Не могу удалить Win32.HLLP.Rox.19

Printable View

26.03.2011, 23:01
Mustang

Вложений: 1

Не могу удалить Win32.HLLP.Rox.19

Похожый случай уже описан на
[URL="http://virusinfo.info/showthread.php?t=24494"][FONT=Times New Roman][SIZE=3]http://virusinfo.info/showthread.php?t=24494[/SIZE][/FONT][/URL]. Из антивирусов я смог запустить только CureIt. Он находит Win32.HLLP.Rox.19 в корневых катологах (pagefile.pif, 037589.LOG, AUTORUN.INF), в каталоге D:\WINDOWS\system32\Com\ (netcfg.000, netcfg.dll, lsass.exe, smss.exe) и D:\WINDOWS\system32\ (dnsq.dll и некоторых *.log файлах). После удаления dnsq.dll комп перегружается, и все удаленные файлы появляются снова.

AVZ не запускается. Переименовывание не помогает.

HijackThis сооьщает об ошибке после вывода строки F3 - REG:win.ini: run=, и зависает после закрытия окна ошибки. Если запустить "Do a system scan only", то ошибка та же, сканирование завершается успешно, но после нажимания "Save log" HijackThis зависает. Поэтому прикрепляю скриншоты вместо лог-файлов.

Помогите пожалуйста. Вся надежда на вас.
26.03.2011, 23:15
Acidorum

Здравствуйте!
Не, так дело не пойдет. Давайте попробуем запустить AVZ.
1. Скачайте полиморфный AVZ [URL="http://z-oleg.com/avz.exe"]отсюда[/URL], попробуйте его переименовать и запустить.
2. Если не выйдет, переименуйте исполняемый файл AVZ обратно в avz.exe, откройте блокнот и вставьте туда следующий текст:
[CODE]avz.exe am=y ag=y[/CODE]
Сохраните этот файл как 123.bat в папке с AVZ и запустите его.
26.03.2011, 23:51
Mustang

Спасибо. AVZ запустился вторым способом. Но там нет скрипта "..для сбора информации для раздела "Помогите!" virusinfo.info".
Какой скрипт запускать?
27.03.2011, 00:45
Acidorum

Отключите:
-ПК от интернета
-Все защитные приложения
Выполните скрипт в AVZ:
[CODE]begin
ExecuteStdScr(2);
ExecuteStdScr(3);
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
После выполнения этого скрипта в папке LOG образуются файлы virusinfo_syscheck.zip и virusinfo_syscure.zip. Прикрепите их к следующему сообщению.
27.03.2011, 01:25
Mustang

Прикрепляю лог-файлы.
27.03.2011, 01:44
Acidorum

Отключите:
-ПК от интернета
-Все защитные приложения
Подключите:
-Диск E:\
-Диск D:\
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
QuarantineFile('D:\WINDOWS\system32\drivers\RKHit.sys','');
QuarantineFile('D:\WINDOWS\System32\poof','');
QuarantineFile('D:\WINDOWS\System32\kprof','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.48579.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.46506.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44674.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44253.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43923.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43392.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41629.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41379.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40868.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40618.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39867.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39647.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33548.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33488.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.32306.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31164.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31124.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31044.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31034.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30553.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30313.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30243.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30103.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29662.exe','');
QuarantineFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29151.exe','');
QuarantineFile('D:\WINDOWS\System32\pdmd53hdf.dll','');
QuarantineFile('D:\pagefile.pif','');
QuarantineFile('C:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\WINDOWS\system32\dnsq.dll','');
DeleteFile('D:\WINDOWS\System32\kprof');
DeleteFile('D:\WINDOWS\System32\poof');
DeleteFile('D:\WINDOWS\system32\drivers\RKHit.sys');
DeleteFile('D:\WINDOWS\system32\dnsq.dll');
DeleteFile('E:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\pagefile.pif');
DeleteFile('D:\WINDOWS\System32\pdmd53hdf.dll');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29151.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.29662.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30103.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30243.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30313.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.30553.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31034.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31044.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31124.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.31164.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.32306.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33488.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.33548.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39647.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.39867.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40618.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.40868.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41379.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.41629.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43392.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.43923.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44253.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.44674.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.46506.exe');
DeleteFile('D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.48579.exe');
DelBHO('8D5849A2-93F3-429D-FF34-260A2068897C');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('kprof');
BC_DeleteSvc('poof');
BC_DeleteSvc('RkHit');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Обновите базы AVZ (Файл->Обновление баз).
Сделайте повторные логи.
27.03.2011, 19:29
Mustang

Относительно посланного карантина: перед получением вашего собщения я удалил файлы "D:\WINDOWS\system32\config\systemprofile\Start Menu\Programs\Startup\~.exe.", поскольку часто исчезал рабочий стол. Наверно не надо было это делать. Извините пожалуйста. Дальше буду выполнять только ваши указания.

Пункт меню "File->Update Database" в AVZ неактивный. Но 7-й стандартный скрипт (для лаборатории Касперского) также обновляет базы. Можно воспользоваться этим скриптом?
27.03.2011, 19:41
Acidorum

[QUOTE='Mustang;778291']Можно воспользоваться этим скриптом[/QUOTE]
Нет, не стоит.
Попробуйте запустить нормальную версию AVZ и обновить базы. Если не выйдет, то сделайте повторные логи полиморфным AVZ.
27.03.2011, 20:40
Mustang

Логи прикреплены. Запустить нормальную версию AVZ не получилось.
27.03.2011, 20:46
Acidorum

Да, враги ещё остались.
Отключите:
-ПК от интернета
-Все защитные приложения
Подключите:
-Диск E:\
-Диск С:\
Выполните скрипт в AVZ:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
BC_DeleteFile('D:\WINDOWS\system32\dnsq.dll');
DeleteFile('E:\autorun.inf');
DeleteFile('C:\autorun.inf');
BC_DeleteFile('E:\autorun.inf');
BC_DeleteFile('D:\autorun.inf');
BC_DeleteFile('C:\autorun.inf');
BC_DeleteFile('D:\pagefile.pif');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Сделайте повторные логи.
27.03.2011, 21:24
Mustang

Карантин пустой. Логи прикреплены.
27.03.2011, 22:07
Acidorum

Появились ещё и новые действующие лица.
Кстати, Вы диски C:\ и E:\ подключали?
Отключите:
-Все защитные приложения
Подключите:
-Диск C:\
-Диск E:\
Выполните скрипт в AVZ:
[CODE]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 90000, false);
SearchRootkit(true, true);
SetAVZGuardStatus(true);
TerminateProcessByName('d:\windows\system32\com\smss.exe');
QuarantineFile('D:\Documents and Settings\All Users\Start Menu\Programs\Startup\~.exe ','');
QuarantineFile('E:\autorun.inf','');
QuarantineFile('D:\autorun.inf','');
QuarantineFile('d:\windows\system32\com\smss.exe','');
DeleteFile('D:\Documents and Settings\All Users\Start Menu\Programs\Startup\~.exe ');
DeleteFile('d:\windows\system32\com\smss.exe');
BC_DeleteFile('D:\WINDOWS\system32\dnsq.dll');
BC_DeleteFile('D:\pagefile.pif');
BC_DeleteFile('D:\autorun.inf');
BC_DeleteFile('E:\autorun.inf');
RegKeyStrParamWrite('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs', '');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.
Затем выполните ещё один скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
И пришлите quarantine.zip из папки AVZ согласно правилам (через красную ссылку "[B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B]" наверху темы).
Сделайте повторные логи.
Попробуйте сделать [URL="http://virusinfo.info/showthread.php?t=53070"]лог MBAM[/URL].
28.03.2011, 01:12
Mustang

[QUOTE=hedgars;778356]Кстати, Вы диски C:\ и E:\ подключали?
[/QUOTE]
Я отмечал их в списке дисков окна AVZ. Или надо для этого еше что-нибудь делать?
А диск D:\ (системный) не надо подключать?
28.03.2011, 02:11
thyrex

[QUOTE='Mustang;778396']А диск D:\ (системный) не надо подключать?[/QUOTE]Программа сама разберется

Выполняйте написанное
29.03.2011, 00:48
Mustang

Логи прикреплены.
29.03.2011, 03:05
thyrex

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все найденное
30.03.2011, 00:44
Mustang

Вложений: 1

Лог прикреплен.
30.03.2011, 02:06
thyrex

Теперь сделайте новые логи AVZ
31.03.2011, 00:03
Mustang

Логи:
31.03.2011, 02:43
thyrex

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\dnsq.dll');
DeleteFile('D:\pagefile.pif');
DeleteFile('C:\autorun.inf');
DeleteFile('D:\autorun.inf');
DeleteFile('E:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Сделайте новые логи
31.03.2011, 23:52
Mustang

Логи:
01.04.2011, 01:57
thyrex

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
03.04.2011, 22:50
Mustang

Ура!

ComboFix рулит. Вирус уничтожен. Большое спасибо :clapping:
Сделать еще логи AVZ?
04.04.2011, 01:32
thyrex

Не нужно

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]
05.04.2011, 01:32
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\\pagefile.pif - [B]Virus.Win32.Xorer.et[/B] ( DrWEB: Win32.HLLP.Rox.19, BitDefender: Win32.Xorer.EI, AVAST4: Win32:AutoRun-AMJ [Wrm] )[*] d:\\windows\\system32\\com\\smss.exe - [B]Virus.Win32.Xorer.dt[/B] ( DrWEB: Win32.HLLP.Rox, BitDefender: Trojan.Generic.7465850, NOD32: Win32/Xorer.DR virus, AVAST4: Win32:Xorer-I )[*] d:\\windows\\system32\\dnsq.dll - [B]Virus.Win32.Xorer.ee[/B] ( DrWEB: Win32.HLLP.Rox, BitDefender: Win32.Xorer.ED, NOD32: Win32/Xorer.NAD virus, AVAST4: Win32:Agent-ABCY [Trj] )[/LIST][/LIST]