Подозрение на вирусы

**SSSergeich** · 17.06.2008, 13:34

Прошу посмотреть мои логи. Подозрения на вирусы возникли из-за того, что:
1. Очень долго (от 5 до 30 минут) открывается папка "Мой компьютер"
2. Очень медленно копируются файлы с локального диска на локальный. Скорость порядка 1 - 1.5 мб/с (на другом компютере или на этом же но с другой ОС скорость копирования порядка 30-40 мб/с)
3. Часто подвисает MyIE2.
4. Очень долго перегружается или выключается компьютер. Около 4-5 минут.
5. Вирусы и трояны были выловлены на ноутбуке, с которым периодически обменивался данными.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**PavelA** · 17.06.2008, 14:20

Профиксить:

Код:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O21 - SSODL: CDRecorder025 - {A3BC5E20-0235-1ABF-9CE1-00AA00512025} - (no file)

Скрипт сейчас сделаю.

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('msapp.exe','');
 QuarantineFile('C:\WINDOWS\system32\svshost.dll','');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\winachcf.sys','');
 QuarantineFile('C:\WINDOWS\system32\apacheb.exe','');
 DeleteService('msupdate');
 QuarantineFile('C:\WINDOWS\system32\testcfgdll.dll','');
 QuarantineFile('c:\windows\system32\winsys.exe','');
 DeleteFile('c:\windows\system32\winsys.exe');
 DeleteFile('C:\WINDOWS\system32\testcfgdll.dll');
 DeleteFile('c:\windows\system32\..\svchost.exe');
 DeleteFile('C:\WINDOWS\system32\svshost.dll');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Загрузить карантин через красную ссылку. Kerish Doctor можно деинсталлировать.

Сделать новые логи.

**SSSergeich** · 17.06.2008, 15:46

Пофиксил, выполнил скрипт. После перезагрузки запустил скрипты для сбора информации. Во время "исследования системы" скрипта лечения/карантина, AVZ был выгружен с сообщением об ошибке. Повторный запуск завершился нормально.

**PavelA** · 17.06.2008, 16:01

Карантин прислал?

**SSSergeich** · 17.06.2008, 22:40

Да, карантин выслал

Добавлено через 6 часов 9 минут

Еще вот что заметил, если в AVZ включить максимальные настройки и запустить его, то после (не перегружая комп) "Мой компьютер" открывается сразу, если перегрузить комп, то опять долго не открывается, как описывал выше...

**PavelA** · 18.06.2008, 10:16

попробуем вот так:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('testcfgdll.dll','');
 QuarantineFile('msapp.exe','');
 DeleteFile('msapp.exe');
 DeleteFile('testcfgdll.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Пришли новый карантин, он д.б. поменьше.

**SSSergeich** · 20.06.2008, 08:51

Карантин выслал.

Файл сохранён как 080619_234900_virus_485b36bcb59cd.zip
Размер файла 1088
MD5 68e6a0ef207824e0e935c944486f766f

**PavelA** · 20.06.2008, 10:27

C:\WINDOWS\system32\apacheb.exe - остался вопрос только по вот этому файлу.

Если найдется пришли его через карантин.

Я бы еще посоветовал Kerish Doctor 2006 деинсталлировать. Он не сильно защищает компьютер.

**SSSergeich** · 20.06.2008, 11:23

C:\WINDOWS\system32\apacheb.exe - остался вопрос только по вот этому файлу.

Если найдется пришли его через карантин

Не находится такой

Я бы еще посоветовал Kerish Doctor 2006 деинсталлировать. Он не сильно защищает компьютер.

У меня нет такого. Возможно раньше устанавливал, но и снес давно.
Стоит НОД32 и Agnitum Outpost.

"Мой компьютер" по прежнему дико тормозит. Также, при копировании больших файлов происходит 100% загрузка процессора, при этом в диспетчере задач не отображается какой именно процесс загружает систему... показатель загрузки (от 20 до 40 %) хаотически скачет по всем процессам.

Так понимаю, что проще переустановить новую систему, чем найти баги в этой. Но очень бы не хотелось...

в папке C:\WINDOWS\system32\ обнаружил подозрительный файл
~.exe размером 17 260 байт дата создания 30.05.2008. Антивирусники на него молчат.

**PavelA** · 20.06.2008, 11:32

продолжим иссл-е:

Код:

begin
ClearQuarantine;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\Drivers\GoalSaa7134.sys','');
 SetServiceStart('GoalSaa7134', 4);
 QuarantineFile('C:\WINDOWS\System32\Drivers\GoalSaa7134.sys','');
 QuarantineFile('C:\Program Files\Kerish Doctor 2006\Doctor.exe','');
 QuarantineFile('C:\WINDOWS\system32\apacheb.exe','');
 SetServiceStart('MSDTCTrkWks', 4);
 DeleteFile('C:\WINDOWS\system32\apacheb.exe');
 DeleteFile('C:\Program Files\Kerish Doctor 2006\Doctor.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Прислать новый карантин.

**SSSergeich** · 20.06.2008, 12:03

Карантин выслал.
Файл сохранён как 080620_030131_virus_485b63dbec7e9.zip
Размер файла 31273
MD5 5c3ebc6fd25da4aaca4c3084bc98748f

Файл GoalSaa7134.sys - драйвер от платы видеозахвата

**PavelA** · 20.06.2008, 12:23

Его никто не знает в гугле, вот он и показался мне подозрительным. Если что, потом можешь его включить в "Сервисах"

Добавлено через 2 минуты

Проверил - файл чистый.

**SSSergeich** · 20.06.2008, 12:49

а файл ~.exe, про который писал выше, известный?

**PavelA** · 20.06.2008, 14:22

Присылай его будем немного на него смотреть.

**SSSergeich** · 20.06.2008, 15:56

Выслал в карантине.
Файл сохранён как 080620_065636_virus_485b9af4702d0.zip
Размер файла 17496
MD5 1ec49547fabe37c7af360251b17abbc6

**PavelA** · 20.06.2008, 16:14

На вирустотал 5 сказали подозрительный, основные промолчали. В общем, на усмотрение пользователя.

**SSSergeich** · 21.06.2008, 16:01

Ясно. Значит остается только винду переустановить

**Bratez** · 21.06.2008, 16:06

Ну может быть оно и к лучшему. Как говорится, нет худа без добра. Ведь даже сама Микрософт рекомендует иногда переустанавливать, примерно раз в год. Только обязательно начисто, с форматированием системного раздела, иначе шило на мыло