вирусы

**basketcase** · 16.11.2010, 17:44

др.веб нашел на компьютере вирусы sysrc.exe,itzqua.exe,msmiode.exe и много(около 100 штук) вирусов типа ***.exe *-любое число.Все заражены троянами trojan.inject,win32.autoruner т.д.После удалениявсех вирусов они появляются вновь.После перезагрузки компьютера через некоторое время тема меняется на классическую и откл.интернет ,хотя значек подключение есть в трее

(при нажатии на него появляется табличка с трафиком на доли секунды и закрывается),так же при нажатии значка громкости пишит что "Даное приложение заканчивает роботу".помогите убрать заразу!!

Добавлено через 58 секунд

сейчас уже заражены win32.polipos
при вкл. компьютера открывается папка мои документы

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Nikkollo** · 16.11.2010, 18:36

http://virusinfo.info/showthread.php?t=1235

**basketcase** · 16.11.2010, 21:14

что не так?

**Nikkollo** · 16.11.2010, 21:18

Нужно выполнить правила и приложить сюда получившиеся логи.

**basketcase** · 16.11.2010, 21:50

вот все логи

**polword** · 17.11.2010, 06:04

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 RegKeyStrParamWrite('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon','UserInit', GetEnvironmentVariable ('WinDir')+'\System32\userinit.exe,'); 
 QuarantineFile('C:\WINDOWS\system32\msvmiode.exe','');
 QuarantineFile('C:\WINDOWS\system32\86.exe','');
 QuarantineFile('C:\WINDOWS\system32\84.exe','');
 QuarantineFile('C:\WINDOWS\system32\50.exe','');
 QuarantineFile('C:\WINDOWS\system32\45.exe','');
 QuarantineFile('C:\WINDOWS\system32\42.exe','');
 QuarantineFile('C:\WINDOWS\system32\36.exe','');
 QuarantineFile('C:\WINDOWS\system32\35.exe','');
 QuarantineFile('C:\WINDOWS\system32\28.exe','');
 QuarantineFile('C:\WINDOWS\system32\25.exe','');
 QuarantineFile('C:\WINDOWS\system32\16.exe','');
 QuarantineFile('C:\WINDOWS\system32\15.exe','');
 QuarantineFile('C:\WINDOWS\system32\04.exe','');
 QuarantineFile('C:\WINDOWS\system32\01.exe','');
 QuarantineFile('C:\Documents and Settings\Ultra\Local Settings\Temp\~DF4732.tmp','');
 QuarantineFile('c:\docume~1\ultra\locals~1\temp\kui2898.tmp','');
 QuarantineFile('\\?\globalroot\systemroot\system32\0jngnx1.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-8264818471-7184596402-475602160-6684\winmap.exe','');
 QuarantineFile('C:\DOCUME~1\Ultra\LOCALS~1\Temp\w_wEC0.tmp','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ati8dmxx.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ati7tsxx.sys','');
 QuarantineFile('C:\WINDOWS\System32\drivers\ati5lkxx.sys','');
 DeleteService('ati5lkxx');
 DeleteService('ati7tsxx');
 DeleteService('ati8dmxx');
 QuarantineFile('C:\DOCUME~1\Ultra\LOCALS~1\Temp\2rq7kn6B.sys','');
 TerminateProcessByName('c:\windows\system32\xvze18.exe@');
 QuarantineFile('c:\windows\system32\xvze18.exe@','');
 DeleteFile('c:\windows\system32\xvze18.exe@');
 DeleteFile('C:\DOCUME~1\Ultra\LOCALS~1\Temp\2rq7kn6B.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\ati5lkxx.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\ati7tsxx.sys');
 DeleteFile('C:\WINDOWS\System32\drivers\ati8dmxx.sys');
 DeleteFile('C:\DOCUME~1\Ultra\LOCALS~1\Temp\w_wEC0.tmp');
 DeleteFile('C:\RECYCLER\S-1-5-21-8264818471-7184596402-475602160-6684\winmap.exe');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('\\?\globalroot\systemroot\system32\0jngnx1.exe');
 DeleteFile('c:\docume~1\ultra\locals~1\temp\kui2898.tmp');
 DeleteFile('C:\Documents and Settings\Ultra\Local Settings\Temp\~DF4732.tmp');
 DeleteFile('C:\WINDOWS\system32\01.exe');
 DeleteFile('C:\WINDOWS\system32\04.exe');
 DeleteFile('C:\WINDOWS\system32\15.exe');
 DeleteFile('C:\WINDOWS\system32\16.exe');
 DeleteFile('C:\WINDOWS\system32\25.exe');
 DeleteFile('C:\WINDOWS\system32\28.exe');
 DeleteFile('C:\WINDOWS\system32\35.exe');
 DeleteFile('C:\WINDOWS\system32\36.exe');
 DeleteFile('C:\WINDOWS\system32\42.exe');
 DeleteFile('C:\WINDOWS\system32\45.exe');
 DeleteFile('C:\WINDOWS\system32\50.exe');
 DeleteFile('C:\WINDOWS\system32\84.exe');
 DeleteFile('C:\WINDOWS\system32\86.exe');
 DeleteFile('C:\WINDOWS\system32\msvmiode.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 RegKeyIntParamWrite('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer','NoDriveTypeAutoRun',221);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

**basketcase** · 17.11.2010, 12:22

вот

**polword** · 17.11.2010, 12:29

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\WINDOWS\system32\75.exe','');
 QuarantineFile('C:\WINDOWS\system32\23.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','psysnew');
 DeleteFile('C:\WINDOWS\system32\23.exe');
 DeleteFile('C:\WINDOWS\system32\75.exe');
 QuarantineFile('D:\Counter-StrikeSource\Bhop\Public (1c).exe','');
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

- удалите в MBAM оставшееся из этого

Код:

Зараженные ключи в реестре:
HKEY_CURRENT_USER\SOFTWARE\Vkontakte (Trojan.Fkantakte) -> No action taken.

Зараженные параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\psysnew (Worm.AutoRun) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные папки:
C:\Program Files\Microsoft Common (Trojan.Agent) -> No action taken.

Зараженные файлы:
C:\RECYCLER\S-1-5-21-8264818471-7184596402-475602160-6684\winmap.exe (Worm.Autorun.B) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.

- Сделайте повторный лог virusinfo_syscheck.zip;
- Сделайте лог MBAM

**basketcase** · 17.11.2010, 17:13

вот

**thyrex** · 18.11.2010, 02:07

Плохого не видно. Что с проблемой?

**basketcase** · 18.11.2010, 08:35

Вроде нормально.Спасибо за помощь

**polword** · 18.11.2010, 08:42

Профиксите в HijackThis

Код:

R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (file missing)
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (file missing)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

Обновите систему
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут
- Обновите Java .

**basketcase** · 20.11.2010, 15:01

Блин,сегодня опять антивирус удалил файл 20.exe с папки windows/system32 и поместил на карантин файл hyuu.exe в той же папке.В папке виндовс я такой папки систем32 не обнаружил.Опять откл. интернет как выше сказано.

вот логи

**polword** · 20.11.2010, 19:58

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\54.exe','');
 QuarantineFile('C:\WINDOWS\system32\11.exe','');
 QuarantineFile('C:\WINDOWS\system32\conime.exe','');
 QuarantineFile('C:\WINDOWS\cfdrive32.exe','');
 QuarantineFile('C:\Documents and Settings\Ultra\Application Data\oekx.exe','');
 DeleteFile('C:\Documents and Settings\Ultra\Application Data\oekx.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-9886910214-5702722607-743827429-0173\winmap.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\psysnew.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9886910214-5702722607-743827429-0173\winmap.exe');
 DeleteFile('C:\WINDOWS\cfdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\system32\11.exe');
 DeleteFile('C:\WINDOWS\system32\54.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

**thyrex** · 20.11.2010, 22:37

А также

Установите все новые обновления для Windows

**basketcase** · 20.11.2010, 23:24

вот

**Bratez** · 21.11.2010, 03:05

Удалите в MBAM:

Зараженные файлы:
C:\WINDOWS\system32\41.exe (Trojan.FakeAlert) -> No action taken.

Ждём

Сообщение от polword

повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

**basketcase** · 21.11.2010, 13:41

вот

**Bratez** · 21.11.2010, 13:51

Пофиксите в HijackThis:

Код:

R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (file missing)
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (file missing)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\RECYCLER\S-1-5-21-9869447806-6041759879-856594022-0390\syscr.exe','');
 DeleteFile('C:\RECYCLER\S-1-5-21-9869447806-6041759879-856594022-0390\syscr.exe');
 DeleteFile('C:\WINDOWS\system32\07.exe');
 DeleteFile('C:\WINDOWS\system32\16.exe');
 DeleteFile('C:\WINDOWS\system32\17.exe');
 DeleteFile('C:\WINDOWS\system32\20.exe');
 DeleteFile('C:\WINDOWS\system32\28.exe');
 DeleteFile('C:\WINDOWS\system32\32.exe');
 DeleteFile('C:\WINDOWS\system32\41.exe');
 DeleteFile('C:\WINDOWS\system32\50.exe');
 DeleteFile('C:\WINDOWS\system32\56.exe');
 DeleteFile('C:\WINDOWS\system32\57.exe');
 DeleteFile('C:\WINDOWS\system32\67.scr');
 DeleteFile('C:\WINDOWS\system32\74.scr');
 DeleteFile('C:\WINDOWS\system32\78.exe');
BC_ImportAll;
ExecuteSysClean;
RegKeyParamDel('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Winlogon', 'Taskman');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Сделайте новые логи.