Что-то не так с доступом в интернет

**BuTcHeR** · 12.04.2011, 11:07

Добрый день.
Возникла проблема. Вирус частично блокирует доступ в интернет. Курейт вирус не видит. NOD32 тоже. Проблема в том, что в браузере при октрытии страницы выскакивает ошибка, например внутренняя ошибка связи или доступ заблокирован удаленным сервером. После нескольких (от 1 и до...) количества обновлений страница открывается. Если поставить файл на закачку, качается все стабильно. Те же самые онлайн игры идут без лагов.
Переустанавливал браузер-не помогло. Появилось после того как NOD32 заблокировал пару раз выход на некий cooleasy.com и , как я понял, убив данный вирус. В чем может быть дело и как лечиться. Помогите.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**BuTcHeR** · 12.04.2011, 15:29

Ап. Кстати стало вылазить окно, нод блокирует доступ. Сайт вроде two.natnatraoi.com

**миднайт** · 12.04.2011, 15:56

Отключитесь от сети!
Отключите антивирус.
В AVZ выполните скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
 TerminateProcessByName('c:\windows\ghdrive32.exe');
 QuarantineFile('C:\xdx.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\serv8.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\serv.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\ms.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\hddd.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\hdcd.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\bn.exe','');
 QuarantineFile('C:\WINDOWS\system32\87.exe','');
 QuarantineFile('C:\WINDOWS\system32\33.exe','');
 QuarantineFile('C:\WINDOWS\system32\32.exe','');
 QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe','');
 QuarantineFile('C:\WINDOWS\ghdrive32.exe','');
 QuarantineFile('C:\WINDOWS\Sound1.bat','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-9717981554-1261436368-815172098-7563\csisf.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1404\winitm.exe','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\Application Data\bowcav.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1404\winitm.exe,C:\Documents and Settings\BuTcHeR\Application Data\ltzqai.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('C:\Temp\B3Okf6oD.sys','');
 QuarantineFile('c:\windows\ghdrive32.exe','');
 DeleteFile('c:\windows\ghdrive32.exe');
 DeleteFile('C:\Temp\B3Okf6oD.sys');
 DeleteFile('C:\Documents and Settings\BuTcHeR\Application Data\bowcav.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1404\winitm.exe,C:\Documents and Settings\BuTcHeR\Application Data\ltzqai.exe,explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1404\winitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9717981554-1261436368-815172098-7563\csisf.exe');
 DeleteFile('C:\WINDOWS\ghdrive32.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tmbny');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Taskman');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe');
 DeleteFile('C:\WINDOWS\system32\32.exe');
 DeleteFile('C:\WINDOWS\system32\33.exe');
 DeleteFile('C:\WINDOWS\system32\87.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\bn.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\hdcd.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\hddd.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\ms.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\serv.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\serv8.exe');
 DeleteFile('C:\xdx.exe');
DeleteFile('C:\Documents and Settings\BuTcHeR\Application Data\bowcav.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1404\winitm.exe');
DeleteFile('C:\Documents and Settings\BuTcHeR\Application Data\ltzqai.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFileMask('C:\RECYCLER', '*.*', true);
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
Логи повторите.

**BuTcHeR** · 12.04.2011, 16:53

Спасибо. Вроде бы помогло. Логи ниже.

**миднайт** · 12.04.2011, 18:04

Снова отключаемся от сети.
В HiJackThis пофиксите:

Код:

O4 - HKCU\..\Run: [Shell] explorer.exe,C:\RECYCLER\S-1-5-21-9717981554-1261436368-815172098-7563\csisf.exe

В AVZ выполните скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\documents and settings\butcher\bnet.exe');
 QuarantineFile('C:\RECYCLER\S-1-5-21-9717981554-1261436368-815172098-7563\csisf.exe','');
 QuarantineFile('C:\WINDOWS\Sound1.bat','');
 QuarantineFile('C:\Documents and Settings\BuTcHeR\bnet.exe','');
 DeleteFile('C:\Documents and Settings\BuTcHeR\bnet.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-9717981554-1261436368-815172098-7563\csisf.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Advanced HTTPL Enable');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
Логи повторите.
Файл C:\WINDOWS\Sound1.bat не попадает в карантин. Вам он известен? Проверьте есть ли он на диске?

**BuTcHeR** · 12.04.2011, 20:47

Файл Sound1.bat на диске не виден. Насколько я помню это был баннер из серии: "Ваша система заблокирована, отправьте СМС...", который после многократного мною нажатия на Alt+Tab показал название Sound1 и был жестоко потерт ручками.

**миднайт** · 12.04.2011, 21:38

Победа за нами

В HiJackThis пофиксите:

Код:

O4 - HKCU\..\Run: [Sound1] C:\WINDOWS\Sound1.bat

Больше ничего плохого.

**BuTcHeR** · 13.04.2011, 08:47

Похоже он восстановился. Не знаю уж каким образом. Снова не могу с 1го раза открыть интернет страницу в браузере, и снова НОД блокирут Cooleasy.com и two.natnatraoi.com
Логи ниже

**BuTcHeR** · 13.04.2011, 09:02

Еще стало вылазить черное окно, как DOSовское типа. но без всяких надписей и прочего.

**polword** · 13.04.2011, 09:06

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
 QuarantineFile('C:\xdx.exe','');
 TerminateProcessByName('c:\documents and settings\butcher\new1.exe');
 TerminateProcessByName('c:\documents and settings\butcher\hdcd.exe');
 TerminateProcessByName('c:\windows\ghdrive32.exe');
 DeleteFile('c:\windows\ghdrive32.exe');
 DeleteFile('c:\documents and settings\butcher\hdcd.exe');
 DeleteFile('c:\documents and settings\butcher\new1.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 DeleteFile('C:\WINDOWS\ghdrive32.exe');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe');
 DeleteFile('C:\WINDOWS\system32\57.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\hdcd.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\hddd.exe');
 DeleteFile('C:\xdx.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 BC_ImportAll;
 ExecuteSysClean;
 ExecuteRepair(11);
 ExecuteWizard('TSW', 2, 2, true);
 ExecuteWizard('SCU', 2, 2, true);
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

Обновите систему
- Установите Internet-Explorer 8.(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - тут

После обновления:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

**BuTcHeR** · 13.04.2011, 17:39

Логи.

**polword** · 14.04.2011, 07:20

- удалите в MBAM

Код:

Заражённые параметры в реестре:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Worm.AutoRun) -> Value: Shell -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Tnaww (Worm.AutoRun.Gen) -> Value: Tnaww -> No action taken.

Объекты реестра заражены:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,Explorer.exe) Good: (Explorer.exe) -> No action taken.

Заражённые папки:
c:\RECYCLER\r-1-5-21-1482476501-1644491937-682003330-1013 (Worm.AutoRun.Gen) -> No action taken.

Заражённые файлы:
c:\documents and settings\BuTcHeR\рабочий стол\plants vs. zombies\uninstall.exe (Malware.Packer.Krunchy) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\CD2JIOP4\m[1].exe (Worm.PalDot.Gen) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\CD2JIOP4\m[2].exe (Trojan.Palza) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\L5B6UYEK\new1[1].exe (Trojan.Downloader) -> No action taken.
c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5\L5B6UYEK\new1[2].exe (Trojan.Palza) -> No action taken.

- перезагрузитесь
- Сделайте повторный лог MBAM

**BuTcHeR** · 20.04.2011, 16:36

Проблема не решена. Логи вот. МБАМ позавчерашний правда.

**миднайт** · 20.04.2011, 21:48

virusinfo_syscure.zip - сделайте еще.

**BuTcHeR** · 22.04.2011, 08:21

Вот он.

**polword** · 22.04.2011, 08:36

- Выполните скрипт в AVZ

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
QuarantineFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
 QuarantineFile('c:\windows\ghdrive32.exe','');
 TerminateProcessByName('c:\windows\ghdrive32.exe');
 DeleteFile('c:\windows\ghdrive32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
 DeleteFile('c:\RECYCLER\R-1-5-21-1482476501-1644491937-682003330-1013\vcleaner.exe');
 DeleteFile('C:\WINDOWS\system32\05.exe');
 DeleteFile('C:\WINDOWS\system32\07.exe');
 DeleteFile('C:\WINDOWS\system32\10.exe');
 DeleteFile('C:\WINDOWS\system32\28.exe');
 DeleteFile('C:\WINDOWS\system32\37.exe');
 DeleteFile('C:\WINDOWS\system32\43.exe');
 DeleteFile('C:\WINDOWS\system32\46.exe');
 DeleteFile('C:\WINDOWS\system32\72.exe');
 DeleteFile('C:\WINDOWS\system32\77.exe');
 DeleteFile('C:\WINDOWS\system32\81.exe');
 DeleteFile('C:\WINDOWS\system32\87.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\hdcd.exe');
 DeleteFile('C:\Documents and Settings\BuTcHeR\hddd.exe');
 DeleteFile('C:\xdx.exe');
 DeleteFile('C:\WINDOWS\ghdrive32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman ');
 DeleteFileMask('c:\documents and settings\BuTcHeR\local settings\temporary internet files\Content.IE5', '*.*', true);
 BC_ImportAll;
 ExecuteSysClean;
 BC_Activate;
 RebootWindows(true);
end.

После перезагрузки:
- выполните такой скрипт

Код:

begin
  CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
 end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы

Обновите систему
- Поставте все последние обновления системы Windows - тут

После обновления:
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)
- Сделайте лог MBAM

**BuTcHeR** · 23.04.2011, 15:05

Логи. ЗЫ: Скрипт убил его, но эта ерунда возродилась...
Кстати при выходе в интернет вот эти exeшник с названиями типа hdcd итп открываются как черные окна без надписей.

**миднайт** · 23.04.2011, 23:40

Базы avz обновите лог переделайте. Что-то не так. При выполнении скриптов сеть отключали?

**BuTcHeR** · 24.04.2011, 07:24

Сеть отключал, все окна кроме браузера закрывал. Базыт АВЗ обновил, лог переделал.

**миднайт** · 24.04.2011, 09:59

В AVZ выполните скрипт:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('C:\Documents and Settings\BuTcHeR\bnet.exe');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
BC_Activate;
RebootWindows(true);
end.

После перезагрузки

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин quarantine.zip по красной ссылке Прислать запрошенный карантин вверху темы.
Логи повторите.+ лог mbam

Что-то не так с доступом в интернет (заявка № 100670)

Опции темы

Что-то не так с доступом в интернет

Похожие темы

Не работают программы связаные с доступом в интернет!

Проблемы с доступом в интернет.

Проблема с доступом в Интернет

возникли проблемы с доступом в Интернет

Устранение проблем с доступом в интернет

Метки для этой темы

Ваши права в разделе