нет сети. Антивирус отказывается работать

Printable View

13.03.2011, 00:25
Разрушаторов Володя

нет сети. Антивирус отказывается работать

Симптомы:
Ничего не пингуется, даже модем.
Антивирус не работает, пишет, что защита доступа в Интернет отключена (НОД32). Аваст тоже при попытке его установить выдал некую ошибку 10093 - что-то про Winsocks вроде...
Кьюритом и АВП тул-ом прогнал, нашел несколько вирусов, уже не помню какие. Но не помогло.
Загрузка компьютера длится очень долго, минут 10.
13.03.2011, 03:19
Bratez

Скачайте эту программу: [url]http://www.veldhuizen.speedxs.nl/winsockxpfix.exe[/url],
запустите и нажмите Fix. По окончании ее работы будет перезагрузка.
Затем проверьте настройки сетевых подключений и при необходимости введите их заново.

[QUOTE]>>>> Опасно - файл avz.exe изменен, его CRC не прошла контроль по базе безопасных[/QUOTE]
Запакуйте ваше экземпляр avz.exe в zip архив с паролем [I]virus[/I] и пришлите как карантин по красной ссылке вверху темы.

Скачайте AVZ заново, обновите базы и повторите логи.
13.03.2011, 05:39
Разрушаторов Володя

Дико извиняюсь, я ступил и удалил avz.exe c вирусом.....
Винсоксфикс применил, загрузка сразу стала быстрой, как и прежде.
Появилась сеть, интернет тоже заработал.
Антивирус по-прежнему выдает сообщение: "Правила персонального файервола не могут быть преобразованы по неизвестной причине"
Логи прилагаю.

АПДЕЙТ.
После выполнения скрипта лечения\карантина антивирус заработал.
13.03.2011, 05:48
Bratez

Выполните скрипт в AVZ:
[code]
begin
ClearQuarantine;
QuarantineFile(GetAVZDirectory + 'avz.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\winlogon.exe','');
QuarantineFile('C:\WINDOWS\system32\dllcache\explorer.exe','');
QuarantineFile('C:\WINDOWS\Fonts\services.exe','');
QuarantineFile('c:\windows\system32\mswinsck.ocx','');
end.[/code]
Пришлите карантин согласно приложению 3 правил
(загружать тут: [url]http://virusinfo.info/upload_virus.php?tid=99233[/url]).
13.03.2011, 11:29
thyrex

У Вас файловый вирус Virut

Пролечитесь так [url]http://support.kaspersky.ru/viruses/solutions?qid=208636998[/url]
Утилиту лучше скачать на чистом от вирусов компьютере, записать на CD
13.03.2011, 17:41
Разрушаторов Володя

Провел проверку, нашел огромную кучу этих вирут-вирусов.

Попробовал на другом компе запустить для проверки, на нем Win 7 Home стоит. Выдает ошибку "Ошибка при запуске приложения (0xc0000142). для выхода из приложения нажмите кнопку "ОК".
До этого на этом компе тоже были Virut-вирусы. С ними вроде как справился успешно Kaspersky Virus Removal Tool 2010, тоже нашел кучу вирусов. Так вот, смотрел отчет потом о проверке. Removal Tool не смог вылечить несколько системных файлов и тупо их удалил. Это были taskmgr.exe sc.exe schost.exe(или scanhost.exe точно не помню название, но что-то про хост), все эти файлы были из папки system32. Где мне теперь взять эти файлы? По причине их отсутствия не запускается вирут-киллер?

АПДЕЙТ. Rootkit Unhooker на втором компьютере тоже отказывается запускаться. Ошибка "Error loading driver, NTSTATUS code: C0000001 "

[size="1"][color="#666686"][B][I]Добавлено через 50 минут[/I][/B][/color][/size]

АПДЕЙТ 2. На первом компьютере проверка Virut-киллером результатов не дала. Они опять объявились. Интернет и антивирус опять отвалились. Теперь провожу проверку в безопасном режиме.

Что делать со вторым компом, на котором киллер не запускается?
13.03.2011, 18:22
polword

пролечитесь [URL="http://virusinfo.info/showpost.php?p=648638&postcount=5"]так[/URL]
13.03.2011, 19:03
Разрушаторов Володя

На первом изначальном компьютере вирут-киллером в безопасном режиме провел три проверки с перезагрузками.
Результаты: в первый раз нашел более 1000 вирусов, потом 100, в третий раз 66 вирусов.
Каждый раз в начале проверки выдает три сообщения "infected thread was killed in process winlogon.exe with PID 236"
Сейчас буду через лайв-сд проверять...

касперский лайв-сд отказываетя работать. код ошибки 80000046
13.03.2011, 22:06
thyrex

Пробуйте DrWeb LiveCD
14.03.2011, 13:25
Разрушаторов Володя

Проверяю через др.веб лайв-сд. Уже 16 часов идет проверка))) Еще диск С не проверен полностью. а еще диск Д проверять...
Это нормально вообще? Компьютер, конечно, далеко не новый... Но и не пентиум 2.
За это время найдено 160 threats 160 neutralized
14.03.2011, 14:22
regist

[QUOTE='Разрушаторов Володя;774753']Что делать со вторым компом, на котором киллер не запускается?[/QUOTE]
[QUOTE='Разрушаторов Володя;774798']На первом изначальном компьютере[/QUOTE]
чтоб не путаться, что на каком компьютере, создайте тему по второму компьютеру отдельно и прикрепите логи по правилам сделанные на нём.

[QUOTE='Разрушаторов Володя;774753']Это были taskmgr.exe sc.exe schost.exe(или scanhost.exe точно не помню название, но что-то про хост), все эти файлы были из папки system32. Где мне теперь взять эти файлы?[/QUOTE]
вставьте в CD-Room диск виндоуса с таким же сервис паком и локализаций как у вас, выполните: Пуск | Выполнить | cmd | sfc /scannow
15.03.2011, 22:41
Разрушаторов Володя

Итак, проверка заняла около 34 часов. Найдено около 500 вирусов типа virut.ce.
Заново провел проверки AVZ и Hijackthis. Логи прилагаю.
Запрошенный ранее карантин нужен или в нем уже нет смысла после проверки Др.Веба?

ЗЫ. Интернет работает, антивирус тоже. Загрузка проходит нормально, как и раньше.
15.03.2011, 23:54
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\F440~1\LOCALS~1\Temp\czwo9f.exe','');
QuarantineFile('C:\WINDOWS\system32\regedit.exe','');
QuarantineFile('c:\windows\system32\wuaucldt.exe','');
QuarantineFile('c:\documents and settings\я\wuaucldt.exe','');
DeleteFile('c:\documents and settings\я\wuaucldt.exe');
DeleteFile('c:\windows\system32\wuaucldt.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','wuaucldt');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','wuaucldt');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','wuaucldt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','wuaucldt');
DeleteFile('C:\WINDOWS\system32\regedit.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Regedit32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','m2vum');
DeleteFile('C:\DOCUME~1\F440~1\LOCALS~1\Temp\czwo9f.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]
16.03.2011, 16:36
Разрушаторов Володя

Скрипт выполнил и карантин прислал вчера.
Сегодня завершил проверку MBAM и сделал заново логи. Прилагаю.
MBAM нашел чуть больше сорока вирусов. Ничего не удалял.
16.03.2011, 19:33
regist

[B]Разрушаторов Володя[/B],
Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=57441]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*', true);
QuarantineFile('c:\documents and settings\я\local settings\Temp\avd3ehjdu.exe',' ');
QuarantineFile('c:\WINDOWS\system32\calc.exe',' ');
QuarantineFile('c:\WINDOWS\system32\dp1.fne',' ');
QuarantineFile('c:\WINDOWS\system32\vfp8rrus.dll',' ');
QuarantineFile('c:\documents and settings\я\application data\avdrn.dat',' ');
QuarantineFile('c:\WINDOWS\system32\krnln.fnr','');
QuarantineFile('c:\WINDOWS\system32\og.dll',' ');
QuarantineFile('c:\WINDOWS\system32\og.EDT',' ');
QuarantineFile('c:\WINDOWS\system32\RegEx.fnr ',' ');
QuarantineFile('c:\WINDOWS\system32\spool\drivers\wmsncs.exe ',' ');
QuarantineFile('c:\WINDOWS\system32\ul.dll',' ');
QuarantineFile('c:\WINDOWS\system32\wsnpoem\audio.dll',' ');
QuarantineFileF('c:\WINDOWS\system32\wsnpoem\','*',true,' ',0 ,0);
DeleteFile('c:\documents and settings\я\local settings\Temp\avd3ehjdu.exe');
DeleteFile('c:\WINDOWS\system32\dp1.fne');
DeleteFile('c:\WINDOWS\system32\vfp8rrus.dll');
DeleteFile('c:\documents and settings\я\application data\avdrn.dat');
DeleteFile('c:\documents and settings\networkservice\application data\fvgqad.dat');
DeleteFile('c:\WINDOWS\system32\krnln.fnr');
DeleteFile('c:\WINDOWS\system32\og.dll');
DeleteFile('c:\WINDOWS\system32\og.EDT');
DeleteFile('c:\WINDOWS\system32\RegEx.fnr ');
DeleteFile('c:\WINDOWS\system32\spec.fne');
DeleteFile('c:\WINDOWS\system32\spool\drivers\wmsncs.exe ');
DeleteFile('c:\WINDOWS\system32\ul.dll');
DeleteFile('c:\WINDOWS\system32\wsnpoem\audio.dll');
BC_ImportALL;
ExecuteSysClean;
RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun', 221);
BC_Activate;
ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.
[/code]

После выполнения скрипта компьютер перезагрузится.

Пришлите карантин согласно [b]Приложения 3[/b] правил по красной ссылке [color=Red][u][b]Прислать запрошенный карантин[/b][/u][/color] вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE] O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O9 - Extra button: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {E59EB121-F339-4851-A3BA-FE49C35617C2} - ICQ.exe (file missing)
O18 - Filter hijack: text/html - (no CLSID) - (no file)
[/CODE]

удалите в MBAM
[CODE]Заражённые ключи в реестре:
HKEY_CLASSES_ROOT\AppID\{B0ED4726-5BC8-4E22-A7A8-3074A73CE64E} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{1408E208-2AC1-42D3-9F10-78A5B36E05AC} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\xvideoplugin.JetMimeFiltr (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\xvideoplugin.JetMimeFiltr.1 (Trojan.BHO) -> No action taken.

Заражённые параметры в реестре:
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{6780A29E-6A18-0C70-1DFF-1610DDE00108} (Trojan.Agent) -> Value: {6780A29E-6A18-0C70-1DFF-1610DDE00108} -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{6780A29E-6A18-0C70-1DFF-1610DDE00108} (Trojan.Agent) -> Value: {6780A29E-6A18-0C70-1DFF-1610DDE00108} -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{6780A29E-6A18-0C70-1DFF-1610DDE00108} (Trojan.Agent) -> Value: {6780A29E-6A18-0C70-1DFF-1610DDE00108} -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{F710FA10-2031-3106-8872-93A2B5C5C620} (Trojan.Agent) -> Value: {F710FA10-2031-3106-8872-93A2B5C5C620} -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{F710FA10-2031-3106-8872-93A2B5C5C620} (Trojan.Agent) -> Value: {F710FA10-2031-3106-8872-93A2B5C5C620} -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{F710FA10-2031-3106-8872-93A2B5C5C620} (Trojan.Agent) -> Value: {F710FA10-2031-3106-8872-93A2B5C5C620} -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02FFAC45-0B10-5633-4296-1801F1A36678} (Trojan.Agent) -> Value: {02FFAC45-0B10-5633-4296-1801F1A36678} -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02FFAC45-0B10-5633-4296-1801F1A36678} (Trojan.Agent) -> Value: {02FFAC45-0B10-5633-4296-1801F1A36678} -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02FFAC45-0B10-5633-4296-1801F1A36678} (Trojan.Agent) -> Value: {02FFAC45-0B10-5633-4296-1801F1A36678} -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{6780A29E-6A18-0C70-1DFF-1610DDE00108} (Trojan.Agent) -> Value: {6780A29E-6A18-0C70-1DFF-1610DDE00108} -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{F710FA10-2031-3106-8872-93A2B5C5C620} (Trojan.Agent) -> Value: {F710FA10-2031-3106-8872-93A2B5C5C620} -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{02FFAC45-0B10-5633-4296-1801F1A36678} (Trojan.Agent) -> Value: {02FFAC45-0B10-5633-4296-1801F1A36678} -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Spool Driver Service (Trojan.Agent) -> Value: Spool Driver Service -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Spool Driver Service (Trojan.Agent) -> Value: Spool Driver Service -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\UID (Malware.Trace) -> Value: UID -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\WaitToKillServiceT (Malware.Trace) -> Value: WaitToKillServiceT -> No action taken.[/CODE]

перезагрузите компьтер и сделайте новые логи HijackThis и MBAM.
16.03.2011, 19:41
regist

+ Проведите процедуру, которая описана в первом сообщении [url=http://virusinfo.info/showthread.php?t=3519][B]тут[/B][/url]. Результат загрузки напишите в сообщении здесь.
16.03.2011, 20:37
Разрушаторов Володя

[QUOTE=regist;775627]удалите в MBAM
[/QUOTE]
а как удалить в MBAM? Предыдущего отчета там не сохранилось почему-то.... Как удалить эти параметры?
Заново полное сканирование проводить и ждать пять часов, потом удалить эти найденные параметры и опять 5 часов сканировать?

ЗЫ. А LiveCD от Drweb, получается, ничем не помог?
16.03.2011, 21:41
ARMA9000

[QUOTE]а как удалить в MBAM?[/QUOTE]
[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Как удалять с помощю MBAM указанные в теме элементы?[/URL]
17.03.2011, 02:18
Разрушаторов Володя

вот новые логи хайджэка и мбам
17.03.2011, 15:49
thyrex

[URL="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/URL] [code]Заражённые папки:
c:\WINDOWS\system32\wsnpoem (Trojan.Agent) -> No action taken.

Заражённые файлы:
d:\INSTALL\antivirus\AVZ\avz4\Infected\2011-03-15\avz00001.dta (Trojan.Agent) -> No action taken.
d:\INSTALL\antivirus\AVZ\avz4\quarantine\2011-03-16\avz00001.dta (Trojan.Agent) -> No action taken.
d:\INSTALL\antivirus\AVZ\avz4\quarantine\2011-03-16\avz00002.dta (Trojan.Agent.Gen) -> No action taken.
d:\INSTALL\antivirus\AVZ\avz4\quarantine\2011-03-16\avz00003.dta (Worm.Autorun) -> No action taken.
d:\INSTALL\antivirus\AVZ\avz4\quarantine\2011-03-16\bcqr00003.dat (Trojan.Agent.Gen) -> No action taken.
c:\WINDOWS\system32\wsnpoem\video.dll (Trojan.Agent) -> No action taken.[/code]
17.03.2011, 20:33
Разрушаторов Володя

сделал.
Все, наша проблема решена?
17.03.2011, 20:40
thyrex

[QUOTE='Разрушаторов Володя;775981']Все, наша проблема решена?[/QUOTE]Как самочуствие компьютера?
18.03.2011, 00:48
Разрушаторов Володя

[QUOTE='thyrex;775985']Как самочуствие компьютера? [/QUOTE]
Пациент чувствует себя отлично. Просит выписки из реанимации.
18.03.2011, 02:13
thyrex

Выписываем
18.03.2011, 03:35
Разрушаторов Володя

Сорри. У пациента непонятные проблемы с установкой лицензии Касперского.
Ставлю КИС 2011 лицензионный.
Во-первых, не запустился вручную авторан. То есть запустился, но в нем просто белое окно и крестик закрытия обычный справа вверху. Запустил установку вручную, установил, на этапе активации абсолютно непонятная фигня. Ввожу ключ, принимает, говорит "ОК", переходит на следующую страницу, где вроде надо ввести свои контактные данные (электронная почта и т.д.), но там ПУСТО! Сверху в окошке написано:
"Активация онлайн.
Данные регистрации необходимы "Лаборатории Касперского", чтобы информировать вас бла-бла-бла......"
А окошек этих, куда надо вводить свои данные, нет! Нажимаю кнопку "Далее", но ничего не происходит..... Приходится отменять...
Поставил пробную версию, обновил, при попытке ввести новую лицензию происходит все то же самое. Тысяча чертей!
Что делать то?
ЗЫ. До этого стоял лицензионный Касперский (не Секьюрити).

[size="1"][color="#666686"][B][I]Добавлено через 1 час 16 минут[/I][/B][/color][/size]

АПДЕЙТ
В общем, справился я кое-как с этой дурацкой активацией.
Сначала удалял с помощью утилиты удаления продуктов ЛК, устанавливал заново. Те же проблемы были.
Кое-как нашел ссылку на возможность запроса файла ключа вместо онлайн-активации. При этом на сайте Касперского пишется, что начиная с версии 2010 такая процедура с ключами НЕ РАБОТАЕТ! Ладно, терять нечего, решил я, послал запрос на ключ, ввел код активации. Через секунду на почту кинули ключ. Отключился от инета, касперский предложил указать файл ключа, что я и сделал. Антивирус успешно активировался. Так ведь касперычи утверждают, что это невозможно!!!! Бред какой-то.
Геморрой ужасный.

ЗЫ. И почему вообще такие глюки возникли с пустыми окнами? Справка в Касперском, кстати, тоже не работает. То есть она запускается, оглавление присутствует, но справа в содержимом белый лист. Пусто.

В шоке я, в общем...
19.03.2011, 16:54
Разрушаторов Володя

Ответьте, пожалуйста, на мое последнее сообщение.
Или мне не стоит волноваться?
19.03.2011, 17:18
Bratez

Проблемы с KIS'ом это как бы не наша епархия. У ЛК есть служба поддержки, можно туда подобные вопросы направлять. Ну раз проблему так или иначе решили - я думаю, можно уже не париться :)
20.03.2011, 00:38
Разрушаторов Володя

Ура! Всем спасибо, ребяты! Вы все молодцы!
21.03.2011, 00:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]42[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\windows\\system32\\calc.exe - [B]Trojan-Downloader.Win32.Agent.gchz[/B] ( BitDefender: Backdoor.Generic.640763 )[/LIST][/LIST]