Показано с 1 по 18 из 18.

Трехголовая гадина. ПОМОГИТЕ!!! (заявка № 27816)

  1. #1
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    Question Трехголовая гадина. ПОМОГИТЕ!!!

    Моя тачка старая (AMD K6-333, RAM-192Mb, 8Gb-HDD), если проникает зараза сразу заметны тормоза.

    Давно меня ничто так не тревожило.

    Без доступа к инету несколько прог хотят достучаться до сайтов.
    С нервозной частотой, каждые ~10сек. Начал рыть винду XP.
    Ручками нарыл две сволочи: csrcs.exe & runmgr.exe
    Последняя более продвинута и время от времени появляется после удаления двух ее копий и загрузочного .bat файла.

    Немогу найти основу, корень проблем и третюю гадину.
    Каспер невидит, фаирвол-все ок (не ловит посторонии пронивновения наружу). AVZ - непомогает.
    По ссылке куда хочет третяя сволоч (shop.hostswiss.com) вышел на
    McAffe- якобы в его архивах проходил вирусняк из семейства Pinch, который лез на указанный сайт. Поставил последнюю версию - McAffe -ничего. У всех, все OK.

    Сейчас без инета вирус пытается лезть на shop/hostswiss.com, подключение инета иногда сопровождается постоянной перезагрузкой explorer.exe

    Помогите! Кто чем может. Перестановка Винды не катат.
    Времени нет все бэкапить и хочется найти вирус.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Цитата Сообщение от Jekot Посмотреть сообщение
    AVZ - непомогает.
    Угу, им гвозди забивать не получается. А вот правила выполнить - запросто: читаем и делаем http://virusinfo.info/showthread.php?t=1235

  4. #3
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    Извиняюсь за невнимательность

    Извиняюсь за невнимательность, третий день борюсь. Тачка тормозит.
    Прикрепил лог AVZ. Пытался лечить системные файлы, пункты номер 9 и 16. Так как explorer.exe выдает системную ошибку и перегружается.
    Раньше всегда explorer.exe перегружался. Когда снес 2 вируса, стал перегружаться когда есть доступ к инету и то не всегда. Бывает Только доступ дал, минут 5 перегружается потом перестает.
    Вложения Вложения

  5. #4
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    Вы всё ещё не очень внимательно почитали, какие логи АВЗ нам нужны.

  6. #5
    Senior Member Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    03.04.2006
    Сообщений
    21,108
    Вес репутации
    3000
    Если Вы в течение следуюших 30 минут не сделаете логи по правилам - тема будет закрыта.

  7. #6
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    Я выполнил все пункты, это было не просто.

    Опять вылез runmgr.exe Ктото его поднимает. Я убивал 2 его копии и .bat-загрузчик, удалял его из автозагрузки и все равно он опять появляется.
    Вложения Вложения

  8. #7
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    1.AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".
    Код:
    begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(True);
     ClearQuarantine;
     QuarantineFile('D:\DOCUME~1\АДМИНИ~1\LOCALS~1\Temp\ASFWHide','');
     QuarantineFile('D:\WINDOWS\System32\runmgr.exe','');
     QuarantineFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\reg32.exe','');
     QuarantineFile('D:\WINDOWS\system32\csrcs.exe','');
     DeleteService('acw0q72kp1eikfukiwcfhrig');
     DelBHO('{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86}');
     QuarantineFile('D:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL','');
     DelCLSID('28ABC5C0-4FCB-11CF-AAX5-81CX1C635612');
     DeleteFile('D:\PROGRA~1\MYCENT~1\InfoBar\MYCENT~1.DLL');
     DeleteFile('D:\WINDOWS\system32\csrcs.exe');
     DeleteFile('C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\reg32.exe');
     DeleteFile('D:\WINDOWS\System32\runmgr.exe');
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
    После выполнения скрипта компьютер перезагрузится.
    Прислать карантин согласно приложения 3 правил .
    Загружать по ссылке: http://virusinfo.info/upload_virus.php?tid=27816

    Обновите базы АВЗ и повторите логи.

    Platform: Windows XP (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 (6.00.2600.0000)
    Однако я бы на Вашем месте задумался и установил SP 3 на Windows - скорее всего потребуется повторная активация, т.к. у Вас не установлены никакие SP для Windows и Internet Explorer необходимо обновить до v7.00

  9. #8
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    Выслал карантин

    СП3? ИЕ 7.7 ??? на таком старом железе? Я поседею на такой тачке
    Хороший у Вас сервис. Помогло бы........

  10. #9
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    Конечно, если железо Вашего компьютера не потянет - то да, но с такой системой тяжело с вирусами бороться, уж больно много дыр в системе.

  11. #10
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    мдаааа......

    Я проработал на этой системе и тачке год без переустановки, все было ОК. Инет безлим-сеть. Потом гдето месяц не выходил в Инет в связи с переездом на другую квартиру. И цепанул где-то эту срань. Начала она вонять еще до появления инета. А теперь и вовсе обнаглела. Если негде не лазить по сайтам, трафик потихоньку растет.

    Добавлено через 3 минуты

    и 10 процентов процца жрет.
    Сами понимаете на таком динозавре 10процентов, это вечность.
    Вот я и обеспокоился. Неужели чтобы содержать свой комп в рабочем состоянии нужно быть хакером или сисадмином, что в принцыпе рядом.
    Последний раз редактировалось Jekot; 10.08.2008 в 00:40. Причина: Добавлено

  12. #11
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    Обнавил АВЗ + повторные логи

    Обнавил АВЗ + повторные логи
    Вложения Вложения

  13. #12
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    >> Internet Explorer - разрешены автоматические запросы элементов управления ActiveX
    Это не совсем хорошо. Если не Вы делали - тогда в АВЗ--файл--Мастер поиска и устранения проблем решите эту проблему.

    по карантину System32\runmgr.exe - Trojan.Win32.Pakes.kaw, RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\reg32.exe - Backdoor.Win32.IRCBot.eqq

    Проблемы какие- то наблюдаются?

  14. #13
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35
    В диспетчере задач этих не вижу. С Актив-х разберусь.
    Беспокоит, то что в D:\Document and setting\Администратор лежит runmgr.bat & runmgr.exe.
    Он снова может появится. А что за червь? сильно жестокий?
    С бэкдором конечно страшно :-[]

  15. #14
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    runmgr.bat & runmgr.exe поместите эту парочку в архив под пароль virus и вышлите по ссылке http://virusinfo.info/upload_virus.php?tid=27816

  16. #15
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    система вроде стабилизировалась

    система вроде стабилизировалась, explorer.exe не перегружается и заметных тормозов нет. А корень заразный можно найти. Откуда они лезут? Посидеть без Инета 2 дня - понаблюдать. Может Поюзать проги и посмотреть после какой гадлсти вылезут?

    Добавлено через 1 минуту

    Просто ТоталКомандером пакануть с паролем на архиве?
    Последний раз редактировалось Jekot; 10.08.2008 в 01:57. Причина: Добавлено

  17. #16
    Banned Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    18.11.2007
    Сообщений
    3,293
    Вес репутации
    0
    главное в rar или zip архив и установите пароль virus.

    А корень заразный можно найти. Откуда они лезут? Посидеть без Инета 2 дня - понаблюдать. Может Поюзать проги и посмотреть после какой гадлсти вылезут?
    Вы в этот промежуток времени не ставили какие-то программы? Может на диске каком бригада находится.

  18. #17
    Junior Member Репутация
    Регистрация
    09.08.2008
    Сообщений
    9
    Вес репутации
    35

    Download

    rar не взял, я перепак. в zip и выслал.
    Проги ставил конечно, с нета для своей КПК Sony

    Добавлено через 3 минуты

    Как вирусы актив. не ставил ничего кроме антивирей - подбирал.
    Как стал лечить с Вами ничего не ставил, кроме того что вы говорили сделать.

    Добавлено через 6 часов 27 минут

    Можно эти два файла удалить из Document and Setting\Администратор.
    Хотел бы узнать, не активируется ли вирус в момент выбора его и удаления обычными средствами (проводник, тоталКомандер)???
    Последний раз редактировалось Jekot; 10.08.2008 в 08:47. Причина: Добавлено

  19. #18
    Cybernetic Helper Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    29.12.2008
    Сообщений
    48,318
    Вес репутации
    953

    Итог лечения

    Статистика проведенного лечения:
    • Получено карантинов: 2
    • Обработано файлов: 16
    • В ходе лечения обнаружены вредоносные программы:
      1. c:\\recycler\\s-1-5-21-1482476501-1644491937-682003330-1013\\reg32.exe - Backdoor.Win32.IRCBot.eqq (DrWEB: BackDoor.IRC.Flood.
      2. d:\\windows\\system32\\runmgr.exe - Trojan.Win32.Pakes.kaw (DrWEB: Trojan.Click.19764)
      3. \\runmgr.exe - Trojan.Win32.Pakes.kaw (DrWEB: Trojan.Click.19764)


  • Уважаемый(ая) Jekot, наши специалисты оказали Вам всю возможную помощь по вашему обращению.

    В целях поддержания безопасности вашего компьютера настоятельно рекомендуем:

     

     

    Чтобы всегда быть в курсе актуальных угроз в области информационной безопасности и сохранять свой компьютер защищенным, рекомендуем следить за последними новостями ИТ-сферы портала Anti-Malware.ru:

     

     

    Anti-Malware VK

     

    Anti-Malware Telegram

     

     

    Надеемся больше никогда не увидеть ваш компьютер зараженным!

     

    Если Вас не затруднит, пополните пожалуйста нашу базу безопасных файлов.

  • Похожие темы

    1. Ответов: 1
      Последнее сообщение: 03.08.2011, 05:00
    2. Какая то гадина injecter.bcg
      От storno2001 в разделе Помогите!
      Ответов: 7
      Последнее сообщение: 22.02.2009, 09:23
    3. Ответов: 15
      Последнее сообщение: 22.02.2009, 01:52

    Свернуть/Развернуть Ваши права в разделе

    • Вы не можете создавать новые темы
    • Вы не можете отвечать в темах
    • Вы не можете прикреплять вложения
    • Вы не можете редактировать свои сообщения
    •  
    Page generated in 0.00929 seconds with 17 queries