Printable View
Здравствуйте. Помогите, пожалуйста, с вирусами. Нод регулярно начал выдавать уведомление о заблокированном айпи адресе от cooleasy.com. Одновременно с этим начались проблемы с определением звуковой карты, перебои в стабильности инетсоединения. В диспетчере задач постоянно видны явно левые процессы, чистка тем же нодом и куретом вирусы выявляет, лечит, удаляет, но все восстанавливается снова.
Здравствуйте.
Закройте все программы
Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
[URL="http://virusinfo.info/showthread.php?t=4905"]- Системное восстановление[/URL]
[COLOR="Black"][URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в hijackthis[/URL][/COLOR] -
[CODE]R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O18 - Protocol: AutorunsDisabled - (no CLSID) - (no file)
O18 - Filter: AutorunsDisabled - (no CLSID) - (no file)
[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] -
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
TerminateProcessByName('c:\windows\gwdrive32.exe');
TerminateProcessByName('c:\windows\system32\msvmiode.exe');
DeleteService('fmvardwiavvkx');
QuarantineFile('C:\WINDOWS\system32\drivers\lheuq.sys','');
QuarantineFile('C:\Documents and Settings\Администратор\Application Data\oekx.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe','');
QuarantineFile('C:\WINDOWS\system32\41.exe','');
QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
QuarantineFile('C:\WINDOWS\gwdrive32.exe','');
DeleteFile('C:\WINDOWS\gwdrive32.exe');
DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
DeleteFile('C:\WINDOWS\system32\41.exe');
DeleteFile('C:\WINDOWS\system32\25.exe');
DeleteFile('C:\WINDOWS\system32\00.exe');
DeleteFile('C:\Documents and Settings\Администратор\Application Data\oekx.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','MSODESNV7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnawy');
DeleteFile('C:\WINDOWS\system32\drivers\lheuq.sys');
BC_DeleteSvc('fmvardwiavvkx');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- выполните такой скрипт
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ по ссылке [COLOR="Red"][B][U]Прислать запрошенный карантин[/U][/B][/COLOR] над первым сообщением этой темы.
- Повторите логи
А также
Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
выполнил.
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] всё, [B]кроме[/B]
[CODE]Объекты реестра заражены:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
Заражённые файлы:
d:\soft\kaspersky.keyviewer\antihacker\Crack.exe (RiskWare.Tool.CK) -> No action taken.
d:\soft\конвертеры\xilisoft.3gp.video.converter.v2.1.55.1107b\keygen.exe (Trojan.Downloader) -> No action taken.
d:\soft\eset nod32 antivirus\offline update\Fixes\eset login viewer\eset login viewer.exe (Trojan.Agent.CK) -> No action taken.
e:\progs\автокад\keygens\xf-a2011-32bits.exe (RiskWare.Tool.CK) -> No action taken.
e:\progs\автокад\keygens\xf-a2011-64bits.exe (RiskWare.Tool.CK) -> No action taken.
[/CODE]
- Повторите логи
и еще. нод перестал запускаться.
готово.
Повторите ещё лог МВАМ, плиз.
конечно)
Удалите в МВАМ, всё, кроме того, что я уже перечислил выше.
Потом срочно -
- Установите все [url=http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru]важные обновления[/url].
- Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]IE 8[/url] - даже если Вы им не пользуетесь.
установил все. начались тормоза жуткие. нод так и не заработал. снес его, но при попытке его установки не получается запустить службу ekern, установка не получается(
Повторите лог МВАМ
с антивирусом так и не получается.
1. [URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]удалите[/URL] в [B]MBAM[/B]
[CODE]
Заражённые параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.Palevo) -> Value: Shell -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Tnawy (Trojan.Agent) -> Value: Tnawy -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Taskman (Worm.Palevo) -> Value: Taskman -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Microsoft Driver Setup (Trojan.Agent) -> Value: Microsoft Driver Setup -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSODESNV7 (Backdoor.Bot) -> Value: MSODESNV7 -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Microsoft Driver Setup (Trojan.Agent) -> Value: Microsoft Driver Setup -> No action taken.
Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\Documents and Settings\Администратор\Application Data\ltzqai.exe,C:\RECYCLER\S-1-5-21-3606839521-7355148070-778077706-9009\csisd.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1417\systm.exe,C:\Documents and Settings\Администратор\Application Data\oekx.exe,explorer.exe,C:\RECYCLER\S-1-5-21-6251295644-1736572919-244501615-3286\svmgr.exe) Good: (Explorer.exe) -> No action taken.
Заражённые файлы:
c:\RECYCLER\s-1-5-21-0243556031-888888379-781863308-1417\systm.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\gwdrive32.exe (Trojan.Agent) -> No action taken.
c:\WINDOWS\system32\msvmiode.exe (Backdoor.Bot) -> No action taken.
c:\documents and settings\администратор\application data\ltzqai.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\application data\oekx.exe (Worm.Palevo) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\1815807.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\2124.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\2403.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\250.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\30234.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\4992.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\70454.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\7530.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\806.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\956294.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\Temp\980.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\5OX5YWTW\a1[1].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\5OX5YWTW\n1[2].exe (Trojan.Agent) -> No action taken.
c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5\D7WLEG1H\a2[1].exe (Trojan.Agent) -> No action taken.
c:\windows\system32\drivers\str.sys (Rootkit.Agent) -> No action taken.
[/CODE]
2.[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFileMask('c:\documents and settings\администратор\local settings\temporary internet files\Content.IE5', '*.*', true);
RebootWindows(true);
end.[/CODE]
После перезагрузки:
- Сделайте повторный лог [URL="http://virusinfo.info/showpost.php?p=457118&postcount=1"][COLOR="Blue"][B]MBAM[/B][/COLOR][/URL]
готово. нод не устанавливается, касперский не запускается.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
QuarantineFile('c:\windows\system32\drivers\str.sys','');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
После перезагрузки:
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
- [B]quarantine.zip [/B] - удалите из темы
- Файл [B][COLOR="Red"]quarantine.zip[/COLOR][/B] из папки AVZ загрузите по ссылке [B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B] вверху темы
что-т не пойму. вроде загрузил карантин, нмчего не изменилось, пытаюсь повторить - пишет, мол, файл уже был загружен.
- [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFile('c:\windows\system32\drivers\str.sys');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
Что с проблемой?
работа компа все равно подторможенная, нод все так же не ставится, касперский все так же устанавливается, но не запускается(
Сделайте лог [URL="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/URL]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]42[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\администратор\\application data\\oekx.exe - [B]Trojan.Win32.Pincav.arsi[/B] ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.5267255, AVAST4: Win32:Trojan-gen )[*] c:\\recycler\\s-1-5-21-0243556031-888888379-781863308-1417\\systm.exe - [B]Packed.Win32.Krap.ig[/B] ( DrWEB: Win32.HLLW.Recycler.6, BitDefender: Trojan.Generic.5967323, NOD32: Win32/AutoRun.IRCBot.FC worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\gwdrive32.exe - [B]Trojan.Win32.VBKrypt.aitc[/B] ( DrWEB: Trojan.DownLoader1.47954, BitDefender: Gen:Heur.IPZ.3, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\\windows\\services32.exe - [B]Backdoor.Win32.Agent.blxl[/B] ( DrWEB: BackDoor.Siggen.41653, BitDefender: Trojan.Generic.7565474, NOD32: Win32/Delf.QCZ trojan, AVAST4: Win32:Trojan-gen )[*] c:\\windows\\system32\\msvmiode.exe - [B]Email-Worm.Win32.Joleee.frp[/B] ( DrWEB: Trojan.Siggen2.15595, BitDefender: Trojan.Generic.5277162, NOD32: Win32/SpamTool.Tedroo.AN trojan, AVAST4: Win32:Kryptik-WJ [Trj] )[*] c:\\windows\\system32\\41.exe - [B]P2P-Worm.Win32.Palevo.bkgo[/B] ( DrWEB: Trojan.Inject.17998, BitDefender: Trojan.Generic.5582993, NOD32: Win32/Peerfrag.FD worm, AVAST4: Win32:Malware-gen )[*] c:\\windows\\update.4.1\\svchost.exe - [B]Trojan.Win32.Swisyn.bntx[/B] ( DrWEB: Trojan.BtcMine.3, BitDefender: Generic.Malware.SFHVWkg.D8A84647, AVAST4: Win32:Delf-QBF [Trj] )[*] c:\\windows\\update.5.0\\svchost.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.BtcMine.3, BitDefender: Trojan.Downloader.Delf.SCA, AVAST4: Win32:Delf-QBF [Trj] )[/LIST][/LIST]