проблемы после удаления вируса

**kanzo** · 27.07.2010, 23:29

Привет всем! после удаления вируса wwwznv32.exe невозможно проверить почту и зарегестрироваться на маил и не переключается раскладка клавиатуры на веб-формах.

Все началось несолько дней назад, когда я случайно обнаружил вышеуказанный файлик в стартапе. После успешного удаления сего зловреда и полной проверки с помощью Др.Веб (который нашел парочку еще) вручную обнаружил некий подозрительный обьект C:\WINDOWS\system32\drivers\ckewur.sys и некий файл название которого невосроизводимо. Естественно их удалил тоже, причем ckewur только в безопасном режиме. Затем я воспользовался рекомендованной вами программой ОСАМ авторан менеджер и отключил еще пару подозрительных экзешников с бесмысленным названием (и без подписи ест-но) и несколько драйверов, из которых наиболее подозрительные \SystemRoot\System32\Drivers\vaxscsi.sys и C:\WINDOWS\System32\Drivers\sptd.sys. (скриншоты ОСАМ и лог сканирования, проведенного на тот день с пом. АВЗ могу показать ).

Все это время временами выскакивала ошибка (что-то связанное с превышениемколичества допустимых подключений по тисипи айпи (комп домашний, инет через ДСЛ, базы НОд32 месячной давности)). До лечения судя по всему вирус не позволял зарегестрироваться на вашем форуме. Временами замечал произвольное идновременное включение индикаторов (к клаве в этовремя я не прикасался) клавиш нам лук, капс лук и, третьего (не помню чему соответсвует).

Заранее благодарю!

Логи сканирования на сегодня:

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**thyrex** · 28.07.2010, 01:14

Сообщение от kanzo

наиболее подозрительные \SystemRoot\System32\Drivers\vaxscsi.sys и C:\WINDOWS\System32\Drivers\sptd.sys

Оба файла от эмуляторов дисков

Пофиксите в HiJack

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe

Проверьте наличие файла ctfmon.exe в папке system32

**kanzo** · 28.07.2010, 12:47

Указанную строку пофиксил. Файл цтфмон.экс присутствует по указанному пути, размер: 15 360 б.
никаких изменений нет. Что дальше?

Добавлено через 1 минуту

могу прислать архивированный rar файл с wwwznv32.exe...

**thyrex** · 28.07.2010, 13:35

Сообщение от kanzo

могу прислать архивированный rar файл с wwwznv32.exe...

Перепакуйте файл в zip-архив с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Скачайте RSIT. Запустите, выберите проверку файлов за последние три месяца и нажмите продолжить. Должны открыться два отчета log.txt и info.txt. Прикрепите их к следующему сообщению. Если вы их закрыли, то логи по умолчанию сохраняются в одноименной папке (RSIT) в корне системного диска.

**kanzo** · 28.07.2010, 14:38

Ukazanuiu vami ssilku ne nashel. Raskladka voobshe perestala rabotat. Vot logi RSIT:

**kanzo** · 28.07.2010, 14:44

теперь ссылка работает...отправил зип -архив

Добавлено через 3 минуты

имя wwwznv32.zip, размер 19 159 Б.

**thyrex** · 28.07.2010, 15:01

Ключ реестра еще удалите вручную

Код:

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Администратор^Главное меню^Программы^Автозагрузка^wwwznv32.exe]

Больше плохого не видно

Сделайте лог http://virusinfo.info/showpost.php?p=457118&postcount=1

**kanzo** · 28.07.2010, 18:55

А что с раскладкой? Мож это быть пследствием вируса? как исправить?

забыл сказать, что автоматическое обновление системы тоже не работает, хотя доложно...

может в ветвях реестра что подправить еще?

прикрепляю требуемый лог:

**thyrex** · 28.07.2010, 23:55

Удалите в МВАМ

Код:

Зараженные параметры в реестре:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_1 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_2 (Rootkit.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\option_3 (Rootkit.Agent) -> No action taken.

Зараженные файлы:
C:\WINDOWS\pss\wwwznv32.exeStartup (Trojan.Dropper) -> No action taken.
C:\Documents and Settings\Администратор\Application Data\avdrn.dat (Malware.Trace) -> No action taken.
C:\Program Files\Common Files\keylog.txt (Malware.Trace) -> No action taken.

**kanzo** · 29.07.2010, 13:29

Указанные вами клкючи реестра и файлы удалил вручную в безопасном режиме. После просканировал МВАМ (так уж получилось). лог сохранен. Может ли это сказаться на качество выполненных операций?

Еще одна просьба - подскажите (надежная ссылка от специалиста), как правильно настроить комодо(файерволл+про_акт защита) ?
Процесс System (порт 445) пытается принять входящее соединение(инет подключен) с хоста 85.173.97.103 - TCP - что с этим делать? Уже надоело...

переключение раскладки клавы все еще не работает. Вчера зарегистрировался на рамблере, все прошло удачно. Однако, к вечеру доступ был запрещен (так же, как и в дургих случаях выкидывает на страничку авторизации). На маил все еще не имею доступа. Попробую завести почту еще где -нибудь. Отпишусь.

Добавлено через 21 минуту

Проблему с ограничением доступа к почте решил. Все дело было в уровне безопасности в настройках браузера.
Я так думаю, что проблема исчерпана, если только неполадки с раскладкой не следствие вируса.

Спасибо огромное! с уважением...

**CyberHelper** · 30.07.2010, 13:29

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 1
В ходе лечения обнаружены вредоносные программы:
1. \wwwznv32\wwwznv32.rexet - Packed.Win32.Krap.ao ( AVAST4: Win32:Crypt-GYS [Drp] )