Система поражена вирусом. Не могу избавиться.

**Akula_Alex** · 26.05.2008, 11:49

На компьютере стоит основная рабочая система Win XP SP2, также для изучения второй системой установлена Vista 32 битная.
Вчера обратил внимание, что загрузка процессора в обычном состоянии, при незапущенных программах составляет 50-70 процентов.
Стоявший в системе Доктор Веб запуститься отказался, сообщив, что не является приложением Win32, кроме того все флеш носители стали поражаться вирусом autorun Win32 HLLM. Beagle.220
Прочитал правила на этом сайте, скачал и Dr.Web Cureit и AVZ и HijackThis. Ни одна из этих программ не запускается под зараженной системой. AVZ сообщает, что не является приложением WIN32, остальные, проработав 3-7 секунд просто вырубаются, не начав проверки. Кроме того из Свойств папки вообще исчезла опция "Показывать скрытые файлы и папки".
В защищенном режиме F8 WIN XP, не загрузившись, выпадает в синий экран.
Осталась надежда убрать вирусню из под Висты.
Dr.Web Cureit сообщил, что найдены три вируса в System 32\ drivers
hldrrr.exe (Win32 HLLM. Beagle.220)
mdelk.exe (Win32 HLLM. Beagle.220)
srosa.sys (Win32 HLLM. Beagle.219)
и удалил эти три вируса.
Сканирование диска C (где установлена XP) из под Висты последовательно Dr.Web, Касперским и НОД 32 больше ничего не обнаружили. После перезагрузки и загрузке WIN XP проблема та же самая, в скрытых процессах обнаруживается hldrrr.exe
и ни один антивирус не устанавливается и не запускается. Убить процесс hldrrr.exe не получается. Загрузка двухядерного процессора 2.4 ггц составляет так же 55-70 процентов при неработающих видимых программах.

Помогите, как избавиться от заразы, не переустанавливая систему?
(Слишком много уйдет на восстановление полное (около недели).
У меня нет этого времени сейчас!)

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Гриша** · 26.05.2008, 11:58

Скачать эту версию AVZ ,она уже переименованна.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('%System32%\drivers\srosa.sys','');
 QuarantineFile('%System32%\drivers\hldrrr.exe','');
 QuarantineFile('%System32%\wintems.exe','');
 QuarantineFile('%System32%\drivers\mdelk.exe','');
 QuarantineFile('%System32%\mdelk.exe','');
 DeleteFile('%System32%\drivers\hldrrr.exe');
 DeleteFile('%System32%\drivers\srosa.sys');
 DeleteFile('%System32%\wintems.exe');
 DeleteFile('%System32%\drivers\mdelk.exe');
 DeleteFile('%System32%\mdelk.exe');
BC_ImportALL;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
 else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
 else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end; 
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end; 
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!'); 
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.

Логи будут сохранены: B_d.txt и boot_clr_B_d.log от Бутклинера в папке AVZ+сделайте логи по правилам и прекрепите все к следующему сообщению.

**Akula_Alex** · 26.05.2008, 14:27

Большое спасибо, вирусня и признаки исчезли, после того, как выполнил действия выше описанные.
Из логов нашел только один, который прикрепляю.

**kps** · 26.05.2008, 14:35

Выполните такой скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('%System32%\drivers\hldrrr.exe');
 DeleteFile('%System32%\drivers\srosa.sys');
 DeleteFile('%System32%\wintems.exe');
 DeleteFile('%System32%\drivers\mdelk.exe');
 DeleteFile('%System32%\mdelk.exe');
BC_ImportDeletedList;
ExecuteSysClean;
If DirectoryExists('%System32%\drivers\down') then
begin
DeleteFileMask('%System32%\drivers\down', '*.*', true);
DeleteDirectory('%System32%\drivers\down');
If DirectoryExists('%System32%\drivers\down') then
AddToLog('Папка down не удалена') else AddToLog('Папка down удалена');
end
 else
AddToLog('Папки down нет');
If DirectoryExists('%System32%\drivers\downld') then
begin
DeleteFileMask('%System32%\drivers\downld', '*.*', true);
DeleteDirectory('%System32%\drivers\downld');
If DirectoryExists('%System32%\drivers\downld') then
AddToLog('Папка downld не удалена') else AddToLog('Папка downld удалена');
end
 else
AddToLog('Папки downld нет');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
begin
AddToLog('Обнаружен параметр в реестре drvsyskit');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'drvsyskit') then 
AddToLog('Ошибка удаления параметра drvsyskit') else
AddToLog('Параметр drvsyskit успешно удален');
end; 
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
begin
AddToLog('Обнаружен параметр в реестре german.exe');
RegKeyParamDel('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe');
If RegKeyParamExists('HKEY_CURRENT_USER', 'SOFTWARE\Microsoft\Windows\CurrentVersion\Run', 'german.exe') then 
AddToLog('Ошибка удаления параметра german.exe') else
AddToLog('Параметр german.exe успешно удален');
end; 
if RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
begin
AddToLog('Найден ключ реестра FirstRRRun');
RegKeyDel('HKEY_CURRENT_USER', 'Software\FirstRRRun');
If RegKeyExists('HKEY_CURRENT_USER', 'Software\FirstRRRun') then
AddToLog('Ошибка удаления ключа реестра FirstRRRun') else
AddToLog('ключ реестра FirstRRRun успешно удален');
end;
BC_DeleteSvc('srosa');
BC_LogFile(GetAVZDirectory + 'boot_clr_B_d.log');
If BC_Activate then AddToLog('BootCleaner успешно активирован') else AddToLog('Внимание!!! BootCleaner не активирован!'); 
SaveLog(GetAVZDirectory + 'B_d.txt');
RebootWindows(true);
end.

Компьютер перезагрузится, сделайте новые логи по правилам и прикрепите их, еще прикрепите B_d.txt и boot_clr_B_d.log из папки AVZ.

**Akula_Alex** · 26.05.2008, 16:18

Выполнил следующие пункты, согласно правилам, прилагаю отчеты и логи!

**Гриша** · 26.05.2008, 16:26

Червь применил свой фокус с автозагрузкой.

AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

Код:

begin
ClearQuarantine;    
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Program Files\ESET\ESET Smart Security\egui.exe','');
 QuarantineFile('C:\Program Files\Unlocker\UnlockerAssistant.exe','');
 QuarantineFile('C:\WINDOWS\system32\fireface.exe','');
 QuarantineFile('C:\WINDOWS\System32\JMRaidTool.exe','');
 QuarantineFile('C:\Program Files\WIBUKEY\H2O\CXWibu.exe','');
 QuarantineFile('C:\Program Files\VisualTaskTips\VisualTaskTips.exe','');
 QuarantineFile('C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe','');
 QuarantineFile('C:\Program Files\Stardock\ObjectDock\ObjectDock.exe','');
 QuarantineFile('C:\WINDOWS\Offline Web Pages\svchost.exe','');
 DeleteService('System Scheduler');     
 DeleteFile('C:\WINDOWS\Offline Web Pages\svchost.exe');
BC_ImportALL;  
ExecuteSysClean;
BC_DeleteSvc('System Scheduler ');    
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
Прислать карантин согласно приложения 3 правил .
Загружать по ссылке:http://virusinfo.info/upload_virus.php?tid=23427

**Akula_Alex** · 26.05.2008, 16:37

Не понял, простите! Еще не все что-ли? В этом скрипте указаны рабочие и важные эксешники для моей системы, они что поражены червем? Если их в карантин убирать, то как потом? снова переустанавливать все указанные в скрипте программы?

**kps** · 26.05.2008, 16:39

Карантин - это всего лишь снятие копии файлов. Это файлы вообще не трогает.
А подменил ли их червь - мы проверим.

**Akula_Alex** · 26.05.2008, 16:55

Отправил файл карантина, согласно http://virusinfo.info/upload_virus.php?tid=23427
Правда файлик у меня был с расширением *.rar, Zip архиватора нет в моей системе, пришлось переименовать расширение для отправки.

Да, кстати, червь убрал из Свойств папки опцию "Показать скрытые фалы и папки", она так и не появилась. Можно ли ее восстановить?

**kps** · 26.05.2008, 17:35

Чисто, Вы просто не выполнили скрипт из поста номер 4 перед созданием логов, правильно?
Выполните его, прикрепите логи B_d.txt и boot_clr_B_d.log из папки AVZ и новые логи по правилам.
По поводу скрытых файлов обязательно поможем, когда прикрепите логи.

**Akula_Alex** · 26.05.2008, 18:18

Сделал, как положено. Запустил Скрипт из 4-го топика, и повторил снятие логов, согласно правилам!

**Гриша** · 26.05.2008, 18:23

Вот скрипт для безопасного режима и отображения скрытых файлов:

Код:

begin
ExecuteRepair(6 );
ExecuteRepair(8 );
ExecuteRepair(10 );    
RebootWindows(true);
end.

Жалобы есть?

**Akula_Alex** · 26.05.2008, 20:51

Последняя проблема осталась, опция показать или не показать скрытые файлы и папки
в меню "сервис" -"свойства папки" - "вид" так и не появилась, даже после последнего скрипта и перезагрузки. Есть еще варианты , как вернуть на место опцию?

**V_Bond** · 26.05.2008, 21:17

а если такой скрипт ?

Код:

begin
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(10);    
RebootWindows(true);
end.

**Akula_Alex** · 27.05.2008, 12:22

Дак мне уже давали этот скрипт в 12 топике, не помогло, опция не появилась!

**kps** · 27.05.2008, 12:33

Скачайте архив отсюда http://www.uploading.com/files/LECRN2GM/r1.rar.html
Распакуйте, запустите r1.reg, добавьте информацию в реестр, перезагрузите компьютер, проблема со скрытыми файлами пропала?

**Akula_Alex** · 27.05.2008, 13:00

На этот раз все заработало и появилось!
Огромное спасибо, приятно работать с профессионалами!!!

**CyberHelper** · 22.02.2009, 05:31

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 0
В ходе лечения вредоносные программы в карантинах не обнаружены

Система поражена вирусом. Не могу избавиться. (заявка № 23427)

Опции темы

Система поражена вирусом. Не могу избавиться.

Итог лечения

Похожие темы

Firefox выдаёт сообщение, что система заражена вирусом

"система поражена вирусом Trojan.Win32.inject.aohy "

Система заражена вирусом требующем отправки СМС.

Система заражена вирусом Win32.NetSky

Система полностью заблокирована вирусом...

Ваши права в разделе