Показано с 1 по 12 из 12.

Целый букет, компьютер еле жив. (заявка № 16621)

  1. #1
    Junior Member Репутация
    Регистрация
    07.09.2007
    Сообщений
    24
    Вес репутации
    38

    Exclamation Целый букет, компьютер еле жив.

    К сожалению, у меня мало информации, потому что в момент заражения за компьютером был не я. В общем без меня тут как-то пытались разобраться, что-то стерли, но проблем не решили.
    Основные симптомы следующие:
    При старте компьютера выскакивает сообщение о том, что не удалось загрузить драйвер C:\Windows\System32\drivers\gjkphu.sys
    Это сообщение потом выскакивает и во время работы. Периодически выскакивают ошибки доступа к файлам и ошибки процессов, которые приводят к их завершению. В конечном счете компьютер не выдерживает и перезагружается.
    Я сначала проверил комп новой версией AVZ 4.29, но он как и 4.27 не смог создать лог файлы (Invalid Variant Type). Удалось сохранить только протокол проверки (avz_log.txt). Поэтому привожу логи старой версии.
    Лог Hithisjack новой версии.
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    25.02.2007
    Сообщений
    8,033
    Вес репутации
    1695
    Выполните скрипт в AVZ
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('C:\WINDOWS\system32\ntos.exe','');
     QuarantineFile('C:\WINDOWS\system32\xg120625.dll','');
     QuarantineFile('C:\WINDOWS\system32\oh120625.dll','');
     QuarantineFile('C:\WINDOWS\system32\mk120625.dll','');
     DeleteFile('C:\WINDOWS\system32\mk120625.dll');
     DeleteFile('C:\WINDOWS\system32\oh120625.dll');
     DeleteFile('C:\WINDOWS\system32\xg120625.dll');
     DeleteFile('C:\WINDOWS\system32\ntos.exe');
     BC_ImportALL;
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    "Пофиксите" в HijackThis
    Код:
    F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\ntos.exe,
    Загрузите карантин согласно приложению №3 правил. Повторите логи.

  4. #3
    Junior Member Репутация
    Регистрация
    07.09.2007
    Сообщений
    24
    Вес репутации
    38
    Ничего не изменилось. Сообщение по прежнему выскакивает. При сканировании AVZ выдает те же предупреждения.Однако есть одна странность. При перезагрузке (к сожалению я не внимательно следил) кажется произошла двойная перезагрузка. Но это не точно. Однако, строка F2, которую надо было пофиксить, исчезла (отсутствие ее в логе означается не то, что я ее стер, а то что ее там и не было).Карантин загрузил.
    Вложения Вложения

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    85.255.115.101
    org-name: UkrTeleGroup Ltd.
    address: UkrTeleGroup Ltd.
    address: Mechnikova 58/5 65029 Odessa
    Ваш провайдер?

    Выполните и новый карантин вновь пришлите:
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('revisor.dog','');
     QuarantineFile('walign.exe','');
     QuarantineFile('C:\WINDOWS\system32\atiptaxx.exe','');
     QuarantineFile('kdhpy.exe','');
     QuarantineFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe','');
     DeleteFile('C:\WINDOWS\system32\mk120625.dll');
     DeleteFile('C:\WINDOWS\system32\xg120625.dll');
     BC_ImportAll;
     BC_DeleteFile('C:\WINDOWS\system32\xg120625.dll');
     BC_DeleteFile('C:\WINDOWS\system32\mk120625.dll');
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.

  6. #5
    Junior Member Репутация
    Регистрация
    07.09.2007
    Сообщений
    24
    Вес репутации
    38
    Карантин залил.
    Насчет провайдера. Я из Москвы, у меня Стрим.

    Прошу прощения. В прошлый раз забыл сделать обновление базы.
    Провел проверку еще раз последней версией (после обновления баз она заработала нормально). Прикрепляю логи.
    Хочу обратить внимание, что в логах должны присутствовать dll-ки лежащие в C:\Temp\KARANTIN\SYST32 Это файлы, который обнаружил отец, когда пытался вылечить компьютер. Эти файлы были созданы в момент заражения. Он их перенес из папки SYSTEM32 в эту папку.

    P.S. Сообщение при загрузке компа до сих пор появляется.
    Вложения Вложения

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Trojan.Win32.KillAV.ne C:\WINDOWS\system32\mk120625.dll
    Virus.Win32.Sality.v C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\bh120625.dll
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\ah120625.dll
    Trojan.Win32.KillAV.ne C:\WINDOWS\SYSTEM32\bh120625.dll
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\ch120625.dll
    ВОТ что сменило Ваши серверы на украинские - Trojan.Win32.DNSChanger.aum C:\WINDOWS\system32\kdhpy.exe
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\mk120625.dll
    Trojan.Win32.KillAV.ne C:\WINDOWS\SYSTEM32\qh120625.dll
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\wg116568.dll
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\oh120625.dll
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\xg120625.dll
    Trojan.Win32.KillAV.ne C:\WINDOWS\SYSTEM32\ch120625.dll
    Trojan.Win32.KillAV.ne c:\windows\system32\xg120625.dll
    Virus.Win32.Sality.v C:\WINDOWS\system32\atiptaxx.exe
    Virus.Win32.Sality.v C:\WINDOWS\TEMP\3.tmp
    Trojan.Win32.KillAV.ne C:\Temp\KARANTIN\SYST32\qh120625.dll
    not-a-virusownloader.Win32.Popcap.a C:\WINDOWS\Downloaded Program Files\popcaploader.dll
    Trojan.Win32.KillAV.ne C:\WINDOWS\SYSTEM32\ah120625.dll
    Солидно... сейчас напишу план операции

    Добавлено через 9 минут

    1. Скачиваете с сайта провайдера нужные сетевые настройки - DNS-серверы и прочее
    2. Скачиваете лечащую утилиту CureIT (желательно на здоровом компьютере), записываете на компакт диск - у Вас тут и файловый вирус в наличии
    3. Отключаетесь от сети, выгружаете антивирус
    4. Выполняете скрипт:
    Код:
    begin
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     DeleteFile('C:\WINDOWS\system32\mk120625.dll');
     DeleteFile('C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe');
     DeleteFile('C:\WINDOWS\SYSTEM32\bh120625.dll');
     DeleteFile('C:\WINDOWS\system32\kdhpy.exe');
     DeleteFile('C:\WINDOWS\SYSTEM32\qh120625.dll');
     DeleteFile('C:\WINDOWS\SYSTEM32\ch120625.dll');
     DeleteFile('c:\windows\system32\xg120625.dll');
     DeleteFile('C:\WINDOWS\system32\atiptaxx.exe');
     DeleteFile('C:\WINDOWS\TEMP\3.tmp');
     DeleteFile('C:\WINDOWS\Downloaded Program Files\popcaploader.dll');
     DeleteFile('C:\WINDOWS\SYSTEM32\ah120625.dll');
     DeleteFile('C:\WINDOWS\SYSTEM32\oh120625.dll');
     DeleteFileMask('C:\Temp\KARANTIN\SYST32\', '*.*', false);
     DeleteDirectory('C:\Temp\KARANTIN\SYST32\');
     BC_ImportDeletedList;
     BC_Activate;
     ExecuteSysClean;
     RebootWindows(true);
    end.
    5. Фиксите в HiJackThis:
    Код:
    O4 - Startup: PowerReg SchedulerV2.exe
    O17 - HKLM\System\CCS\Services\Tcpip\..\{150DB5AC-1F8A-4229-8630-0D0F9EB5F992}: NameServer = 85.255.115.101,85.255.112.68
    O17 - HKLM\System\CCS\Services\Tcpip\..\{2D640CCF-615A-4753-ADBB-634355DEEC8D}: NameServer = 85.255.115.101,85.255.112.68
    O17 - HKLM\System\CCS\Services\Tcpip\..\{5DE5C1B6-A6CC-49A7-83AE-CA0AB863D00E}: NameServer = 85.255.115.101,85.255.112.68
    O17 - HKLM\System\CCS\Services\Tcpip\..\{FD25A1B6-029A-4888-8BB7-686C2896D834}: NameServer = 85.255.115.101,85.255.112.68
    O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
    O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
    O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.101 85.255.112.68
    Этим мы сбрасываем настройки интернета, придется прописать их по новой
    6. Делаете полную проверку компьютера CureIt - файловое заражение должно вылечиться
    7. Поздравляете отца с тем, что всех зловредов он заметил
    8. Делаете новые логи
    Последний раз редактировалось rubin; 18.01.2008 в 23:37. Причина: Добавлено

  8. #7
    External Expert Репутация
    Регистрация
    07.05.2007
    Сообщений
    4
    Вес репутации
    39
    эти уже KAV лечит, так что удалять их не обязательно

    Virus.Win32.Sality.v C:\WINDOWS\system32\atiptaxx.exe
    Virus.Win32.Sality.v C:\WINDOWS\TEMP\3.tmp
    Virus.Win32.Sality.v C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\PowerReg SchedulerV2.exe

  9. #8
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Лечить то лечит... но кроме вирусной инфекции ничего полезного в них нет, это не зараженные системные файлы

  10. #9
    External Expert Репутация
    Регистрация
    07.05.2007
    Сообщений
    4
    Вес репутации
    39
    Цитата Сообщение от rubin Посмотреть сообщение
    Лечить то лечит... но кроме вирусной инфекции ничего полезного в них нет, это не зараженные системные файлы
    Уверяю Вас, что это не так, под таким именем могут детектироваться только заражённые файлы.

  11. #10
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    3.tmp - полезный системный файл ?
    PowerReg SchedulerV2.exe - тоже?
    Возможно вредоносный код в них и в зараженных файлах системы один - потому детект одинаков, но если вылечить системный файл - получим работоспособную программу, а если эти - получим бесполезную пустышку...
    Хотя возможно ошибаюсь...пациента что-то не видно

  12. #11
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для pig
    Регистрация
    17.09.2004
    Адрес
    Апатиты, Мурманская область, Россия
    Сообщений
    10,629
    Вес репутации
    1292
    Файловые вирусы надо изгонять, не разбираясь, что там заражено. Мух от котлет будем отделять позже.

  13. #12
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 52
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\documents and settings\\администратор\\главное меню\\программы\\автозагрузка\\powerreg schedulerv2.exe - Virus.Win32.Sality.v (DrWEB: Win32.Sector.4)
      2. c:\\temp\\karantin\\syst32\\ah120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      3. c:\\temp\\karantin\\syst32\\bh120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      4. c:\\temp\\karantin\\syst32\\ch120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      5. c:\\temp\\karantin\\syst32\\mk120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      6. c:\\temp\\karantin\\syst32\\oh120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      7. c:\\temp\\karantin\\syst32\\qh120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      8. c:\\temp\\karantin\\syst32\\wg116568.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      9. c:\\temp\\karantin\\syst32\\xg120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      10. c:\\windows\\system32\\ah120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      11. c:\\windows\\system32\\atiptaxx.exe - Virus.Win32.Sality.v (DrWEB: Win32.Sector.4)
      12. c:\\windows\\system32\\bh120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      13. c:\\windows\\system32\\ch120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      14. c:\\windows\\system32\\kdhpy.exe - Trojan.Win32.DNSChanger.aum (DrWEB: a modification of Trojan.Packed.156)
      15. c:\\windows\\system32\\mk120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      16. c:\\windows\\system32\\ntos.exe - Trojan-Spy.Win32.Zbot.aay (DrWEB: Trojan.Proxy.2486)
      17. c:\\windows\\system32\\oh120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      18. c:\\windows\\system32\\qh120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      19. c:\\windows\\system32\\xg120625.dll - Trojan.Win32.KillAV.ne (DrWEB: Win32.Sector.4)
      20. c:\\windows\\temp\\3.tmp - Virus.Win32.Sality.v (DrWEB: Win32.Sector.4)


  • Уважаемый(ая) Mio, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Целый букет вирусов
      От Eleven в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 05.12.2009, 00:26
    2. Целый букет вирусов
      От mirage11 в разделе Помогите!
      Ответов: 19
      Последнее сообщение: 22.02.2009, 02:57
    3. Целый букет заразы
      От Hanson в разделе Помогите!
      Ответов: 19
      Последнее сообщение: 30.06.2008, 17:30
    4. Найден целый букет вирусов-2
      От steklorez в разделе Помогите!
      Ответов: 4
      Последнее сообщение: 09.04.2008, 09:20
    5. Найден целый букет вирусов
      От steklorez в разделе Помогите!
      Ответов: 5
      Последнее сообщение: 08.04.2008, 13:52

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00152 seconds with 17 queries