ccdrive32, jjdrive32, ещё что-то

[Efryk]

Добрый день,
Проблема - файлы с именами XXX.exe в папке C:\Documents and Settings\Admin\Local Settings\Temp и XX.exe в C:\WINDOWS\system32, X в названии файла - любое число. Раньше висели в процессах диспетчера задач приложения ccdrive32.exe и jjdrive32.exe. Сейчас CureIt! удалил ccdrive32.exe. jjdrive32.exe тоже в списке нет, хотя я не видел, чтобы его хоть один антивирус заметил. И ещё, антивирусы периодически опознают как вирус то, что находится в папке temp, однако проблемных файлов в system32 не замечают.
Трудности от этого всего - кошмарно медленно работает комп, и когда в прошлый раз такое было, провайдер отключил мне доступ в интернет (в прошлый раз помог Нод, сейчас не помогает).
Также Comodo firewall периодически ругался, что svchost.exe попыталось выполнить shellcode посредством атаки на переполнение буфера обмена.
В приложениях диспетчера задач периодически появлялось по несколько файлов с названием BrowseIt.
Не помогает полное уничтожение данных на жестком диске. Как только подключаюсь к сети, чтобы антивирус обновить, он пишет, что заблокирована атака c http://что-то там/88 и все проблемы опять появляются. Сейчас, после проверки системы и отключения антивируса, в процессах диспетчера задач появилось много процессов с именем ntvdm.exe, штук 10-15. Они хавают весь ресурс процессора, комп тормозит.
Заранее спасибо за помощь.

[Шапельский Александр]

Закройте/выгрузите все программы кроме AVZ .
Отключите:
- ПК от интернета/локалки;
- антивирус и файрвол.;
- восстановление системы;
- выполните скрипт

begin
SetAVZPMStatus(True);
DeleteFileMask(GetAVZDirectory+'Quarantine','*.*',true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-2942491745-0699282870-770012224-2075\wnzip32.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-2942491745-0699282870-770012224-2075\wnzip32.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(11);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится
После выполнить:
- включите антивирус и файрволл
- подключите ПК к интернету/локалке
- закачайте карантин по ссылке Прислать запрошенный карантин в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению

[Efryk]

Карантин пустой, в окошке справа в AVZ ничего нет, посмотрел в папке Quarantine программы содержимое папки, поименованной сегодняшним числом - пусто, посмотрел архив virusinfo_cure - пусто.
По прежнему появляется ntvdm.exe и съедает весь ресурс процессора.
Когда включил файрволл, опять пишет, что svchost пыталось выполнить spellcode.
Когда включил файрволл и антивирус, не смог выйти в интернет, комп наглухо завис. минут сорок я ждал - безрезультатно. Попробовать выполнить предложенный Вами скрипт и всё-таки подключиться с включённым антивирусом и файрволлом?

[Шапельский Александр]

По прежнему появляется ntvdm.exe и съедает весь ресурс процессора.

Почитайте здесь http://forum.ru-board.com/topic.cgi?forum=62&topic=4596
В логах зловредов не увидел

[Efryk]

shapel, спасибо ограмное за помощь, комп, в принципе, тормозить перестал. Один только вопрос. В папке C:\Documents and Settings\Admin\Local Settings\Temp содержится совершенно левый файл с названием 956.exe. В папке C:\WINDOWS\system32 42 файла с названиями от 00.exe до 84.exe. Не обращать на это внимания? Что это могут быть за файлы?
З.Ы. Собственно, я не запускал никаких вообще процессов под DOS.

[pig]

Проверьтесь CureIt или AVPTool, они эту заразу должны зачистить, по идее.

[Efryk]

Удалил все эти сомнительные файлы, проверился CureIt в безопасном режиме. Вирусов не найдено. Загрузился в обычном режиме, заглянул в папку system32 - появился файл 33.exe Я же правильно понимаю, не должно в нормальных обстоятельствах появляться таких файлов?

Добавлено через 21 минуту

Сейчас опять Comodo firewall выдал сообщение, что приложение svchost.exe попыталось выполнить spellcode посредством атаки на переполнение буфера. Комп повис. Пришлось перезагрузиться.

[snifer67]

Сделайте еще такой лог:
http://virusinfo.info/showthread.php?t=58309

[Efryk]

Выкладываю лог

[thyrex]

ComboFix удалил файл. Что с проблемой?

[Efryk]

Вместо одного удалённого появилось семь новых. И периодически так и появляется оповещение, что svchost.exe хотел выполнить spellcode. Когда отключал антивирус и файерволл для проверок, при отключённом уже файерволле, но работающем антивирусе антивирус говорит про атаку с адреса zonetech.info/61.exe, бывает другое число перед exe.

[snifer67]

Сделайте новые логи.

[thyrex]

+ к snifer67

Обновления после SP3 все установлены?

[Efryk]

Да вроде все дополнения есть. Вы уж простите дятла за некомпетентность, сейчас поставил IE8, на download.microsoft.com фигурирующий пакет дополнений скачал - пишет, что устанавливать не нужно, мои дополнения новее. Nod что-то писал про то, что система может быть под угрозой из-за того, что систему надо обновить. Перешёл по предлагаемой антивирусом ссылке, появился список дополнений, которые можно установить, согласился установить - инсталлер написал в конце процедуры, что обновления установить не удалось.

[thyrex]

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\RECYCLER\S-1-5-21-6393981961-3903601941-371439387-4665\wmfcgr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-6393981961-3903601941-371439387-4665\wmfcgr.exe');
QuarantineFile('C:\RECYCLER\S-1-5-21-1777378517-1741885493-076008706-4295\wmfcgr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-1777378517-1741885493-076008706-4295\wmfcgr.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-9241072575-5746819024-729342268-5977\wnzip32.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-3711494840-6974358540-739901469-1654\wmfcgr.exe','');
DeleteFile('C:\RECYCLER\S-1-5-21-3711494840-6974358540-739901469-1654\wmfcgr.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-3233550750-1997847869-025497692-7076\wnzip32.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-3233550750-1997847869-025497692-7076\wnzip32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9241072575-5746819024-729342268-5977\wnzip32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(16);
RebootWindows(true);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 3 правил по красной ссылке Прислать запрошенный карантин вверху темы

Поищите exe- и scr-файлы с цифровым началом и убивайте при обнаружении

Сделайте новые логи

[Efryk]

Логи. Карантин получили?

[snifer67]

Восстановление системы отключить.

Выполните скрипт в avz

begin
DeleteFileMask('C:\RECYCLER\S-1-5-21-7501934900-1085153293-986579234-1097', '*.*', true);
DeleteFileMask('C:\RECYCLER\S-1-5-21-8698707755-7336898108-459258911-6997', '*.*', true);
RegKeyParamDel('HKEY_LOCAL_MACHINE',' Software\Microsoft\Windows NT\CurrentVersion\Winlogon',' Taskman');
ExecuteRepair(6);
RebootWindows(true);
end.

ПК перезагрузится.

Сделайте новый лог из пункта 2 Диагностики (virusinfo_syscheck.zip) и приложите к этой теме.

[Efryk]

Вот

[Шапельский Александр]

Отключите восстановление системы!!!
Выполните скрипт

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  DeleteFile('C:\RECYCLER\S-1-5-21-3124645943-7510888671-618199464-9075\wmfcgr.exe');
BC_ImportAll;
ExecuteSysClean;
Executerepair(11);
Executerepair(16);
BC_Activate;
RebootWindows(true);
end.

Повторите действия, описанные в п. 2 Диагностики и новый лог прикрепите к новому сообщению

[Efryk]

Прошу прощения, отключил восстановление системы.
Подскажите пожалуйста, Ваши старания не пропадут зря? После излечения будет достаточно придерживаться советов темы "Рекомендации после лечения или 10 заповедей для здоровья компьютера", чтобы снова не заразиться?
Перед тем, как к Вам обратиться, я снимал второй хард, затирал информацию на первом, ставил свежую винду, антивирус, файерволл. Диск с виндой до определённого момента был абсолютно беспроблемный, как-то не похоже, что на нём мог быть вирус. Антивирус на прошлой неделе купил в красивой коробочке, файерволл был скачан с сайта Comodo. Как только подключился к интернету, чтобы обновить антивирус - сразу заражение. И эта ситуация уже была раньше. У меня были абсолютно такие же проблемы пару месяцев назад. Тогда помог Нод. С тех пор в первый раз переустанавливаю систему - и вот опять, пожалуйста, только теперь Нод не помогает. На компе работать просто нереально, сильно тормозит. Может какие-то кардинальные действия помогут? Поменять жесткий диск, или диск винды, или провайдера?