Показано с 1 по 18 из 18.

svchsot.exe - Worm.Win32.Rahak.a (заявка № 18200)

  1. #1
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38

    Exclamation svchsot.exe - Worm.Win32.Rahak.a

    Здравствуйте!
    Столкнулся с проблемой, подцепил данную заразу, и теперь не запускается ниодна программа! Только через запустить от имени!

    Посматрел что за червь на вируслист.ком, там посматрел где он прячется... удалил вручную:
    %System%\mscolsrv.exe
    %System%\svchsot.exe ,
    %System%\server.dll
    %System%\syshid.exe,
    C:\wutemp\srvsxc.exe,

    удалил ключи реестра
    [HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
    "sysser"="<путь до оригинального запускаемого файла>"
    [HKLM\System\CurrentControlSet\Services\MSCoolServ]
    "ImagePath"="%System%\mscolsrv.exe -service",

    почистил:
    [HKCR\exefile\shell\open\command]
    [HKLM\Software\Classes\exefile\shell\open\command]
    "default"="syshid.exe %1 %"
    и не знаю что туда написать...

    После проверки avz не запускает процесс explorer.exe
    И вместо "Моёго Компьютера" пишет просто Папка...

    virusinfo_syscure.zip не влезает(841.74KB), поэтому заливаю не на форум slil.ru/25485128
    Вложения Вложения

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    уверены, что не влезает именно syscure, а не cure?

    Добавлено через 48 секунд

    И правда... сейчас посмотрю

    Добавлено через 5 минут

    Перезалейте, если не сложно, на virusinfo.ifolder.ru
    С slil.ru скачивается просто ужасно
    Последний раз редактировалось rubin; 17.02.2008 в 23:02. Причина: Добавлено

  4. #3
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    Залил на йаПалко: http://virusinfo.ifolder.ru/5396517

  5. #4
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    А в распакованном виде лог на почти 9 мегабайт... Вам нужно сделать проверку CureIt (записав на компакт-диск в безопасном режиме). Зверья там у Вас немеряно

  6. #5
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    хорошо, проверю и опять скину логи

  7. #6
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Вдобавок для интереса приаттачьте и лог CureIT... все таки такой набор

  8. #7
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    С горем пополам запустил каспера, т.к CureIT даже в сейф моде с ошыбкой открывался и вылетал(грузил с болванки), каспером подчистил всё файлы которые были инфицированы, explorer.exe так и не запустился и меня раздражает "Папка" вместо моего комьютера
    Вложения Вложения

  9. #8
    Full Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для akok
    Регистрация
    25.01.2011
    Сообщений
    2,341
    Вес репутации
    53
    AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
     ClearQuarantine;
     SearchRootkit(true, true);
     SetAVZGuardStatus(true);
     QuarantineFile('C:\WINDOWS\system32\sybkkvxa.dll','');
     QuarantineFile('C:\WINDOWS\system32\omjwfnxk.dll','');
     QuarantineFile('C:\WINDOWS\system32\lbileonn.dll','');
     QuarantineFile('C:\WINDOWS\system32\wsgdmoki.dll','');
     QuarantineFile('C:\WINDOWS\system32\hpveiwhe.dll','');
     QuarantineFile('C:\WINDOWS\system32\rsgkvign.dll','');
     QuarantineFile('C:\WINDOWS\system32\sehxgtac.dll','');
     QuarantineFile('C:\WINDOWS\system32\gipmydrx.dll','');
     QuarantineFile('C:\WINDOWS\system32\qpdnnpmm.dll','');
     QuarantineFile('C:\WINDOWS\system32\tihyudob.dll','');
     QuarantineFile('C:\WINDOWS\system32\mwbktwty.dll','');
     QuarantineFile('C:\WINDOWS\system32\dvrprbzd.dll','');
     QuarantineFile('C:\WINDOWS\system32\orruhlqm.dll','');
     QuarantineFile('C:\WINDOWS\system32\lugswqlx.dll','');
     QuarantineFile('C:\WINDOWS\system32\ftrnsihk.dll','');
     QuarantineFile('C:\WINDOWS\system32\vwtzuvlg.dll','');
     QuarantineFile('C:\WINDOWS\system32\arsovjxg.dll','');
     QuarantineFile('C:\WINDOWS\system32\bekvzeru.dll','');
     QuarantineFile('C:\WINDOWS\system32\rcjzlyun.dll','');
     QuarantineFile('C:\WINDOWS\system32\vxcoewko.dll','');
     QuarantineFile('C:\WINDOWS\system32\hmdhfudr.dll','');
     QuarantineFile('C:\WINDOWS\system32\equamjua.dll','');
     QuarantineFile('C:\WINDOWS\system32\enfzaldq.dll','');
     QuarantineFile('C:\WINDOWS\system32\Path2ClipboardSetup.cpl','');
     QuarantineFile('C:\WINDOWS\system32\yfszrkxc.dll','');
     QuarantineFile('C:\WINDOWS\system32\bgbzfkph.dll','');
     QuarantineFile('C:\WINDOWS\system32\ddivsmoy.dll','');
     QuarantineFile('C:\WINDOWS\system32\vtuenocu.dll','');
     BC_ImportQuarantineList;
     BC_Activate;
     RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=18200


    Интересные однако "Модули расширения проводника"
    Microsoft Most Valuable Professional in Consumer Security

  10. #9
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    Файл сохранён как 080218_151450_virus_47b9f54a3bb15.zip
    Размер файла 208146
    MD5 a7e25fecd6eb38c0f88b6faaf89a44fb

  11. #10
    Full Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для akok
    Регистрация
    25.01.2011
    Сообщений
    2,341
    Вес репутации
    53
    C:\WINDOWS\system32\Path2ClipboardSetup.cpl - только он попал в карантин

    Поищите файлы указанные в скрипте при помощи AVZ и пришлите по правилам (2-3 файла в начале посмотрим, что это)
    Microsoft Most Valuable Professional in Consumer Security

  12. #11
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    Пишет

    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\sybkkvxa.dll)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\omjwfnxk.dll)
    Карантин с использованием прямого чтения - ошибка
    Ошибка карантина файла, попытка прямого чтения (C:\WINDOWS\system32\lbileonn.dll)
    Карантин с использованием прямого чтения - ошибка

  13. #12
    Full Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для akok
    Регистрация
    25.01.2011
    Сообщений
    2,341
    Вес репутации
    53
    Попробуйте совсем вручную
    Microsoft Most Valuable Professional in Consumer Security

  14. #13
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    Да нету их там
    Выполните такой скрипт:
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     DeleteFile('C:\WINDOWS\system32\enfzaldq.dll');
     DeleteFile('C:\WINDOWS\system32\equamjua.dll');
     DeleteFile('C:\WINDOWS\system32\hmdhfudr.dll');
     DeleteFile('C:\WINDOWS\system32\vxcoewko.dll');
     DeleteFile('C:\WINDOWS\system32\rcjzlyun.dll');
     DeleteFile('C:\WINDOWS\system32\bekvzeru.dll');
     DeleteFile('C:\WINDOWS\system32\arsovjxg.dll');
     DeleteFile('C:\WINDOWS\system32\vwtzuvlg.dll');
     DeleteFile('C:\WINDOWS\system32\ftrnsihk.dll');
     DeleteFile('C:\WINDOWS\system32\orruhlqm.dll');
     DeleteFile('C:\WINDOWS\system32\lugswqlx.dll');
     DeleteFile('C:\WINDOWS\system32\pepbupti.dll');
     DeleteFile('C:\WINDOWS\system32\rzuiqnir.dll');
     DeleteFile('C:\WINDOWS\system32\lbileonn.dll');
     DeleteFile('C:\WINDOWS\system32\omjwfnxk.dll');
     DeleteFile('C:\WINDOWS\system32\likcvprh.dll');
     DeleteFile('C:\WINDOWS\system32\vpajiboi.dll');
     DeleteFile('C:\WINDOWS\system32\argikocm.dll');
     DeleteFile('C:\WINDOWS\system32\zwvdklik.dll');
     DeleteFile('C:\WINDOWS\system32\yaovdijm.dll');
     DeleteFile('C:\WINDOWS\system32\fnsxgbgy.dll');
     DeleteFile('C:\WINDOWS\system32\dvrprbzd.dll');
     DeleteFile('C:\WINDOWS\system32\sybkkvxa.dll');
     DeleteFile('C:\WINDOWS\system32\iphjvdnb.dll');
     DeleteFile('C:\WINDOWS\system32\hpveiwhe.dll');
     DeleteFile('C:\WINDOWS\system32\ofvasppd.dll');
     DeleteFile('C:\WINDOWS\system32\mwbktwty.dll');
     DeleteFile('C:\WINDOWS\system32\tihyudob.dll');
     DeleteFile('C:\WINDOWS\system32\qpdnnpmm.dll');
     DeleteFile('C:\WINDOWS\system32\gipmydrx.dll');
     DeleteFile('C:\WINDOWS\system32\sehxgtac.dll');
     DeleteFile('C:\WINDOWS\system32\rsgkvign.dll');
     DeleteFile('C:\WINDOWS\system32\wsgdmoki.dll');
     DeleteFile('C:\WINDOWS\system32\vtuenocu.dll');
     DeleteFile('C:\WINDOWS\system32\ddivsmoy.dll');
     DeleteFile('C:\WINDOWS\system32\bgbzfkph.dll');
    BC_ImportDeletedList;
    ExecuteSysClean;
    ExecuteRepair(1);
    ExecuteRepair(5);
    ExecuteRepair(6);
    ExecuteRepair(8);
    RegKeyIntParamWrite( 'HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
    BC_Activate;
    RebootWindows(true);
    end.
    Сделайте новые логи, начиная с п.10 правил.
    I am not young enough to know everything...

  15. #14
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    сделал лог
    Вложения Вложения

  16. #15
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    26.12.2006
    Адрес
    Vladivostok
    Сообщений
    23,299
    Вес репутации
    1555
    К сожалению, все пустышки в расширениях Проводника остались на месте. Чтобы их оттуда выковырять, придется составлять вручную список CLSID... Хотя в принципе они ни на что не влияют.
    А как дела с запуском программ и т.д.? Положительные сдвиги есть? Какие проблемы остались?
    I am not young enough to know everything...

  17. #16
    Junior Member Репутация
    Регистрация
    21.08.2007
    Сообщений
    13
    Вес репутации
    38
    Проблеммы остались, с запуском программ, я незнаю что в реестре вместо
    [HKCR\exefile\shell\open\command]
    [HKLM\Software\Classes\exefile\shell\open\command]
    "default"="syshid.exe %1 %" написать, или просто оставить "%1 %" ? explorer.exe так и не запускается, пытается, но спустя 1-2 сек. вылетает

  18. #17
    Visiting Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для rubin
    Регистрация
    15.10.2007
    Адрес
    Казань
    Сообщений
    2,934
    Вес репутации
    542
    Выполните:
    Код:
    begin
     ClearQuarantine;
     SearchRootkit(true, true);
     SetAVZGuardStatus(true); 
     DelCLSID('2559a1f7-21d7-11d4-bdaf-00c04f60b9f0');
     DelCLSID('D20EA4E1-3957-11d2-A40B-0C5020524152');
     DelCLSID('5E6AB780-7743-11CF-A12B-00AA004AE837');
     DelCLSID('22BF0C20-6DA7-11D0-B373-00A0C9034938');
     DelCLSID('91EA3F8B-C99B-11d0-9815-00C04FD91972');
     DelCLSID('6413BA2C-B461-11d1-A18A-080036B11A03');
     DelCLSID('F61FFEC1-754F-11d0-80CA-00AA005B4383');
     DelCLSID('7BA4C742-9E81-11CF-99D3-00AA004AE837');
     DelCLSID('21569614-B795-46b1-85F4-E737A8DC09AD');
     DelCLSID('169A0691-8DF9-11d1-A1C4-00C04FD75D13');
     DelCLSID('AF4F6510-F982-11d0-8595-00AA004CD6D8');
     DelCLSID('A08C11D2-A228-11d0-825B-00AA005B4383');
     DelCLSID('6756A641-DE71-11d0-831B-00AA005B4383');
     DelCLSID('6935DB93-21E8-4ccc-BEB9-9FE3C77A297A');
     DelCLSID('7e653215-fa25-46bd-a339-34a2790f3cb7');
     DelCLSID('acf35015-526e-4230-9596-becbe19f0ac9');
     DelCLSID('00BB2764-6A77-11D0-A535-00C04FD7D062');
     DelCLSID('03C036F1-A186-11D0-824A-00AA005B4383');
     DelCLSID('00BB2765-6A77-11D0-A535-00C04FD7D062');
     DelCLSID('ECD4FC4E-521C-11D0-B792-00A0C90312E1');
     DelCLSID('EF8AD2D1-AE36-11D1-B2D2-006097DF8C11');
     DelCLSID('EFA24E61-B078-11d0-89E4-00C04FC9E26E');
     DelCLSID('0A89A860-D7B1-11CE-8350-444553540000');
     DelCLSID('131A6951-7F78-11D0-A979-00C04FD705A2');
     DelCLSID('9461b922-3c5a-11d2-bf8b-00c04fb93661');
     QuarantineFile('C:\WINDOWS\system32\ntkrnlpa.exe','');
     DeleteFile('C:\WINDOWS\system32\enfzaldq.dll');
     DeleteFile('C:\WINDOWS\system32\equamjua.dll');
     DeleteFile('C:\WINDOWS\system32\hmdhfudr.dll');
     DeleteFile('C:\WINDOWS\system32\vxcoewko.dll');
     DeleteFile('C:\WINDOWS\system32\rcjzlyun.dll');
     DeleteFile('C:\WINDOWS\system32\bekvzeru.dll');
     DeleteFile('C:\WINDOWS\system32\arsovjxg.dll');
     DeleteFile('C:\WINDOWS\system32\vwtzuvlg.dll');
     DeleteFile('C:\WINDOWS\system32\ftrnsihk.dll');
     DeleteFile('C:\WINDOWS\system32\orruhlqm.dll');
     DeleteFile('C:\WINDOWS\system32\lugswqlx.dll');
     DeleteFile('C:\WINDOWS\system32\pepbupti.dll');
     DeleteFile('C:\WINDOWS\system32\rzuiqnir.dll');
     DeleteFile('C:\WINDOWS\system32\lbileonn.dll');
     DeleteFile('C:\WINDOWS\system32\omjwfnxk.dll');
     DeleteFile('C:\WINDOWS\system32\likcvprh.dll');
     DeleteFile('C:\WINDOWS\system32\vpajiboi.dll');
     DeleteFile('C:\WINDOWS\system32\argikocm.dll');
     DeleteFile('C:\WINDOWS\system32\zwvdklik.dll');
     DeleteFile('C:\WINDOWS\system32\yaovdijm.dll');
     DeleteFile('C:\WINDOWS\system32\fnsxgbgy.dll');
     DeleteFile('C:\WINDOWS\system32\dvrprbzd.dll');
     DeleteFile('C:\WINDOWS\system32\sybkkvxa.dll');
     DeleteFile('C:\WINDOWS\system32\iphjvdnb.dll');
     DeleteFile('C:\WINDOWS\system32\hpveiwhe.dll');
     DeleteFile('C:\WINDOWS\system32\ofvasppd.dll');
     DeleteFile('C:\WINDOWS\system32\mwbktwty.dll');
     DeleteFile('C:\WINDOWS\system32\tihyudob.dll');
     DeleteFile('C:\WINDOWS\system32\qpdnnpmm.dll');
     DeleteFile('C:\WINDOWS\system32\gipmydrx.dll');
     DeleteFile('C:\WINDOWS\system32\sehxgtac.dll');
     DeleteFile('C:\WINDOWS\system32\rsgkvign.dll');
     DeleteFile('C:\WINDOWS\system32\wsgdmoki.dll');
     DeleteFile('C:\WINDOWS\system32\vtuenocu.dll');
     DeleteFile('C:\WINDOWS\system32\ddivsmoy.dll');
     DeleteFile('C:\WINDOWS\system32\bgbzfkph.dll');     
     BC_ImportAll;
     BC_Activate;
     RebootWindows(true);
    end.
    Карантин пришлите.
    Последний лог повторите

  19. #18
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 1
    • Обработано файлов: 57
    • В ходе лечения вредоносные программы в карантинах не обнаружены


  • Уважаемый(ая) ShafT(Kirishi), наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Net-Worm.Win32.Kido.ih и Worm.Win32.AutoRun.ezt
      От zagraba в разделе Помогите!
      Ответов: 8
      Последнее сообщение: 06.12.2009, 11:53
    2. На помощь!на меня напал Rahak.a
      От Dvornik в разделе Помогите!
      Ответов: 3
      Последнее сообщение: 03.07.2009, 17:34
    3. Ответов: 24
      Последнее сообщение: 11.04.2009, 23:10
    4. Ответов: 1
      Последнее сообщение: 26.02.2009, 14:29
    5. Net-Worm.Win32.Slammer Он же Win.MSSQL.worm.Helkern.
      От TeXeT в разделе Вредоносные программы
      Ответов: 4
      Последнее сообщение: 28.07.2008, 12:21

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.01498 seconds with 17 queries