у меня вирус RC=3221225477 помогите удалить его

Printable View

07.03.2011, 11:04
Wolf

у меня вирус RC=3221225477 помогите удалить его

Комп перезагружается примерно через 15 минут после включения.
Trojan remover находит какие-то процессы(постоянно разные) но перезагрузка продолжается.
Dr Web CureIt в безопасном режиме нашел вылечил, также нашел заражение в браузерах-вылечил, но после перезагрузки все продолжается....
07.03.2011, 14:15
Bratez

Лог syscure в LiveCD делали? Так не пойдет.

Выполните скрипт в AVZ:
[code]
begin
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Internet Explorer\setupapi.dll','');
QuarantineFile('C:\WINDOWS.0\system32\install\explorer.exe','');
DeleteFile('C:\WINDOWS.0\system32\install\explorer.exe');
DeleteFile('C:\Program Files\Internet Explorer\setupapi.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]
Компьютер перезагрузится.

[b]Обновите базы AVZ[/b] и сделайте новые логи.
07.03.2011, 17:26
Wolf

В Live CD CureIt нашел также Trojan.DownLoad.35818 и удалил.
Trojan remover указывает на utm3mtq4.sys
К сожалению, в обычном режиме первый лог не сделать, т.к. компьютер перезагружается....

Подскажите пожалуйста, что еще можно сделать??
07.03.2011, 18:03
Bratez

[QUOTE='Wolf;773168']К сожалению, в обычном режиме первый лог не сделать[/QUOTE]
Сделайте его в безопасном, только базы обязательно обновите.
07.03.2011, 22:24
Wolf

Вложений: 1

В безопасном режиме Винда не грузится - сбрасывается, можно только в безопасном режиме с помощью Live CD. Первый лог сделал таким образом.
Остальные два в обычном режиме (т.к. 15 минут достаточно).
08.03.2011, 10:40
Bratez

1. Лог, сделанный в LiveCD, не несет информации о вашей системе и потому бесполезен.

2. В остальных логах все нормально.

3. [B]RC=...[/B] это не вирус, а код возврата.
Наименование вируса и имя вредоносного файла должны быть в логе CureIt,
если конечно он действительно что-то обнаружил.

4. Рекомендуется установить SP3 и последующие обновления.
(Может потребоваться повторная активация Windows).

5. "[B]Trojan remover[/B] указывает на utm3mtq4.sys" utm3mtq4.sys - это драйвер AVZ.
Во время работы антивирусных сканеров и при работе с AVZ следует выключать подобные программы. А при наличии полнофункционального антивируса примененние таких программ вообще не имеет смысла.

6. "В безопасном режиме Винда не грузится" - попробуйте в AVZ: Файл - Восстановление системы - п.10 - Выполнить.

7. "компьютер перезагружается" - в свойствах Системы (вкладка Дополнительно, Загрузка и восстановление) отключите автоматическую перезагрузку. Тогда в случае сбоя будет [I]синий экран[/I], сообщите с него код ошибки - STOP 0x000000??.
08.03.2011, 21:04
thyrex

[color="#FF0000"][b]Внимание![/b][/color] Официальная поддержка (и выпуск обновлений) для Windows XP SP2 [b]прекращена[/b]

Установите [url="http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ru"]SP3[/url] (может потребоваться активация) + все [url="http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ru"]новые обновления[/url] для Windows
Установите [url="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet Explorer 8[/url] (даже если им не пользуетесь)
Установите [url="http://get.adobe.com/reader/otherversions/"]Acrobat Reader 10[/url] или удалите старый
Обновите [url="http://www.java.com/ru/download/manual.jsp"]JavaRE[/url]
08.03.2011, 21:39
Wolf

спасибо. Обязательно переустановлю - это уберет проблему с вирусом или это не факт, что вирус?
На "синем экране" была ошибка STOP c000021a

Сделал первый лог в безопасном режиме - посмотрите пожалуйста.
Cure It проверяет сейчас в безопасном режиме - нашел и исцелил в mssfc.dll Trojan.WinSpy.997, нужно ли присылать лог Cure It ?
08.03.2011, 21:55
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
08.03.2011, 23:04
Wolf

Сделал лог полного сканирования МВАМ
08.03.2011, 23:19
Acidorum

Здравствуйте.
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в MBAM[/URL]:
[CODE]Заражённые ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{08B0E5JF-4FCB-11CF-AAA5-00401C6XX500} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{08B0E5JF-4FCB-11CF-AAA5-00401C6XX500} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\INSTALL.EXE (Trojan.Agent) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{8E8E8F8A-8FCC-88CE-BCB8-B8FD8E88888A} (Malware.Packer.Gen) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Fci (Rootkit.Agent) -> No action taken.

Заражённые папки:
c:\documents and settings\localservice\application data\twain_32 (Trojan.Zbot) -> No action taken.
c:\program files\bitaccelerator (Trojan.BHO) -> No action taken.
c:\program files\webmediaviewer (Trojan.Zlob) -> No action taken.
c:\documents and settings\all users\главное меню\программы\bitaccelerator (Trojan.BHO) -> No action taken.

Заражённые файлы:
c:\documents and settings\YURA\local settings\Temp\install.exe (Trojan.Agent) -> No action taken.
c:\documents and settings\YURA\application data\pr.reg (Rogue.AntiVirusPro) -> No action taken.
c:\documents and settings\YURA\application data\avdrn.dat (Malware.Trace) -> No action taken.
c:\documents and settings\YURA\application data\fvgqad.dat (Malware.Trace) -> No action taken.
c:\documents and settings\Admin\application data\logs.dat (Bifrose.Trace) -> No action taken.
c:\documents and settings\YURA\application data\wiaserva.log (Malware.Trace) -> No action taken.
c:\documents and settings\Admin\local settings\Temp\ie1B.tmp (Malware.Trace) -> No action taken.
c:\documents and settings\Admin\local settings\Temp\ie3.tmp (Trojan.Agent) -> No action taken.
c:\documents and settings\Admin\local settings\Temp\in1A.tmp (Malware.Trace) -> No action taken.
c:\documents and settings\localservice\application data\twain_32\user.ds (Trojan.Zbot) -> No action taken.
c:\WINDOWS.0\system32\CDClose.dll (Malware.Packer.Gen) -> No action taken.
c:\program files\bitaccelerator\uninstall.exe (Trojan.BHO) -> No action taken.
c:\program files\webmediaviewer\uninst.exe (Trojan.Zlob) -> No action taken.
c:\documents and settings\all users\главное меню\программы\bitaccelerator\uninstall.lnk (Trojan.BHO) -> No action taken.[/CODE]
Сделайте повторный лог MBAM.
09.03.2011, 23:11
Wolf

Повторный лог
10.03.2011, 01:19
thyrex

Плохого не видно. Что с проблемой?
10.03.2011, 22:58
Wolf

Ничего не изменилось, та же ошибка(синий экран), в безопасном режиме CureIt опять находит в mssfc.dll и вроде как исцеляет от Trojan.WinSpy.997
К сожалению. улучшения нет....
Если установить SP 3 проблема уйдет?
11.03.2011, 00:28
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
12.03.2011, 01:14
Wolf

Запустил , открылось окно нашел вроде два файла зараженных

System file is infected!! Attemting to restore
"C:\WINDOWS.0\regedit.exe"

System file is infected!! Attemting to restore
"C:\WINDOWS.0\system32\sfcfiles.dll"

Attemting to create a newSystem Restore point

Никаких сообщений о завершении, курсор мигает уже давно(минут 15).... программа зависла или она ооооооооочень долго работает?
Что интересно - компьютер не выдает ошибку(перезагрузка).
проблема устранена???
Или ждать...... (пишу с нетбука).

[size="1"][color="#666686"][B][I]Добавлено через 54 минуты[/I][/B][/color][/size]

Параллельно запустил CureIt, он опять нашел в C:\WINDOWS.0\system32\mssfc.dll Trojan.WinSpy.997 - пишет что исцелен, но строчка повторяется в отчете - проверка зависла на этом файле......

[size="1"][color="#666686"][B][I]Добавлено через 23 минуты[/I][/B][/color][/size]

После перезагрузки (сам решил перезагрузить) запустил снова, программа написала то же , что выше, далее обновился, потом установилась консоль восстановления, после снова та же проблема - синий экран и та же ошибка......

Можно ли запустить эту прогу в безопасном режиме?
12.03.2011, 10:55
thyrex

Про regedit.exe не волнуйтесь. Он чист.

[QUOTE='Wolf;774403']Можно ли запустить эту прогу в безопасном режиме?[/QUOTE]Можно

Но сначала нужно
[QUOTE]c:\WINDOWS.0\system32\sfcfiles.dll замените чистым с дистрибутива [url]http://virusinfo.info/showthread.php?t=51654[/url] или скопируйте с аналогичной системы[/QUOTE]
12.03.2011, 12:10
Wolf

Вложений: 1

Лог ComboFix
12.03.2011, 14:29
thyrex

Утилита добила файл. Проблема решена?
12.03.2011, 14:54
Wolf

Да - проблема решена. Все работает.
Спасибо большое!
Уже установил SP3 и прочее.
Сделаю образ чистой системы =)
12.03.2011, 15:29
thyrex

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]