Printable View
[FONT=Times New Roman][SIZE=4]При запуске IE появляется объявление об ошибке; отключился и не запускается антивирус Eset Nod 32; AVZ также не запускается. Dr. Web CureIt в безопасном режиме ничего не находит.[/SIZE][/FONT]
[FONT=Times New Roman][SIZE=4]Получить логи AVZ удалось при выключенном процессе explorer.exe через диспетчер задач. Выйти в Интернет можно, при ручном наборе адреса в проводнике. Помогите, пожалуйста:([/SIZE][/FONT]
пофиксите в hijackthis:
[CODE]
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,C:\WINDOWS\system32\309b2b01.exe,C:\WINDOWS\system32\jevcfa.exe,
[/CODE]
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('C:\WINDOWS\system32\sdra64.exe','');
QuarantineFile('C:\WINDOWS\system32\jevcfa.exe','');
QuarantineFile('C:\WINDOWS\system32\etrjl.bmp','');
QuarantineFile('C:\WINDOWS\system32\309b2b01.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\winupd32.exe','');
DeleteService('esihdrv');
QuarantineFile('C:\WINDOWS\system32\DYPTY8Q6P5\P001.exe','');
DeleteService('Description');
DeleteFile('C:\WINDOWS\system32\DYPTY8Q6P5\P001.exe');
DeleteFile('C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\esihdrv.sys');
DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\winupd32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Remote Security Services');
DeleteFile('C:\WINDOWS\system32\309b2b01.exe');
DeleteFile('C:\WINDOWS\system32\etrjl.bmp');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\ias\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\system32\jevcfa.exe');
DeleteFile('C:\WINDOWS\system32\sdra64.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(9);
ExecuteRepair(20);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].
Сделайте новые логи
IE заработал, AVZ тоже, антивирус похоже удалился.
Не совсем поняла, что значит "профиксить (не технарь совершенно) - просканировала, выбрала строчку, которую дали, и нажала кнопку Fix checked - правильно?
Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
TerminateProcessByName('d:\program files\common\offman.exe');
TerminateProcessByName('d:\program files\common\dict.exe');
QuarantineFile('d:\program files\common\dict.exe','');
QuarantineFile('d:\program files\common\offman.exe','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]
Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].
Сделайте лог [URL=http://virusinfo.info/showthread.php?t=40118]GMER[/URL]
Карантин закачала, лог сделать не получается, после запуска программы, компьютер идет на перезагрузку, если использовать запуск от имени текущего пользователя (administrator), то появляется масса объявлений об отказе к доступу, и программа открывается с массой не активных кнопок. Попробовала использовать учетную запись указанного пользователя, но там ругаются на отсутствие пароля, а его вообще, кажется, не было:(. Как быть??
Сделайте лог [URL=http://virusinfo.info/showthread.php?t=58309]ComboFix[/URL]
Во время работы ComboFix компьютер два раза перезагрузился, текстовый файл не нашла, где он должен быть??
В корне диска С его нет?
нету :(
[url]http://support.kaspersky.ru/viruses/solutions?qid=208636926[/url]
C:\TDSSKiller.2.4.0_[дата]_log.txt прикрепите
пишет, что ничего не нашел
Ясно. В таком случае запустите ещё раз combofix
Начинает сканировать, потом говорит, что определил присутствие деятельности руткита и нужна перезагрузка (вроде так переводится), перезагружается, сканирует зараженные файлы доходит до 50 стадии и вылетает через синий экран, что там написано, не успеваю прочитать, загружается уже по-обычному.
Лога нет
Пробуйте в безопасном режиме
В безопасном режиме, вроде до конца дошел,
похожий лог из папки CombFix, он?
Во время проверки неожиданно вылез, год назад отключенный брандмауэр, это так задуманно?
а сегодня при включении выдает, что для защиты компа программа Generic Host Services, была закрыта.. ну и потом парочка отчетов, все подвисает, интернет отключается
[B]Смените все пароли[/B]
Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::
File::
C:\Program Files\Common Files\jqyrg4inedzz13m
Driver::
xmnsj
ulmbjfcxu
Crxdumvpm
NetSvc::
xmnsj
ulmbjfcxu
Folder::
C:\Program Files\Common Files\2c6bd9
C:\Program Files\Common Files\2c6b30
C:\Program Files\Common Files\2c6bd9(2)
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
опять только в безопасном режиме, под конец вылетел, но лог сделать успел
После вклчючения стала опять вылезать ошибка (после первого скрипта и до ComboFix ее не было):
«svchost.exe ошибка приложения ..инструкция по адресу… обратилась к памяти ..память не может быть written»
через несколько минут перестают открываться страницы.
И по ходу языковая панелька пропала
Скопируйте текст ниже в блокнот и сохраните как файл с названием [B]CFScript.txt[/B] на рабочий стол.
[code]KillAll::
File::
C:\Documents and Settings\Administrator\Application Data\drm\drm.exe
Driver::
jfgbga
NetSvc::
jfgbga
Folder::
Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"4029:TCP"=-
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://virusnet.info/images/cfscript.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]
Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Пока не обновитесь, от Кидо не избавитесь
ошибка так и будет появляться????
Файл drm.exe оказался от игрушки от Невософт, они за деньги вирусы продают или это ошибка? Можно его как-то вернуть?!!!
Пожалуйста, скажите, можно ли компьютер вернуть к состоянию "до работы Combofix" по крайней мере, тогда можно было без интенета работать :( ? Теперь и обновить то ничего нельзя, компьютер виснет через пять минут(((
Кидо жив. Вот инструкция [url]http://support.kaspersky.ru/kis2009/error?qid=208636215[/url]
Файл от игрушки восстановите [url]http://virusinfo.info/showpost.php?p=514765&postcount=3[/url]
Убрала ComboFix (часть ошибок пропала выпадать и интернет стал работать неограниченное время)
Установила IE 8, несколько десятков обновлений,
с SP-3 проблемы (
Договорилась о перезагрузке ОС,
Зажмурилась и вручную убрала пару файлов.exe из автозапуска, sistem 32 и их следов в редакторе реестра. - Пропали крики антивируса о прерванныхм соединениях и толпах вирусов.
И сейчас никаких видимых проблем не осталось, но AVZ говорит о подмене диспетчера задач
Вот логи.
Переустановка ОС нужна? или пусть так еще поработает?
Сколько раз нужно еще написать - [SIZE="5"][B]КИДО[/B] жив[/SIZE]? Вы хотя бы KidoKiller'ом проверялись?
Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\userrunsrv.dll','');
QuarantineFile('C:\WINDOWS\system\csrss.exe','');
DeleteService('NrConnmags');
DeleteFile('C:\WINDOWS\system\csrss.exe');
DeleteFile('C:\WINDOWS\system32\userrunsrv.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Да я вообщем то поняла, что он живее всех живых).
Я внимательно изучила, материал по рекомендованной ссылке, и, разумеется использовала вышеназванную утилиту, она ничего не нашла. Симптомов заражения, перечисленных на сайте, а именно:
Антивирусные приложения с активным сетевым экраном сообщают об атаке Intrusion.Win.NETAPI.buffer-overflow.exploit.
Невозможно получить доступ к сайтам большинства антивирусных компаний, например, avira, avast, esafe, drweb, eset, nod32, f-secure, panda, kaspersky и т.д.
Попытка активации Антивируса Касперского или Kaspersky Internet Security с помощью кода активации на машине, которая заражена сетевым червем Net-Worm.Win32.Kido, может завершиться неудачно и возникает одна из ошибок:
тоже сейчас не наблюдается.
Флэшки не заражаются.
Карантин отослала
вот логи
Сделайте лог [url="http://virusinfo.info/showpost.php?p=351873&postcount=1"]gmer[/url]
только в безопасном режиме запускается
Сохраните текст ниже как [B]cleanup.bat[/B] в ту же папку, где находится [B]owsd3uv6.exe (gmer)[/B]
[CODE]owsd3uv6.exe -del service arxsar
owsd3uv6.exe -del file "C:\WINDOWS\system32\qckdycm.dll"
owsd3uv6.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\arxsar"
owsd3uv6.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\arxsar"
owsd3uv6.exe -reboot[/CODE]И запустите [B]cleanup.bat[/B].
Компьютер перезагрузится!
Сделайте новый лог gmer...
вот:
Чисто. Что с проблемой?
Да проблемы взглядом обыкновенного пользователя давно не видно:)
Можно считать, что вылечено?:00000465:
В любом случае, всем, кто откликнулся, большущее СПАСИБО:give_rose:
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\jevcfa.exe - [B]Trojan.Win32.Jorik.Shiz.ej[/B] ( DrWEB: Trojan.Packed.20771, BitDefender: Trojan.Generic.4858195, NOD32: Win32/Spy.Shiz.NAL trojan, AVAST4: Win32:MalOb-DS [Cryp] )[/LIST][/LIST]