Startdvr.exe

[Moroes]

Где то подцепил его...юзает трафик постоянно. еще каспер ругался на wjview.exe но может это что то другой. Помогите разобраться и излечиться Заранее спс.

не могу прикреписть логи...что делать ?
не дает загружать

[Bratez]

Кнопочку Загрузить не забыли нажать?

[Moroes]

Результат загрузки
Эта страница предназначена только для загрузки подозрительных файлов которые Вас попросили прислать.
Логи нужно прикреплять к сообщениям на форуме.
Спасибо что читаете правила и делаете всё так как Вас попросили, а не как попало.

а вложения просто не открывает

[Bratez]

Нажимаем "Ответить", потом внизу "Управление вложениями", кнопками "Обзор..." выбираем файлы, жмем "Загрузить". Так делали?

[Moroes]

оказывается все было просто: Blocked Pop-Up

[Bratez]

Выполните скрипт в AVZ:

begin
 BC_QrFile('C:\WINDOWS\Temp\startdrv.exe');
 BC_QrSvc('ctl_w32');
 BC_QrSvc('runtime');
 BC_DeleteSvc('ctl_w32');
 BC_DeleteSvc('runtime');
 BC_DeleteFile('C:\WINDOWS\system32\drivers\ctl_w32.sys');
 BC_DeleteFile('C:\WINDOWS\System32\drivers\runtime.sys');
 BC_DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните еще один скрипт:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\sM4qAH4Y.exe','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys','');
 QuarantineFile('C:\WINDOWS\system32\wmedia32.exe','');
 DeleteFile('C:\WINDOWS\system32\wmedia32.exe');
 DeleteFile('C:\WINDOWS\Temp\startdrv.exe');
 DeleteFile('C:\WINDOWS\system32\sM4qAH4Y.exe');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Поищите вручную файл wjview.exe и добавьте в карантин.
Пришлите карантин согласно приложению 3 правил.
Удалите все задания в Планировщике.
Сделайте новые логи.

[Moroes]

wjview не нашел...скрипты выполнил...делаю новые логи, и вот хотел еще спросить, по логам не видно нет ли еще какой бяки?

[Moroes]

Выкладываю новые логи...пока не могу проверить опаздываю завтра отпишусь. Спасибо

[rubin]

Пофиксьте:

O4 - HKLM\..\Run: [WMedia32] wmedia32.exe
O9 - Extra button: (no name) - DctMapping - (no file)

Выполните скрипт:

begin
 SysCleanAddFile('wjview.exe');
 SysCleanAddFile('wmedia32.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'EbatesMoeMoneyMaker');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'WMedia32');
 DeleteFile('wmedia32.exe');
 ExecuteSysClean;
 RebootWindows(true);
end.

После перезагрузки повторите лог hijackthis.

[Bratez]

Вот эту штуку удалите:

C:\Program Files\NavExcel\NavHelper\v2.0.4c\v2.0.4c.cab/{CAB}/NHelper.htm >>>>> Spy.NavExcel

Посмотрите, что вам нужно из этого списка:

>> Службы: разрешена потенциально опасная служба RemoteRegistry (Удаленный реестр)
>> разрешена потенциально опасная служба TermService (Службы терминалов)
>> разрешена потенциально опасная служба SSDPSRV (Служба обнаружения SSDP)
>> разрешена потенциально опасная служба Schedule ()
>> Безопасность: разрешен автозапуск программ с CDROM
>> Безопасность: разрешен административный доступ к локальным дискам (C$, D$ ...)
>> Безопасность: к ПК разрешен доступ анонимного пользователя
>>> Безопасность: В IE разрешено использование ActiveX, не помеченных как безопасные
>>> Безопасность: В IE разрешены автоматические запросы элементов управления ActiveX

Лишнее отключим.

Добавлено через 2 минуты

Карантин вы так и не прислали. Его надо загрузить через эту форму:
http://virusinfo.info/upload_virus.php?tid=14973
(см. приложение 3 правил).

[Moroes]

хайджек после фикса...скрипт забыл...сек
карантин показывает что пустой...

[Bratez]

Для пущей стерильности еще это можно пофиксить:

O2 - BHO: NavHelper Class - {C1E58A84-95B3-4630-B8C2-D06B77B7A0FC} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

[Moroes]

а список служб я не знаю что за что отвечает, а следовательно не знаю что мне нужно...подскажите позжалуйста за что они все отвечают

[Bratez]

В принципе можно безболезненно отключить все.
Вот таким скриптом:

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Control\LSA','RestrictAnonymous', 2);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\LanmanServer\Parameters','AutoShareWks', 0);
RegKeyIntParamWrite('HKEY_LOCAL_MACHINE', 'System\CurrentControlSet\Services\CDROM','AutoRun', 0);
SetServiceStart('Schedule', 4);
SetServiceStart('SSDPSRV', 4);
SetServiceStart('TermService', 4);
SetServiceStart('RemoteRegistry', 4);
RebootWindows(true);
end.

Если есть локалка с общим доступом к файлам и принтерам, уберите красную строчку. Если автозапуск CD жалко - уберите зеленую .

[Moroes]

Огромное спасибо за помощь и советы.
Карантин выслал. вот хайджек после всех указанных фиксов и скриптов...
С уважением, Moroes

[Bratez]

В логе все нормально.

Если что, заходите еще .

[Moroes]

Спасибо за приглашение на днях заскочу еще...у меня дома локалка, вот на втором компе видимо все еще хуже...буду рад если с ним тоже поможете

С уважением, Moroes

[Bratez]

Минутку! В карантине Ip6Fw.sys - Rootkit.Win32.Agent.pr!
Мы с вами его не удаляли, хотя из логов он испарился...
Сейчас напишу скрипт.

Добавлено через 2 минуты

Вот, выполните:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('C:\WINDOWS\system32\DRIVERS\Ip6Fw.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Будет время - сделайте еще раз полный комплект логов для успокоения души

[Moroes]

Еще раз спс. сприптик сделал. завтра приду сделаю еще раз все логи и в эту же тему выложу.

С уважением, Moroes

[Moroes]

Вот финальные логи...что то нашлось еще (после обновления АВЗ)