 12:14
polword

сделайте логи в безопасном режиме
27.08.2010, 12:27
pavel171

Сейчас попробую сделать... вопрос только в том, информативны ли они получатся в этом случае...
27.08.2010, 12:29
polword

может что-нибудь увидим
27.08.2010, 13:06
pavel171

Высылаю логи.
Лог syscure сделан в безопасном режиме! Остальные - в обычном!
27.08.2010, 14:15
polword

1. Скачайте "[B]OSAM[/B]" Online Solutions Autorun Manager [URL="http://www2.online-solutions.ru/ru/download_file.php?p=65580"]тут[/URL]. В меню драйверов правой кнопкой по [B]nyypvvy[/B] и выберите "[B]Turn Run Off[/B]". Перезагрузку подтвердите.

2.Закройте все открытые приложения, кроме АVZ и Internet Explorer.
Отключите
- ПК от интернета/локалки
- Выгрузите антивирус и/или Файрвол
- Закройте все программы
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('globalroot\systemroot\system32\usеrinit.exe','');
DeleteService('userinit');
QuarantineFile('C:\WINDOWS\system32\Drivers\nyypvvy.sys','');
DeleteFile('C:\WINDOWS\system32\Drivers\nyypvvy.sys');
DeleteFile('globalroot\systemroot\system32\usеrinit.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(20);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- Сделайте повторные логи по [URL="http://virusinfo.info/pravila_old.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="Blue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
27.08.2010, 14:56
pavel171

Спасибо!
Все получилось.
Карантин отправил. Насчет "Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log) " немного не понял.. их нужно так же вам прислать?
27.08.2010, 15:11
polword

да, прикрепить к новому сообщению как вы делали в самом начале
27.08.2010, 15:38
pavel171

Проблема теперь такая: компьютер намертво зависает практически сразу после загрузки, либо во время нее (после ввода пароля Windows). Т.е. я даже не могу запустить AVZ :(
27.08.2010, 16:07
pavel171

так, вроде заработало... но комп как то подтормаживает бывает...
вот логи
27.08.2010, 16:20
Bratez

[QUOTE='pavel171;696813']комп как то подтормаживает бывает...[/QUOTE]
1. У вас помимо антивируса Symantec установлено: ewido anti-spyware, Lavasoft Ad-Aware, PC Tools Spyware Doctor. При наличии нормального полнофункционального антивируса всё это абсолютно не нужно, удаляйте.

2. Выполните скрипт в AVZ:
[code]
Function RegKeyResetSecurityEx(ARoot, AName : string) : boolean;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
RegKeyResetSecurity(ARoot, AName);
KeyList := TStringList.Create;
RegKeyEnumKey(ARoot, AName, KeyList);
for i := 0 to KeyList.Count-1 do
begin
KeyName := AName+'\'+KeyList[i];
RegKeyResetSecurity(ARoot, KeyName);
RegKeyResetSecurityEx(ARoot, KeyName);
end;
KeyList.Free;
end;
Function BC_ServiceKill(AServiceName : string; AIsSvcHosted : boolean = true) : byte;
var
i : integer;
KeyList : TStringList;
KeyName : string;
begin
Result := 0;
if StopService(AServiceName) then Result := Result or 1;
if DeleteService(AServiceName, not(AIsSvcHosted)) then Result := Result or 2;
KeyList := TStringList.Create;
RegKeyEnumKey('HKLM','SYSTEM', KeyList);
for i := 0 to KeyList.Count-1 do
if pos('controlset', LowerCase(KeyList[i])) > 0 then begin
KeyName := 'SYSTEM\'+KeyList[i]+'\Services\'+AServiceName;
if RegKeyExistsEx('HKLM', KeyName) then begin
Result := Result or 4;
RegKeyResetSecurityEx('HKLM', KeyName);
RegKeyDel('HKLM', KeyName);
if RegKeyExistsEx('HKLM', KeyName) then
Result := Result or 8;
end;
end;
if AIsSvcHosted then
BC_DeleteSvcReg(AServiceName)
else
BC_DeleteSvc(AServiceName);
KeyList.Free;
end;
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\Drivers\nyypvvy.sys');
BC_ImportALL;
ExecuteSysClean;
BC_ServiceKill('nyypvvy');
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

3. Сделайте новый лог syscheck (только п.2 раздела Диагностика).
27.08.2010, 16:49
pavel171

Уже удалил)) Я это всё понаставил, когда боролся с этой дрянью))
Скрипт все равно выполнить?
27.08.2010, 16:50
Bratez

[QUOTE='pavel171;696841']Скрипт все равно выполнить?[/QUOTE]
Да, конечно.
27.08.2010, 17:16
pavel171

Выполнил. Вот лог.
27.08.2010, 17:36
Bratez

Хм... засел один гад, обычными способами не хочет удаляться... У вас есть загрузочный CD, позволяющий работать с файлами на жестком диске?
27.08.2010, 17:38
pavel171

есть
27.08.2010, 17:49
Bratez

Враг вот он: [B]C:\WINDOWS\system32\Drivers\nyypvvy.sys[/B]
С помощью загрузочного CD переместите его в другую папку, чтобы он не смог запуститься. Затем загрузите свою систему и выполните еще раз скрипт из сообщения #13. После перезагрузки повторите лог syscheck, а перемещенный файл запакуйте в zip-архив с паролем [I]virus[/I] и пришлите по ссылке для карантина.
27.08.2010, 18:23
pavel171

Все выполнил.
Файл упаковал, отослал.
Скрипт выполнил.
Лог создал.
28.08.2010, 15:02
Bratez

Теперь чисто.

Присланный файл детектируется Касперским как [B]Rootkit.Win32.Agent.biiu[/B].
29.08.2010, 11:35
polword

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- поставте [URL="http://get.adobe.com/reader/otherversions/"]Adobe Reader 9.3[/URL] или удалите старый.
30.08.2010, 11:35
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] globalroot\\systemroot\\system32\\usеrinit.exe - [B]Packed.Win32.Krap.ao[/B] ( DrWEB: Trojan.Fakealert.18723, BitDefender: Trojan.Generic.KD.28658, NOD32: Win32/Sirefef.BI trojan, AVAST4: Win32:Kryptik-RC [Trj] )[*] \\nyypvvy.sys - [B]Rootkit.Win32.Agent.biiu[/B] ( DrWEB: Trojan.Packed.20819, BitDefender: Rootkit.40832, NOD32: Win32/Bubnix.AU trojan, AVAST4: Win32:Bubnix-J [Rtk] )[/LIST][/LIST]