Добрый день, помогите пожалуйста, несколько дней назад скорость соединение с инетом значительно упала, фаерфокс вообще отказывался запускать постоянно падал с ошибкой, сайты начали открываться по 10 минут, проводил лечение авастом во время загрузки, вроде наладилось, сегодня опять двадцать пять, аваст кричит о рутките в системе а походу удалить не может, логи прикладываю
Добрый день.
В AVZ выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\WINDOWS\system32\rescue32.exe','');
QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\64721.exe','');
DeleteFile('C:\WINDOWS\system32\rescue32.exe');
DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\64721.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Rescue');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы
Логи повторите.
новые логи
В AVZ выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
ClearQuarantine;
QuarantineFile('C:\Documents and Settings\user\Application Data\juzjf.exe','');
QuarantineFile('C:\Documents and Settings\user\ctfmon.exe,explorer.exe,C:\Documents and Settings\user\Application Data\juzjf.exe','');
QuarantineFile('C:\Documents and Settings\user\ctfmon.exe','');
QuarantineFile('C:\DOCUME~1\user\LOCALS~1\Temp\38887.exe','');
DeleteFile('C:\DOCUME~1\user\LOCALS~1\Temp\38887.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','AutoStart');
DeleteFile('C:\Documents and Settings\user\ctfmon.exe');
DeleteFile('C:\Documents and Settings\user\ctfmon.exe,explorer.exe,C:\Documents and Settings\user\Application Data\juzjf.exe');
DeleteFile('C:\Documents and Settings\user\Application Data\juzjf.exe');
DeleteFileMask('C:\DOCUME~1\user\LOCALS~1\Temp\', '*.exe', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RegKeyStrParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon', 'UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,');
ExecuteRepair(16);
ExecuteRepair(8);
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
карантин выслал, новые логи прикладываю
Интересно, с каждым шагом что-то новое.
Закройте/выгрузите все программы кроме AVZ и Internet Explorer.
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
- Отключите Системное восстановление.
В HiJackThis пофиксите:
[code]
O4 - HKLM\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKLM\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
O4 - HKCU\..\Policies\Explorer\Run: [userini] C:\WINDOWS\explorer.exe:userini.exe
[/code]
В AVZ выполните скрипт:
[code]
begin
ExecuteRepair(6);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
ClearQuarantine;
TerminateProcessByName('c:\windows\system32\userini.exe');
QuarantineFile('C:\WINDOWS\system32\userini.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\vde5odu0.sys','');
QuarantineFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\explorer.exe:userini.exe:$DATA','');
QuarantineFile('c:\windows\system32\userini.exe','');
DeleteFile('c:\windows\system32\userini.exe');
DeleteFile('c:\windows\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\explorer.exe:userini.exe:$DATA');
DeleteFile('C:\WINDOWS\system32\userini.exe');
DeleteFile('C:\Documents and Settings\user\Application Data\juzjf.exe');
DeleteFileMask('C:\Documents and Settings\user\Local Settings\Temp\', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(8);
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum','{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
карантин выслал, сейчас делаю логи
логи готовы
- Отключите ПК от интернета/локалки
- Отключите Антивирус и Файрвол.
В AVZ выполните скрипт:
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
ClearQuarantine;
QuarantineFile('kqmzmofx.sys','');
QuarantineFile('klwerzef.sys','');
QuarantineFile('hkdtgimz.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\kqmzmofx.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\klwerzef.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\hkdtgimz.sys','');
DeleteFile('hkdtgimz.sys');
BC_DeleteSvc('hkdtgimz');
DeleteFile('klwerzef.sys');
BC_DeleteSvc('klwerzef');
DeleteFile('kqmzmofx.sys');
BC_DeleteSvc('kqmzmofx');
QuarantineFileF('%system32%', '*.exe, *.sys', false,'', 0, 0, '1.09.2010', '24.09.2010');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После перезагрузки
[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
Логи повторите.
+Сделайте лог [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url]
логи и карантин
уважаемые хелперы вы про меня не забыли, долечите мой комп пожалуйста
Удалите в MBAM:
[code]
Зараженные ключи в реестре:
HKEY_CLASSES_ROOT\Interface\{17e44256-51e0-4d46-a0c8-44e80ab4ba5b} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\AppID\{80ef304a-b1c4-425c-8535-95ab6f1eefb8} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\Typelib\{e0f01490-dcf3-4357-95aa-169a8c2b2190} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mycentria (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DRM\amty (Worm.Autorun) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.
HKEY_CLASSES_ROOT\AppID\BHO_MyJavaCore.dll (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\bho_myjavacore.mjcore (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\bho_myjavacore.mjcore.1 (Trojan.BHO) -> No action taken.
Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Services\del (Malware.Trace) -> No action taken.
Зараженные папки:
C:\Documents and Settings\user\Application Data\Facegame (Trojan.Agent) -> No action taken.
C:\Program Files\Mjcore (Trojan.BHO) -> No action taken.
C:\Program Files\MyCentria (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\InfoBar (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\MyCentriaUninstall.exe (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox\adcentria.uid (Adware.MyCentria) -> No action taken.
C:\Program Files\MyCentria\Firefox\adcentria.xml (Adware.MyCentria) -> No action taken.
C:\Documents and Settings\user\Application Data\wiaservg.log (Malware.Trace) -> No action taken.
C:\WINDOWS\system32\_id.dat (Malware.Trace) -> No action taken.
[/code]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните в AVZ скрипт[/url] из файла [URL=http://dataforce.ru/~kad/ScanVuln.txt]ScanVuln.txt[/URL] и приложите к этой теме файл avz_log.txt из под-папки log.
Пройдитесь по ссылкам из файла avz_log.txt и установите обновления.
Перезагрузите компьютер.
Повторите выполнение скрипта, чтобы убедиться, что уязвимости устранены.
Повторите лог MBAM.
лог авз, сейчас качаю обновления и устанавливаю
лог авз, сейчас качаю обновления и устанавливаю, mbam обнаружил только отключенные уведомления брандмауэра
Лог чистый. Установите обновления.
после установки обновлений, подключился к интернету с целью обновления аваста, и тут АВАСТ выдал окошко с собщением, что определен вирс Win 32: Brdolab-DS [Trj] по адресу C:\WINDOWS\system 32\wbem\grpconv.exe.
инет все еще тормозит, может какая то зараза еще есть, логи прикладываю
аваст выдал также сообщение о блокировке сайт, может это поможет в решение проблемы
Сделайте лог [URL=http://virusinfo.info/showthread.php?t=58309]ComboFix[/URL]
лог
Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(true);
DeleteFile('c:\windows\system32\drivers\bocjrtun.sys ');
DeleteFile('c:\windows\system32\drivers\necbunqn.sys ');
DeleteFile('c:\windows\system32\drivers\nxrqiklu.sys ');
DeleteFile('c:\windows\system32\drivers\ofxnksbh.sys ');
DeleteFile('c:\windows\system32\drivers\znmororj.sys ');
DeleteFile('c:\windows\system32\drivers\cvljcorr.sys ');
DeleteFile('c:\windows\system32\drivers\klnrnerv.sys ');
DeleteFile('c:\windows\system32\drivers\bzjobopm.sys ');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
повторите лог CF
скрипт выполнил, лог прикладываю
Чисто. Проблемы наблюдаются?
странице загружаются очень медленно, мозилла тормозит, интернет эксплорер не может открыть ни одной страницы, даже сайт вируинфо загружается очень медленно
[url]http://internet.yandex.ru/[/url] на этой странице есть измеритель скорости он не может произвести замер, говорит повторите попытку позже
хотя в тоже время я переключаю интернет кабель на ноутбук и все загружается быстро (то есть интернет страницы). то есть комп работает нормально, но что касается интернет, сети все очень медленно, даже настройки сетевого соеднинения открывает очень медленно
[url=http://virusinfo.info/showpost.php?p=500136&postcount=2]Удалите[/url] ComboFix
Выполните скрипт в AVZ:
[code]
begin
ExecuteRepair(2);
ExecuteWizard('SCU',2 ,2 ,true);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Сделайте новый лог [URL=http://virusinfo.info/showthread.php?t=53070]MBAM[/URL]
combofix удален, скрипт выполнен, лог mbam прикладываю. лучше не становиться к сожалению :(
Здесь всё ОК. С провайдером говорили?
говорил, нет у них никаких ограничений и блокировок на мой айпи или мак адрес, рядом стоит ноут по тому же каналу все летает, что то на компе сломалось.
на компе скорость на прием в 31 раз меньше чем на ноуте, и 2,5 меньше на отдачу
Тестируйте оборудование
а можете подсказать каким образом это можно сделать? и что конкретно тестить?
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]28[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\user\\application data\\juzjf.exe - [B]Trojan-Spy.Win32.Zbot.aoyi[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Trojan.Generic.4906667, NOD32: Win32/Bflient.K worm, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\docume~1\\user\\locals~1\\temp\\38887.exe - [B]Trojan.Win32.TDSS.boeu[/B] ( DrWEB: Trojan.MulDrop1.48112, BitDefender: Trojan.Peed.Gen, AVAST4: Win32:Malware-gen )[*] c:\\docume~1\\user\\locals~1\\temp\\64721.exe - [B]Trojan.Win32.TDSS.boeu[/B] ( DrWEB: Trojan.MulDrop1.48112, BitDefender: Trojan.Peed.Gen, AVAST4: Win32:Malware-gen )[*] c:\\windows\\explorer.exe:userini.exe:$data - [B]Trojan-Spy.Win32.Zbot.apaw[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Trojan.Generic.KDV.39909, AVAST4: Win32:MalOb-CS [Cryp] )[*] c:\\windows\\system32\\userini.exe - [B]Trojan-Spy.Win32.Zbot.apbo[/B] ( DrWEB: Trojan.Packed.21552, BitDefender: Gen:Variant.Kazy.774, NOD32: Win32/SpamTool.Tedroo.AF trojan, AVAST4: Win32:MalOb-CS [Cryp] )[/LIST][/LIST]
Рекомендации:
[LIST=1][*]Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли ![/LIST]