cfdrive32.exe и msvmoide.exe

Printable View

10.10.2010, 21:10
Romaner811

cfdrive32.exe и msvmoide.exe

Привет!

у меня уже давно проблема с двумя процессами под именами:
cfdrive32.exe и msvmoide.exe**

** я не уверен как правильно msvmoide или msvmiode

я попал на сайт ища информацию о процессе syscache, попал в одну темку выполнил скрипт (который избавился от них) и за одно узнал что эти процессы(cfdrive32.exe и msvmoide.exe) тоже зловредные вот недавно начал чувствовать его присутствие (интернет начал лагать)
вырубаю их в ручную через панель задач.

я тут новенький(так сказать чайник) и понятия не имею о логах как их делать и что с ними делать...
программ не имею по этому говорите что устанавливать и как логи делать..

заранее спасибо!
10.10.2010, 21:12
Никита Соловьев

[url]http://virusinfo.info/showthread.php?t=1235[/url]

P.S. скрипты из других тем могут привести к непредсказуемым последствиям
10.10.2010, 21:30
Romaner811

вот один лог, AVPtool качаю
11.10.2010, 18:34
Romaner811

я все прочитал и прошу прощение.

вот логи и все дела всё делал по инструкции
11.10.2010, 20:18
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\gsgwx.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-7387465587-7055877451-638338661-7757\syscr.exe','');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\system32\32.exe');
DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
DeleteFile('c:\windows.0\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\WINDOWS.0\kxxfv.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Driversys32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-7387465587-7055877451-638338661-7757\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','VGAResolution');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\gsgwx.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','msnmsg');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
DeleteFile('24.exe');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','VGAResolution');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- выполните такой скрипт

[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.

- Сделайте новые логи АВЗ
12.10.2010, 09:28
Romaner811

Карантин:
Файл сохранён как 101012_092638_quarantine_4cb3f18e5ffd2.zip
Размер файла 1270
MD5 4130ec61e4086ef5d822acc9cd904d70
Логи:
12.10.2010, 10:14
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('c:\windows.0\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
DeleteFile('C:\RECYCLER\S-1-5-21-6858007658-8287353624-770574557-5888\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Сделайте новые логи АВЗ + лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/URL]
12.10.2010, 19:01
Romaner811

лог mbam я не уверен что получилось:
я просканировал и нажал показать результаты, когда выходил оно писало мне что результаты будут потеряны в общем я прислал лог создан с кнопки сохранить отчёт, надеюсь это тот же самый?
12.10.2010, 19:20
olejah

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] -

[CODE]Зараженные процессы в памяти:
C:\WINDOWS.0\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS.0\cfdrive32.exe (Trojan.Agent) -> No action taken.

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msodesnv7 (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\microsoft driver setup (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\microsoft driver setup (Trojan.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.Palevo) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msnmsg (Trojan.Banker) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\taskman (Worm.Palevo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msnmsg (Trojan.Banker) -> No action taken.

Зараженные папки:
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811 (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS.0\system32\drivers\07303422.sys (Rootkit.Agent.H) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\293.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\357.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temp\578698.exe (Trojan.LVBP) -> No action taken.
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\8KJNGBER\575757[1].exe (Trojan.LVBP) -> No action taken.
C:\RECYCLER\S-1-5-21-0555589257-5104924997-729740828-8424\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-4594258461-1289910225-240534462-9407\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\RECYCLER\S-1-5-21-6858007658-8287353624-770574557-5888\syscr.exe (Worm.Autorun.B) -> No action taken.
C:\WINDOWS.0\innounp.exe (Malware.Packer.Gen) -> No action taken.
C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\Desktop.ini (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\ltzqai.exe (Worm.Palevo) -> No action taken.
C:\WINDOWS.0\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
C:\WINDOWS.0\cfdrive32.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Admin\Application Data\carxo.exe (Trojan.Banker) -> No action taken.
[/CODE]

- Повторите лог полного сканирования
13.10.2010, 17:18
Romaner811

вот
13.10.2010, 20:52
Никита Соловьев

Сделайте новые логи AVZ...
14.10.2010, 16:13
Romaner811

вот
14.10.2010, 18:23
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Test321');
DeleteFile('C:\RECYCLER\S-1-5-21-3631249669-4104900662-618036908-8568\syscr.exe');
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Сделайте повторные логи АВЗ + лог МВАМ
15.10.2010, 15:52
Romaner811

у меня тут одна штука произошла:

я сделал логи AVZ
и поставил мбам на сканирование, и пошел своими делами заниматься...
мой старший брат когда использовал комп, нажал на удалить всё в конце сканировании...

комп работает вроде нормально пока что, сегодня утром я сделал ещё одно сканирование, мбам ничего не обнаружил.

делать новые логи AVZ? (для убеждения что вирус уничтожен?)
15.10.2010, 18:31
olejah

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\RECYCLER\S-1-5-21-3631249669-4104900662-618036908-8568\syscr.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите лог [B]virusinfo_syscure.zip[/B]
15.10.2010, 23:08
Romaner811

вот
15.10.2010, 23:15
Никита Соловьев

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
QuarantineFile('C:\WINDOWS.0\cfdrive32.exe','');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.

Файл [B]quarantine.zip[/B] загрузите по ссылке [B][U][COLOR="Red"]прислать запрошенный карантин[/COLOR][/U][/B].

сделайте новые логи
17.10.2010, 18:03
Romaner811

Файл сохранён как 101017_174006_quarantine_4cbafcb6161e4.zip
Размер файла 46170
MD5 4dab390f71e441c556ddac7b0eb6b8ea
17.10.2010, 18:06
olejah

Не хотят уходить, сделайте лог [URL="http://virusinfo.info/showthread.php?t=58309"]ComboFix[/URL]
17.10.2010, 18:59
Romaner811

вот
17.10.2010, 21:02
Никита Соловьев

Хорошо. Теперь повторите лог AVZ
18.10.2010, 00:05
Romaner811

вот
18.10.2010, 08:20
olejah

[QUOTE]Восстановление системы: включено[/QUOTE] Так можно лечиться до Нового Года

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows.0\cfdrive32.exe');
TerminateProcessByName('c:\windows.0\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS.0\cfdrive32.exe');
DeleteFile('C:\WINDOWS.0\system32\msvmiode.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-1860661558-9951445189-811489863-2064\syscr.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите логи
18.10.2010, 09:36
Romaner811

я отключал когда выполнял первый скрипт и был уверен что не придётся повторно отключать \\
18.10.2010, 10:10
olejah

Восстановление системы должно быть отключено на протяжении всего процесса лечения и быть включено только после него.

Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] [B]в безопасном режиме[/B] -

[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('C:\RECYCLER\S-1-5-21-1860661558-9951445189-811489863-2064\syscr.exe');
DeleteFile('C:\Documents and Settings\Admin\Application Data\ltzqai.exe');
DeleteFile('C:\WINDOWS.0\system32\43.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После выполнения скрипта компьютер перезагрузится.

- Повторите лог [B]virusinfo_syscure.zip[/B]
22.10.2010, 14:46
Romaner811

вот
22.10.2010, 17:13
Никита Соловьев

Ещё раз ComboFix
23.10.2010, 17:13
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows.0\\cfdrive32.exe - [B]Trojan.Win32.Jorik.SdBot.fo[/B] ( DrWEB: Trojan.Spambot.9106, BitDefender: Trojan.Generic.5063368, NOD32: IRC/SdBot trojan, AVAST4: Win32:Rebhip-AC [Trj] )[/LIST][/LIST]