ВИРУС USERINIT.EXE

**mak83** · 14.07.2008, 10:28

не загружается explorer.exe вот логи

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**V_Bond** · 14.07.2008, 10:37

выполните скрипт ....

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\services.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc9.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc8.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc7.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc33.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc32.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc31.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc30.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc29.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc28.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc27.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc26.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc25.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc24.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc23.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc22.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc21.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc20.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc19.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc18.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc17.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc16.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc15.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc14.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc13.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc12.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc11.exe','');
 QuarantineFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc10.exe','');
 DelBHO('{36DBC179-A19F-48F2-B16A-6A3E19B42A87}');
 QuarantineFile('C:\WINDOWS\System32\ipv6monl.dll','');
 QuarantineFile('C:\WINDOWS\TEMP\winlagon.exe','');
 DeleteService('Ewc05');
 QuarantineFile('C:\WINDOWS\System32\Drivers\Ewc05.sys','');
 DeleteService('Schedule');
 DeleteFile('C:\WINDOWS\System32\Drivers\Ewc05.sys');
 DeleteFile('C:\WINDOWS\TEMP\winlagon.exe');
 DeleteFile('C:\WINDOWS\System32\ipv6monl.dll');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc10.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc11.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc12.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc13.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc14.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc15.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc16.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc17.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc18.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc19.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc20.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc21.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc22.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc23.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc24.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc25.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc26.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc27.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc28.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc29.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc30.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc31.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc32.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc33.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc7.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc8.exe');
 DeleteFile('C:\RECYCLER\S-1-5-21-1993962763-1682526488-725345543-1003\Dc9.exe');
 DeleteFile('C:\WINDOWS\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(8);
ExecuteRepair(9);
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ...

**mak83** · 14.07.2008, 12:34

карантин выслал вот логи

**V_Bond** · 14.07.2008, 13:24

пофиксите ...

Код:

O2 - BHO: Std plugin - {096059FD-99AB-41eb-9E55-59AEB0A3B444} - roadmap16.dll (file missing)
O4 - HKCU\..\Run: [Hhjg5jfd93dftdf] C:\WINDOWS\TEMP\winlagon.exe
O4 - HKCU\..\Run: [[system]] C:\WINDOWS\system32\drivers\services.exe
O4 - HKCU\..\Run: [winlogon] C:\Documents and Settings\Семья\svchost.exe
O4 - HKCU\..\Run: [WindowsManager] C:\WINDOWS\System32\termas32.exe
O4 - HKCU\..\Run: [HJdfke9kfdf] C:\DOCUME~1\378B~1\LOCALS~1\Temp\csrssc.exe

выполните скрипт ...

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\TEMP\winlagon.exe','');
 QuarantineFile('C:\WINDOWS\System32\termas32.exe','');
 QuarantineFile('C:\Documents and Settings\Семья\svchost.exe','');
 QuarantineFile('C:\DOCUME~1\378B~1\LOCALS~1\Temp\csrssc.exe','');
 QuarantineFile('c:\windows\system32\termas32.exe','');
 DeleteFile('c:\windows\system32\termas32.exe');
 DeleteFile('C:\DOCUME~1\378B~1\LOCALS~1\Temp\csrssc.exe');
 DeleteFile('C:\Documents and Settings\Семья\svchost.exe');
 DeleteFile('C:\WINDOWS\TEMP\winlagon.exe');
 DeleteFile('C:\WINDOWS\system32\drivers\services.exe');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

пришлите карантин согласно приложения 3 правил ....
повторите логи ....

**mak83** · 14.07.2008, 14:02

КАРАНТИН ВЫСЛАЛ ВОТ ЛОГИ

**V_Bond** · 14.07.2008, 14:52

выполните скрипт ....

Код:

begin
ExecuteRepair(17);
RebootWindows(true);
end.

плохого в логах ничего не видно.... пора ставить СП3 иначе это ненадолго ...

**CyberHelper** · 22.02.2009, 06:33

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 78
В ходе лечения обнаружены вредоносные программы:
1. c:\\documents and settings\\all users\\документы\\aol password cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
2. c:\\documents and settings\\all users\\документы\\counter-strike keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
3. c:\\documents and settings\\all users\\документы\\dcom exploit.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
4. c:\\documents and settings\\all users\\документы\\divx 5.0 pro keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
5. c:\\documents and settings\\all users\\документы\\ftp cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
6. c:\\documents and settings\\all users\\документы\\hotmail cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
7. c:\\documents and settings\\all users\\документы\\hotmail hacker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
8. c:\\documents and settings\\all users\\документы\\ip nuker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
9. c:\\documents and settings\\all users\\документы\\keylogger.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
10. c:\\documents and settings\\all users\\документы\\l0pht 4.0 windows password cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
11. c:\\documents and settings\\all users\\документы\\microsoft visual basic keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
12. c:\\documents and settings\\all users\\документы\\microsoft visual c++ keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
13. c:\\documents and settings\\all users\\документы\\microsoft visual studio keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
14. c:\\documents and settings\\all users\\документы\\msn password cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
15. c:\\documents and settings\\all users\\документы\\netbios cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
16. c:\\documents and settings\\all users\\документы\\netbios hacker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
17. c:\\documents and settings\\all users\\документы\\norton anti-virus 2005 enterprise crack.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
18. c:\\documents and settings\\all users\\документы\\sdbot with netbios spread.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
19. c:\\documents and settings\\all users\\документы\\sub7 2.3 private.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
20. c:\\documents and settings\\all users\\документы\\ut 2003 keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
21. c:\\documents and settings\\all users\\документы\\website hacker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
22. c:\\documents and settings\\all users\\документы\\windows password cracker.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
23. c:\\documents and settings\\all users\\документы\\windows 2003 advanced server keygen.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
24. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc10.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
25. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc11.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
26. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc12.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
27. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc13.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
28. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc14.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
29. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc15.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
30. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc16.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
31. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc17.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
32. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc18.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
33. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc19.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
34. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc20.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
35. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc21.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
36. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc22.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
37. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc23.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
38. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc24.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
39. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc25.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
40. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc26.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
41. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc27.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
42. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc28.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
43. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc29.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
44. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc30.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
45. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc31.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
46. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc32.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
47. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc33.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
48. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc7.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
49. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc8.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
50. c:\\recycler\\s-1-5-21-1993962763-1682526488-725345543-1003\\dc9.exe - Worm.Win32.FTPShare.a (DrWEB: Win32.HLLW.Ftps)
51. c:\\windows\\services.exe - Trojan-Proxy.Win32.Agent.aqy (DrWEB: Trojan.Packed.573)
52. c:\\windows\\system32\\ipv6monl.dll - Trojan.Win32.Obfuscated.fin (DrWEB: Trojan.PWS.Cimuz.14)
53. c:\\windows\\system32\\termas32.exe - Backdoor.Win32.Hupigon.cnfj (DrWEB: Trojan.DownLoad.5262)

ВИРУС USERINIT.EXE (заявка № 26441)

Опции темы

ВИРУС USERINIT.EXE

Итог лечения

Похожие темы

Тормозит комп загружен процессор и Hijackvis не удаляет UserInit=C:\Windows\system32\userinit.exe

параметр Userinit содержит значение отличное от C:\WINDOWS\system32\userinit.exe,

Вирус в userinit.exe

Подозрение на вирус userinit.exe

Вирус в system32\userinit.exe

Ваши права в разделе